CardNet segreguje obciążenia PCI DSS do dedykowanej jednostki organizacyjnej (OU). Potrzebują prewencyjnych ograniczeń (na przykład brak Internet Gateways na kontach PCI, tylko zatwierdzone Regiony) oraz bieżącego mapowania kontroli do najlepszych praktyk PCI z scentralizowaną widocznością. Jakie jest NAJBARDZIEJ odpowiednie podejście?

Prawidłowa odpowiedź jest najlepsza, ponieważ łączy prewencyjne kontrole z ciągłym monitorowaniem zgodności. Umieszczenie kont PCI w dedykowanej jednostce organizacyjnej (OU) z restrykcyjnymi zasadami kontroli usług (SCP) pozwala na egzekwowanie prewencyjnych ograniczeń, takich jak zakaz tworzenia bram internetowych (Internet Gateways) i ograniczanie do zatwierdzonych regionów, co jest kluczowe dla izolacji środowiska PCI. Wdrożenie pakietu zgodności AWS Config „Operational Best Practices for PCI DSS” w całej organizacji dla tej OU zapewnia ciągłe mapowanie kontroli do najlepszych praktyk PCI i scentralizowaną widoczność. Pozostałe opcje są mniej odpowiednie: Samo włączenie AWS Security Hub PCI nie zapobiega niezgodnym zmianom; jest to narzędzie detektywistyczne, a nie prewencyjne. AWS Control Tower zapewnia solidne podstawy, ale nie obejmuje wszystkich prewencyjnych i detektywistycznych kontroli PCI DSS bez dostosowania, zwłaszcza w zakresie specyficznych wymagań PCI. Trzymanie obciążeń PCI i nie-PCI na jednym koncie z granicami uprawnień IAM jest znacznie mniej bezpieczne i trudniejsze do audytu niż dedykowana OU, zwiększając ryzyko wycieku danych i utrudniając izolację.