CardNet segmenta i carichi di lavoro PCI DSS in un'unità organizzativa (OU) dedicata. Necessitano di restrizioni preventive (ad esempio, nessun Internet Gateway negli account PCI, solo Regioni approvate) e di una mappatura continua dei controlli alle best practice PCI con visibilità centralizzata. Qual è l'approccio PIÙ appropriato?

L'approccio più appropriato è posizionare gli account PCI in un'OU dedicata con SCP (Service Control Policies) strettamente definiti e distribuire il conformance pack AWS Config "Operational Best Practices for PCI DSS". Gli SCP sono controlli preventivi che impediscono azioni non conformi (come la creazione di Internet Gateway o l'uso di Regioni non approvate) a livello di organizzazione, garantendo che le restrizioni siano applicate in modo coerente. Il conformance pack di AWS Config fornisce una mappatura continua dei controlli e visibilità centralizzata sulla conformità PCI DSS. Abilitare lo standard PCI di AWS Security Hub è utile per il rilevamento, ma non fornisce controlli preventivi. AWS Control Tower offre guardrail, ma potrebbero non coprire tutti i requisiti PCI DSS senza personalizzazione, e l'opzione non menziona la gestione dei controlli di rilevamento. Mantenere carichi di lavoro PCI e non-PCI nello stesso account con permission boundaries di IAM non è una best practice per la segmentazione PCI DSS e rende più complessa la gestione della conformità e dell'isolamento.