Memetakan Kontrol ke Kerangka Kepatuhan

Peraturan dan standar seperti PCI DSS, HIPAA, SOC 2, ISO 27001, dan GDPR menentukan seperti apa penanganan data yang aman.

Lulus ujian dan menjalankan bisnis nyata sama-sama memerlukan pemetaan kontrol AWS ke kerangka kerja ini agar Anda dapat membuktikan kepatuhan kepada auditor.

Kepatuhan, seperti keamanan, merupakan tanggung jawab bersama.

• AWS mensertifikasi infrastruktur-nya terhadap banyak kerangka kerja.
• Anda bertanggung jawab mengonfigurasi beban kerja Anda agar patuh di atas infrastruktur tersebut.

Mewarisi sertifikasi AWS tidak membuat aplikasi Anda otomatis patuh.

AWS Artifact adalah portal untuk laporan dan perjanjian kepatuhan AWS.

Anda dapat mengunduh laporan SOC, sertifikat ISO, pengesahan PCI, serta menerima perjanjian seperti Business Associate Addendum (BAA) untuk HIPAA. Auditor sering meminta dokumen ini untuk memverifikasi aspek kepatuhan AWS.

AWS Audit Manager mengumpulkan bukti secara berkelanjutan dan memetakannya ke kontrol kerangka kerja.

Dengan menggunakan kerangka kerja bawaan untuk PCI, HIPAA, dan lainnya, layanan ini mengumpulkan bukti konfigurasi dan aktivitas secara otomatis, mengubah pelaporan kepatuhan dari pekerjaan manual yang tergesa-gesa menjadi proses berkelanjutan.

Setiap kontrol dipetakan ke satu atau beberapa kemampuan AWS. Contohnya:

• Persyaratan enkripsi saat data tersimpan dipetakan ke KMS.
• Pencatatan akses dipetakan ke CloudTrail.
• Hak akses paling rendah dipetakan ke IAM dan Access Analyzer.

Memahami pemetaan ini merupakan pengetahuan inti untuk ujian.

PCI DSS melindungi data pemegang kartu. Di AWS, Anda menerapkannya melalui enkripsi (KMS), segmentasi jaringan (VPC, grup keamanan), pencatatan (CloudTrail, Config), dan kontrol akses (IAM).

Paket kesesuaian PCI dan kerangka kerja Audit Manager membantu menunjukkan kontrol teknis tersebut.

HIPAA mengatur informasi kesehatan yang dilindungi. AWS mendukungnya melalui BAA dan daftar layanan yang memenuhi syarat HIPAA.

Anda harus menggunakan layanan yang memenuhi syarat, mengenkripsi PHI saat transit dan saat tersimpan, serta mencatat akses. Hanya layanan yang memenuhi syarat yang boleh memproses PHI berdasarkan perjanjian tersebut.

Kepatuhan modern bersifat berkelanjutan, bukan pekerjaan tergesa-gesa setahun sekali.

• Paket kesesuaian Config memeriksa kontrol secara terus-menerus.
• Standar Security Hub menilai postur berdasarkan tolok ukur.
• Audit Manager mengumpulkan bukti dari waktu ke waktu.

Secara bersama-sama, layanan tersebut menjaga kesiapan Anda menghadapi audit sepanjang tahun.

Beberapa kerangka kerja mengharuskan data tetap berada di region atau yurisdiksi tertentu.

Anda menegakkan residensi dengan membatasi region melalui SCP, serta menyimpan data di region yang sesuai. Isolasi region AWS berarti data tidak keluar dari suatu region kecuali Anda memindahkannya.

Standar keamanan Security Hub, seperti AWS Foundational Best Practices dan tolok ukur CIS, merupakan pemetaan kontrol yang telah disusun secara khusus.

Setiap kontrol berhubungan dengan praktik terbaik yang diakui, dan skor kepatuhan menunjukkan sejauh mana lingkungan Anda memenuhinya. Dengan demikian, Security Hub menjadi penghubung praktis antara konfigurasi AWS dan ekspektasi kerangka kerja.

Untuk memenuhi suatu kerangka kerja: unduh bukti AWS dari Artifact, konfigurasikan beban kerja dengan layanan yang telah dipetakan, tegakkan pemeriksaan menggunakan paket kesesuaian dan Security Hub, lalu kumpulkan bukti dengan Audit Manager.

Kepatuhan merupakan gabungan arsitektur dan proses yang berkelanjutan.

Temukan portal yang tepat.

Anda telah mempelajari cara memetakan kontrol ke kerangka kerja.

• Kepatuhan merupakan tanggung jawab bersama; AWS mensertifikasi infrastruktur, sedangkan Anda mengonfigurasi beban kerja.
• Artifact menyediakan laporan dan perjanjian; Audit Manager mengumpulkan bukti.
• Paket kesesuaian dan Security Hub memungkinkan kepatuhan berkelanjutan.