Kontrollen Compliance-Frameworks zuordnen

Vorschriften und Standards wie PCI DSS, HIPAA, SOC 2, ISO 27001 und GDPR legen fest, wie der sichere Umgang mit Daten aussehen muss.

Sowohl das Bestehen der Prüfung als auch der Betrieb eines echten Unternehmens erfordern die Zuordnung von AWS-Kontrollen zu diesen Frameworks, damit Sie gegenüber Prüfern die Compliance nachweisen können.

Wie die Sicherheit ist auch die Compliance eine geteilte Verantwortung.

• AWS zertifiziert seine Infrastruktur nach zahlreichen Frameworks.
• Sie sind dafür verantwortlich, Ihre Workloads darauf konform zu konfigurieren.

Die Übernahme der Zertifizierungen von AWS macht Ihre Anwendung nicht automatisch konform.

AWS Artifact ist das Portal für die Compliance-Berichte und Vereinbarungen von AWS.

Sie laden SOC-Berichte, ISO-Zertifikate und PCI-Bescheinigungen herunter und akzeptieren Vereinbarungen wie ein Business Associate Addendum (BAA) für HIPAA. Prüfer benötigen diese Unterlagen häufig, um den AWS-seitigen Anteil der Compliance zu verifizieren.

AWS Audit Manager sammelt kontinuierlich Nachweise und ordnet sie den Kontrollen eines Frameworks zu.

Mithilfe vorgefertigter Frameworks für PCI, HIPAA und andere Standards erfasst der Dienst automatisch Konfigurations- und Aktivitätsnachweise. So wird die Compliance-Berichterstattung von einer manuellen Hektik zu einem fortlaufenden Prozess.

Jede Kontrolle ist einer oder mehreren AWS-Funktionen zugeordnet. Zum Beispiel:

• Anforderungen an die Verschlüsselung ruhender Daten werden KMS zugeordnet.
• Zugriffsprotokollierung wird CloudTrail zugeordnet.
• Das Prinzip der geringsten Rechte wird IAM und Access Analyzer zugeordnet.

Diese Zuordnungen zu kennen, gehört zum grundlegenden Prüfungswissen.

PCI DSS schützt Karteninhaberdaten. In AWS setzen Sie dies mit Verschlüsselung (KMS), Netzwerksegmentierung (VPC, Sicherheitsgruppen), Protokollierung (CloudTrail, Config) und Zugriffskontrolle (IAM) um.

Ein PCI-Conformance-Pack und ein Audit-Manager-Framework helfen dabei, die technischen Kontrollen nachzuweisen.

HIPAA regelt den Umgang mit geschützten Gesundheitsinformationen. AWS unterstützt HIPAA durch ein BAA und eine Liste HIPAA-geeigneter Services.

Sie müssen geeignete Services verwenden, PHI bei der Übertragung und im Ruhezustand verschlüsseln und Zugriffe protokollieren. Im Rahmen der Vereinbarung dürfen nur geeignete Services PHI verarbeiten.

Moderne Compliance ist kontinuierlich und keine einmal jährlich stattfindende Hektik.

• Config-Conformance-Packs prüfen Kontrollen fortlaufend.
• Security-Hub-Standards bewerten die Sicherheitslage anhand von Benchmarks.
• Audit Manager sammelt im Laufe der Zeit Nachweise.

Zusammen sorgen diese Dienste dafür, dass Sie das ganze Jahr über prüfungsbereit sind.

Einige Frameworks verlangen, dass Daten in bestimmten Regionen oder Rechtsordnungen bleiben.

Sie setzen die Datenresidenz mit Regionsbeschränkungen über SCPs durch und speichern Daten in konformen Regionen. Durch die Isolation der AWS-Regionen verlassen Daten eine Region nicht, es sei denn, Sie verschieben sie.

Die Security-Hub-Sicherheitsstandards, etwa AWS Foundational Best Practices und der CIS-Benchmark, sind selbst kuratierte Kontrollzuordnungen.

Jede Kontrolle entspricht einer anerkannten Best Practice, und der Compliance-Score zeigt, wie Ihre Umgebung im Vergleich dazu abschneidet. Dadurch bildet Security Hub eine praktische Brücke zwischen der AWS-Konfiguration und den Erwartungen eines Frameworks.

Um die Anforderungen eines Frameworks zu erfüllen, laden Sie die AWS-Nachweise aus Artifact herunter, konfigurieren Workloads mit den zugeordneten Services, setzen Prüfungen mit Conformance-Packs und Security Hub durch und sammeln Nachweise mit Audit Manager.

Compliance besteht aus einer Architektur und einem fortlaufenden Prozess.

Finden Sie das richtige Portal.

Sie haben gelernt, Kontrollen Frameworks zuzuordnen.

• Compliance ist eine geteilte Verantwortung: AWS zertifiziert die Infrastruktur, Sie konfigurieren die Workloads.
• Artifact stellt Berichte und Vereinbarungen bereit; Audit Manager sammelt Nachweise.
• Conformance-Packs und Security Hub ermöglichen kontinuierliche Compliance.