مطابقة عناصر التحكم مع أطر الامتثال

تحدد اللوائح والمعايير مثل PCI DSS وHIPAA وSOC 2 وISO 27001 وGDPR شكل التعامل الآمن مع البيانات.

يتطلب اجتياز الاختبار وإدارة نشاط تجاري حقيقي ربط عناصر تحكم AWS بهذه الأطر حتى تتمكن من إثبات الامتثال للمدققين.

الامتثال، شأنه شأن الأمان، مسؤولية مشتركة.

• تحصل AWS على شهادات تثبت توافق بنيتها التحتية مع العديد من الأطر.
• تتحمل مسؤولية إعداد أحمال العمل الخاصة بك بما يتوافق مع المتطلبات.

ولا يعني الاستفادة من شهادات AWS أن تطبيقك متوافق تلقائيًا.

يُعد AWS Artifact البوابة المخصصة لـتقارير واتفاقيات الامتثال الخاصة بـAWS.

يمكنك تنزيل تقارير SOC وشهادات ISO وإقرارات PCI، وقبول اتفاقيات مثل الملحق الخاص بشريك الأعمال (BAA) لتلبية متطلبات HIPAA. وغالبًا ما يحتاج المدققون إلى هذه المستندات للتحقق من جانب AWS من الامتثال.

يجمع AWS Audit Manager الأدلة باستمرار ويربطها بعناصر تحكم إطار العمل.

وباستخدام أطر العمل الجاهزة لـPCI وHIPAA وغيرها، يجمع تلقائيًا أدلة الإعداد والنشاط، محولًا إعداد تقارير الامتثال من عملية يدوية مضطربة إلى عملية مستمرة.

يرتبط كل عنصر تحكم بقدرة واحدة أو أكثر من قدرات AWS. على سبيل المثال:

• ترتبط متطلبات التشفير أثناء التخزين بـKMS.
• يرتبط تسجيل الوصول بـCloudTrail.
• يرتبط مبدأ أقل قدر من الامتيازات بـIAM وAccess Analyzer.

تُعد معرفة هذه الروابط من المعارف الأساسية للاختبار.

يحمي PCI DSS بيانات حاملي البطاقات. وعلى AWS، يمكنك تلبية متطلباته باستخدام التشفير (KMS)، وتقسيم الشبكة (VPC ومجموعات الأمان)، والتسجيل (CloudTrail وConfig)، والتحكم في الوصول (IAM).

يساعد كل من حزمة توافق PCI وإطار عمل Audit Manager في إثبات تطبيق عناصر التحكم التقنية.

تنظم HIPAA المعلومات الصحية المحمية. وتدعمها AWS من خلال BAA وقائمة بالخدمات المؤهلة لـHIPAA.

يجب استخدام الخدمات المؤهلة، وتشفير PHI أثناء النقل وأثناء التخزين، وتسجيل عمليات الوصول. ولا يجوز معالجة PHI بموجب الاتفاقية إلا باستخدام الخدمات المؤهلة.

الامتثال الحديث مستمر، وليس عملية مضطربة تُجرى مرة واحدة سنويًا.

• تفحص حزم توافق Config عناصر التحكم باستمرار.
• تقيّم معايير Security Hub الوضع الأمني مقارنة بالمعايير المرجعية.
• يجمع Audit Manager الأدلة بمرور الوقت.

وتحافظ هذه الأدوات مجتمعة على جاهزيتك للتدقيق طوال العام.

تتطلب بعض الأطر بقاء البيانات في مناطق أو نطاقات قضائية محددة.

يمكنك فرض إقامة البيانات عبر تقييد المناطق باستخدام SCPs، والاحتفاظ بالبيانات في مناطق متوافقة. ويعني عزل المناطق لدى AWS أن البيانات لا تغادر المنطقة ما لم تنقلها أنت.

تُعد معايير الأمان في Security Hub، مثل أفضل ممارسات AWS الأساسية والمعيار المرجعي لـCIS، في حد ذاتها عمليات ربط لعناصر التحكم أعدّها مختصون.

يقابل كل عنصر تحكم أفضل ممارسة معترفًا بها، وتوضح درجة الامتثال مدى توافق بيئتك معها. وهذا يجعل Security Hub حلقة وصل عملية بين إعداد AWS ومتطلبات أطر العمل.

لتحقيق متطلبات إطار عمل: نزّل أدلة AWS من Artifact، واضبط أحمال العمل باستخدام الخدمات المرتبطة، وطبّق الفحوصات باستخدام حزم التوافق وSecurity Hub، واجمع الأدلة باستخدام Audit Manager.

الامتثال هو بنية معمارية بالإضافة إلى عملية مستمرة.

اعثر على البوابة المناسبة.

تعلّمت ربط عناصر التحكم بأطر العمل.

• الامتثال مسؤولية مشتركة؛ تحصل AWS على شهادات للبنية التحتية، بينما تضبط أحمال العمل.
• يوفّر Artifact التقارير والاتفاقيات، بينما يجمع Audit Manager الأدلة.
• تتيح حزم التوافق وSecurity Hub تحقيق الامتثال المستمر.