Mappare i controlli sui framework di conformità

Normative e standard come PCI DSS, HIPAA, SOC 2, ISO 27001 e GDPR definiscono come deve essere gestita la sicurezza dei dati.

Superare l'esame e gestire un'azienda reale richiedono entrambi di associare i controlli AWS a questi framework, così da poter dimostrare la conformità agli auditor.

La conformità, proprio come la sicurezza, è una responsabilità condivisa.

• AWS certifica la propria infrastruttura rispetto a numerosi framework.
• Siete responsabili di configurare in modo conforme i vostri carichi di lavoro su tale infrastruttura.

Ereditare le certificazioni di AWS non rende automaticamente conforme la vostra applicazione.

AWS Artifact è il portale per i report e gli accordi di conformità di AWS.

Potete scaricare report SOC, certificati ISO e attestazioni PCI, nonché accettare accordi come un Business Associate Addendum (BAA) per HIPAA. Gli auditor richiedono spesso questi documenti per verificare la parte AWS della conformità.

AWS Audit Manager raccoglie continuamente le evidenze e le associa ai controlli dei framework.

Utilizzando framework predefiniti per PCI, HIPAA e altri standard, raccoglie automaticamente evidenze di configurazione e attività, trasformando la produzione dei report di conformità da un'attività manuale e affannosa in un processo continuo.

Ogni controllo corrisponde a una o più funzionalità AWS. Ad esempio:

• I requisiti di cifratura dei dati a riposo corrispondono a KMS.
• La registrazione degli accessi corrisponde a CloudTrail.
• Il principio del privilegio minimo corrisponde a IAM e Access Analyzer.

Conoscere queste corrispondenze è fondamentale per l'esame.

PCI DSS protegge i dati dei titolari di carta. Su AWS lo si applica tramite cifratura (KMS), segmentazione della rete (VPC, security group), logging (CloudTrail, Config) e controllo degli accessi (IAM).

Un conformance pack PCI e un framework di Audit Manager aiutano a dimostrare l'adozione dei controlli tecnici.

HIPAA disciplina le informazioni sanitarie protette. AWS lo supporta tramite un BAA e un elenco di servizi idonei per HIPAA.

Dovete usare servizi idonei, cifrare le PHI in transito e a riposo e registrare gli accessi. In base all'accordo, solo i servizi idonei possono elaborare PHI.

La conformità moderna è continua, non una corsa affannosa una volta all'anno.

• I conformance pack di Config verificano costantemente i controlli.
• Gli standard di Security Hub valutano il livello di sicurezza rispetto ai benchmark.
• Audit Manager raccoglie le evidenze nel tempo.

Insieme, vi mantengono pronti per gli audit durante tutto l'anno.

Alcuni framework richiedono che i dati rimangano in regioni o giurisdizioni specifiche.

Potete applicare i requisiti di residenza limitando le regioni tramite SCP e mantenendo i dati in regioni conformi. L'isolamento delle regioni AWS fa sì che i dati non lascino una regione, a meno che non siate voi a trasferirli.

Gli standard di sicurezza di Security Hub, come AWS Foundational Best Practices e il benchmark CIS, sono a loro volta mappature di controlli curate.

Ogni controllo corrisponde a una best practice riconosciuta e il punteggio di conformità mostra il livello raggiunto dal vostro ambiente. Security Hub diventa così un ponte pratico tra la configurazione AWS e i requisiti dei framework.

Per soddisfare i requisiti di un framework: scaricate le evidenze AWS da Artifact, configurate i carichi di lavoro con i servizi mappati, applicate i controlli con conformance pack e Security Hub e raccogliete le evidenze con Audit Manager.

La conformità è un'architettura e un processo continuo.

Individuate il portale corretto.

Avete imparato a mappare i controlli ai framework.

• La conformità è condivisa: AWS certifica l'infrastruttura, voi configurate i carichi di lavoro.
• Artifact fornisce report e accordi; Audit Manager raccoglie le evidenze.
• I conformance pack e Security Hub consentono una conformità continua.