Mapowanie mechanizmów kontroli na ramy zgodności

Przepisy i standardy, takie jak PCI DSS, HIPAA, SOC 2, ISO 27001 i GDPR, określają, jak powinno wyglądać bezpieczne przetwarzanie danych.

Zarówno zdanie egzaminu, jak i prowadzenie rzeczywistej działalności wymagają powiązania mechanizmów kontroli AWS z tymi frameworkami, aby można było wykazać zgodność przed audytorami.

Zgodność, podobnie jak bezpieczeństwo, jest współdzielona.

• AWS certyfikuje swoją infrastrukturę zgodnie z wymaganiami wielu frameworków.
• To Państwo odpowiadają za zgodne z wymaganiami skonfigurowanie swoich obciążeń na tej infrastrukturze.

Odziedziczenie certyfikatów AWS nie sprawia, że aplikacja automatycznie spełnia wymagania zgodności.

AWS Artifact to portal zawierający raporty dotyczące zgodności i umowy AWS.

Można z niego pobierać raporty SOC, certyfikaty ISO i poświadczenia PCI, a także akceptować umowy, takie jak Business Associate Addendum (BAA) dotyczący HIPAA. Audytorzy często potrzebują tych dokumentów, aby zweryfikować zgodność po stronie AWS.

AWS Audit Manager stale zbiera dowody i mapuje je na mechanizmy kontroli frameworków.

Korzystając z gotowych frameworków dla PCI, HIPAA i innych standardów, automatycznie gromadzi dowody dotyczące konfiguracji i aktywności, zmieniając raportowanie zgodności z ręcznego chaosu w ciągły proces.

Każdy mechanizm kontroli jest powiązany z jedną lub większą liczbą funkcji AWS. Na przykład:

• Wymagania dotyczące szyfrowania danych w spoczynku są mapowane na KMS.
• Rejestrowanie dostępu jest mapowane na CloudTrail.
• Zasada najmniejszych uprawnień jest mapowana na IAM i Access Analyzer.

Znajomość tych mapowań jest kluczowa na egzaminie.

PCI DSS chroni dane posiadaczy kart. W AWS można spełniać jego wymagania za pomocą szyfrowania (KMS), segmentacji sieci (VPC, grupy zabezpieczeń), rejestrowania (CloudTrail, Config) i kontroli dostępu (IAM).

Pakiet zgodności PCI oraz framework Audit Manager pomagają wykazać stosowanie kontroli technicznych.

HIPAA reguluje sposób postępowania z chronionymi informacjami medycznymi. AWS wspiera ten standard za pomocą BAA oraz listy usług kwalifikujących się do użycia w środowiskach HIPAA.

Należy korzystać z kwalifikujących się usług, szyfrować PHI podczas przesyłania i w spoczynku oraz rejestrować dostęp. Na mocy umowy PHI mogą przetwarzać wyłącznie kwalifikujące się usługi.

Współczesna zgodność z wymaganiami jest ciągła, a nie realizowana w pośpiechu raz w roku.

• Pakiety zgodności Config stale sprawdzają mechanizmy kontroli.
• Standardy Security Hub oceniają stan bezpieczeństwa względem punktów odniesienia.
• Audit Manager gromadzi dowody w czasie.

Razem pomagają zachować gotowość do audytu przez cały rok.

Niektóre frameworki wymagają, aby dane pozostawały w określonych regionach lub jurysdykcjach.

Rezydencję można wymusić za pomocą ograniczeń regionalnych w SCP, a dane należy przechowywać w regionach zgodnych z wymaganiami. Izolacja regionów AWS oznacza, że dane nie opuszczają regionu, chyba że zostaną przez Państwa przeniesione.

Standardy bezpieczeństwa Security Hub, takie jak AWS Foundational Best Practices i benchmark CIS, same w sobie są starannie opracowanymi mapowaniami mechanizmów kontroli.

Każdy mechanizm kontroli odpowiada uznanej najlepszej praktyce, a wynik zgodności pokazuje, jak środowisko wypada na jej tle. Dzięki temu Security Hub stanowi praktyczne połączenie między konfiguracją AWS a oczekiwaniami frameworków.

Aby spełnić wymagania frameworka, należy pobrać dowody AWS z Artifact, skonfigurować obciążenia za pomocą zmapowanych usług, wymusić kontrole przy użyciu pakietów zgodności i Security Hub oraz zbierać dowody za pomocą Audit Manager.

Zgodność to zarówno architektura, jak i ciągły proces.

Znajdź właściwy portal.

Dowiedzieli się Państwo, jak mapować mechanizmy kontroli na frameworki.

• Zgodność jest współdzielona; AWS certyfikuje infrastrukturę, a Państwo konfigurują obciążenia.
• Artifact udostępnia raporty i umowy, a Audit Manager gromadzi dowody.
• Pakiety zgodności i Security Hub umożliwiają ciągłą zgodność.