CardNet разделяет рабочие нагрузки PCI DSS на выделенное организационное подразделение (OU). Им необходимы превентивные ограничения (например, отсутствие Internet Gateways в учетных записях PCI, только одобренные Regions) и постоянное сопоставление элементов управления с лучшими практиками PCI с централизованной видимостью. Какой подход является НАИБОЛЕЕ подходящим?

Правильный ответ — размещение учетных записей PCI в выделенном OU с жестко ограниченными SCP и развертывание пакета соответствия AWS Config «Operational Best Practices for PCI DSS». Это позволяет применять превентивные ограничения на уровне организации (например, запрет создания интернет-шлюзов и использование неодобренных регионов) с помощью SCP, что соответствует требованию к превентивным мерам. Развертывание пакета соответствия AWS Config обеспечивает постоянное сопоставление элементов управления с лучшими практиками PCI и централизованную видимость, что соответствует требованию к обнаружению и отчетности. Вариант с AWS Security Hub PCI Standard не является достаточным, так как он в основном предоставляет детективные элементы управления, а не превентивные ограничения на уровне организации. Использование только AWS Control Tower не покрывает все превентивные и детективные элементы управления PCI DSS без дополнительной настройки. Хранение всех рабочих нагрузок в одной учетной записи с границами разрешений IAM не обеспечивает должной изоляции и превентивных ограничений на уровне инфраструктуры, необходимых для PCI DSS.