Alguém conseguiu a conformidade com o PCI nível 1 na AWS?

Com exceção de todas as perguntas frequentes, documentos e declarações publicados pela AWS, algum comerciante de nível 1 já atingiu a conformidade com a PCI na AWS? Estamos avaliando a transferência de alguns de nossos serviços para o EC2 / VPC, mas nosso auditor está dizendo que a AWS não cooperou quando seus outros clientes estavam tentando obter conformidade e, em vez disso, precisou ir para a Rackspace. Os problemas que eles encontraram foram,

• A AWS não está fornecendo uma lista detalhada de controles avaliados na auditoria PCI da própria AWS, tornando impossível ao auditor marcar quais itens são cobertos pela AWS e quais são de responsabilidade do cliente
• A AWS não está esclarecendo como o hipervisor foi avaliado e quais testes foram realizados para garantir o isolamento do inquilino

Atualização: esta pergunta foi originalmente feita no StackExchange, mas foi rejeitada como inadequada para o site /programming/6851259/has-anyone-achieved-level-1-pci-compliance-on-aws

Sugiro não tentar resolver o problema da AWS por conta própria.

Pergunte ao seu auditor se ele aceitará um relatório de auditoria SAS 70 Tipo 2 da AWS sobre conformidade com PCI: isso significa que um auditor externo audita a segurança da AWS para PCI quanto a clientes da AWS e emite um relatório. Seu auditor basicamente o reprova. Se o auditor não estiver disposto a aceitar este relatório, pergunte à sua gerência por que ele não está e se eles cumprem as regras da AICPA (veja Gotchas abaixo).

Se a AWS não estiver disposta a se submeter a um processo de auditoria padrão, eles basicamente minarão toda a sua posição de mercado em relação à conformidade com o PCI => processamento de cartão de crédito, então não consigo imaginar que eles não cooperariam. Veja, por exemplo, uma das cinco grandes ... eeh quatro empresas de contabilidade que fornecem auditorias ao SAS70 e Wikipedia no SAS70

Dicas: O SAS 70 tipo 2 não especifica exatamente o que auditar, portanto, você deve certificar-se de que seu auditor concorda previamente com o escopo da auditoria: as 2 questões em que o auditor está sendo um exemplo. Nota: O SAS 70 tipo 2 é um padrão de auditoria dos EUA que existe há algum tempo; pode haver versões / padrões atualizados para isso. Se você estiver em outro país, pode haver outros requisitos, mas o SAS 70 tipo 2 é muito usado internacionalmente.

No entanto, pode ser que o seu auditor realmente tenha um relatório SAS 70 tipo 2 na AWS e pense que o escopo não é amplo o suficiente, ou a auditoria foi mal realizada ou as conclusões / conclusões resultantes foram negativas.