Asignación de controles a marcos de conformidad

Las normativas y los estándares, como PCI DSS, HIPAA, SOC 2, ISO 27001 y GDPR, definen cómo debe realizarse de forma segura el tratamiento de los datos.

Tanto aprobar el examen como gestionar una empresa real requieren asignar los controles de AWS a estos marcos para demostrar el cumplimiento ante los auditores.

El cumplimiento, al igual que la seguridad, es compartido.

• AWS certifica su infraestructura conforme a numerosos marcos.
• Usted es responsable de configurar sus cargas de trabajo de forma conforme sobre ella.

Heredar las certificaciones de AWS no hace que su aplicación cumpla automáticamente los requisitos.

AWS Artifact es el portal de informes y acuerdos de cumplimiento de AWS.

Puede descargar informes SOC, certificados ISO y atestaciones PCI, y aceptar acuerdos como un Business Associate Addendum (BAA) para HIPAA. Los auditores suelen solicitar estos documentos para verificar la parte del cumplimiento correspondiente a AWS.

AWS Audit Manager recopila continuamente evidencias y las asigna a los controles de los marcos.

Mediante marcos prediseñados para PCI, HIPAA y otros estándares, recopila automáticamente evidencias de configuración y actividad, convirtiendo la elaboración de informes de cumplimiento de una carrera manual contrarreloj en un proceso continuo.

Cada control se asigna a una o más capacidades de AWS. Por ejemplo:

• Los requisitos de cifrado en reposo se asignan a KMS.
• El registro de acceso se asigna a CloudTrail.
• El principio de privilegio mínimo se asigna a IAM y Access Analyzer.

Conocer estas asignaciones es fundamental para el examen.

PCI DSS protege los datos de los titulares de tarjetas. En AWS, se aborda mediante cifrado (KMS), segmentación de red (VPC y grupos de seguridad), registro (CloudTrail y Config) y control de acceso (IAM).

Un paquete de conformidad de PCI y un marco de Audit Manager ayudan a demostrar la aplicación de los controles técnicos.

HIPAA regula la información sanitaria protegida. AWS la admite mediante un BAA y una lista de servicios aptos para HIPAA.

Debe utilizar servicios aptos, cifrar la PHI tanto en tránsito como en reposo y registrar los accesos. Conforme al acuerdo, solo los servicios aptos pueden procesar PHI.

El cumplimiento moderno es continuo, no una carrera contrarreloj anual.

• Los paquetes de conformidad de Config comprueban los controles constantemente.
• Los estándares de Security Hub evalúan la postura con respecto a referencias de seguridad.
• Audit Manager recopila evidencias a lo largo del tiempo.

En conjunto, le permiten estar preparado para una auditoría durante todo el año.

Algunos marcos exigen que los datos permanezcan en regiones o jurisdicciones específicas.

Puede aplicar la residencia mediante restricciones de región con SCP y mantener los datos en regiones conformes. El aislamiento de regiones de AWS impide que los datos salgan de una región, a menos que usted los traslade.

Los estándares de seguridad de Security Hub, como AWS Foundational Best Practices y el benchmark de CIS, son en sí mismos asignaciones de controles seleccionadas.

Cada control corresponde a una práctica recomendada reconocida, y la puntuación de cumplimiento muestra cómo se compara su entorno. Esto convierte Security Hub en un puente práctico entre la configuración de AWS y las expectativas de los marcos.

Para cumplir un marco: descargue las evidencias de AWS desde Artifact, configure las cargas de trabajo con los servicios asignados, aplique las comprobaciones con paquetes de conformidad y Security Hub y recopile evidencias con Audit Manager.

El cumplimiento combina una arquitectura con un proceso continuo.

Encuentre el portal adecuado.

Ha aprendido a asignar controles a marcos.

• El cumplimiento es compartido: AWS certifica la infraestructura y usted configura las cargas de trabajo.
• Artifact proporciona informes y acuerdos; Audit Manager recopila evidencias.
• Los paquetes de conformidad y Security Hub permiten un cumplimiento continuo.