CardNet은 PCI DSS 워크로드를 전용 OU(조직 단위)로 분리합니다. 이들은 예방적 제한(예: PCI 계정에 인터넷 게이트웨이 없음, 승인된 리전만 허용)과 중앙 집중식 가시성을 갖춘 PCI 모범 사례에 대한 지속적인 제어 매핑이 필요합니다. 가장 적절한 접근 방식은 무엇입니까?

PCI 계정을 전용 OU에 배치하고 SCP를 사용하여 예방적 제한(예: 인터넷 게이트웨이 생성 방지, 승인되지 않은 리전 제한)을 적용하는 것은 PCI DSS 규정 준수를 위한 강력한 제어 기반을 제공합니다. AWS Config의 "PCI DSS를 위한 운영 모범 사례" 적합성 팩을 조직 전체에 배포하면 PCI 환경의 지속적인 규정 준수 매핑 및 가시성을 보장하여 탐지 제어를 강화합니다. 다른 옵션들은 PCI DSS의 예방적 및 탐지적 제어 요구 사항을 완전히 충족하지 못합니다. AWS Security Hub는 탐지 제어에 유용하지만 예방적 제한을 직접 적용하지는 않습니다. AWS Control Tower의 기본 가드레일은 사용자 지정 없이 모든 PCI DSS 제어를 다루지 않습니다. 모든 워크로드를 단일 계정에 유지하는 것은 PCI DSS 범위 지정 원칙에 위배됩니다.