제어 기능과 규정 준수 프레임워크 매핑

PCI DSS, HIPAA, SOC 2, ISO 27001, GDPR과 같은 규정과 표준은 데이터를 안전하게 처리하는 방법을 정의합니다.

시험에 합격하는 것뿐 아니라 실제 비즈니스를 운영하려면 AWS 제어 항목을 이러한 프레임워크에 매핑하여 감사자에게 규정 준수를 입증해야 합니다.

보안과 마찬가지로 규정 준수도 공동 책임입니다.

• AWS는 여러 프레임워크를 기준으로 인프라를 인증합니다.
• 고객은 그 위에서 자신의 워크로드를 규정에 맞게 구성할 책임이 있습니다.

AWS의 인증을 상속한다고 해서 애플리케이션이 자동으로 규정을 준수하게 되는 것은 아닙니다.

AWS Artifact는 AWS의 규정 준수 보고서와 계약을 제공하는 포털입니다.

SOC 보고서, ISO 인증서, PCI 증명서를 다운로드하고 HIPAA를 위한 Business Associate Addendum(BAA)과 같은 계약을 수락할 수 있습니다. 감사자는 AWS 측의 규정 준수 여부를 확인하기 위해 이러한 자료를 자주 요청합니다.

AWS Audit Manager는 증거를 지속적으로 수집하여 프레임워크 제어 항목에 매핑합니다.

PCI, HIPAA 및 기타 표준을 위한 사전 구축된 프레임워크를 사용하면 구성 및 활동 증거를 자동으로 수집하여 규정 준수 보고를 수작업으로 급히 준비하는 일이 아니라 지속적인 프로세스로 바꿀 수 있습니다.

각 제어 항목은 하나 이상의 AWS 기능에 매핑됩니다. 예를 들면 다음과 같습니다.

• 저장 데이터 암호화 요구 사항은 KMS에 매핑됩니다.
• 액세스 로깅은 CloudTrail에 매핑됩니다.
• 최소 권한은 IAM 및 Access Analyzer에 매핑됩니다.

이러한 매핑을 아는 것은 시험의 핵심 지식입니다.

PCI DSS는 카드 소유자 데이터를 보호합니다. AWS에서는 암호화(KMS), 네트워크 분할(VPC, 보안 그룹), 로깅(CloudTrail, Config), 액세스 제어(IAM)를 사용하여 요구 사항을 충족합니다.

PCI 적합성 팩과 Audit Manager 프레임워크를 사용하면 기술적 제어 항목을 입증하는 데 도움이 됩니다.

HIPAA는 보호되는 건강 정보를 관리합니다. AWS는 BAA와 HIPAA 적격 서비스 목록을 통해 이를 지원합니다.

적격 서비스를 사용하고, 전송 중인 PHI와 저장된 PHI를 암호화하며, 액세스를 기록해야 합니다. 계약에 따라 PHI를 처리할 수 있는 것은 적격 서비스뿐입니다.

현대적인 규정 준수는 1년에 한 번 급히 준비하는 일이 아니라 지속적인 활동입니다.

• Config 적합성 팩은 제어 항목을 지속적으로 점검합니다.
• Security Hub 표준은 벤치마크를 기준으로 보안 상태를 평가합니다.
• Audit Manager는 시간에 따라 증거를 수집합니다.

이 기능들을 함께 사용하면 일 년 내내 감사에 대비할 수 있습니다.

일부 프레임워크는 데이터가 특정 리전이나 관할권에 머물 것을 요구합니다.

SCP를 통한 리전 제한으로 데이터 상주 위치를 강제하고, 데이터를 규정을 준수하는 리전에 보관할 수 있습니다. AWS의 리전 격리로 인해 데이터를 직접 이동하지 않는 한 데이터가 리전을 벗어나지 않습니다.

AWS Foundational Best Practices 및 CIS 벤치마크와 같은 Security Hub 보안 표준은 그 자체로 엄선된 제어 항목 매핑입니다.

각 제어 항목은 공인된 모범 사례에 대응하며, 규정 준수 점수는 환경이 해당 기준에 얼마나 부합하는지 보여 줍니다. 따라서 Security Hub는 AWS 구성과 프레임워크의 기대 사항을 연결하는 실용적인 다리 역할을 합니다.

프레임워크를 충족하려면 Artifact에서 AWS의 증거를 다운로드하고, 매핑된 서비스로 워크로드를 구성하며, 적합성 팩과 Security Hub로 점검을 적용하고, Audit Manager로 증거를 수집하십시오.

규정 준수는 아키텍처이면서 지속적인 프로세스입니다.

알맞은 포털을 찾으십시오.

제어 항목을 프레임워크에 매핑하는 방법을 배웠습니다.

• 규정 준수는 공동 책임입니다. AWS는 인프라를 인증하고, 고객은 워크로드를 구성합니다.
• Artifact는 보고서와 계약을 제공하고, Audit Manager는 증거를 수집합니다.
• 적합성 팩과 Security Hub를 사용하면 지속적인 규정 준수가 가능합니다.