CardNet segmente les charges de travail PCI DSS dans une unité d'organisation (OU) dédiée. Ils ont besoin de restrictions préventives (par exemple, pas d'Internet Gateways dans les comptes PCI, uniquement les régions approuvées) et d'une cartographie continue des contrôles par rapport aux meilleures pratiques PCI avec une visibilité centralisée. Quelle est l'approche la plus appropriée ?

La bonne approche combine des contrôles préventifs et détectives. Les SCPs dans une OU dédiée sont idéales pour les restrictions préventives, comme interdire les passerelles Internet ou les régions non approuvées, car elles s'appliquent à tous les comptes de l'OU. Le pack de conformité AWS Config "Operational Best Practices for PCI DSS" fournit une visibilité continue et centralisée sur la conformité aux meilleures pratiques PCI, répondant ainsi au besoin de cartographie continue des contrôles. Activer AWS Security Hub est utile pour la détection, mais ne fournit pas de contrôles préventifs stricts. AWS Control Tower offre des garde-fous, mais ne couvre pas tous les contrôles PCI DSS sans personnalisation et n'intègre pas spécifiquement un pack de conformité PCI. Conserver toutes les charges de travail dans un seul compte est une mauvaise pratique de sécurité et de conformité, rendant la segmentation et l'application des contrôles PCI beaucoup plus difficiles.