Mapeando Controles para Estruturas de Conformidade

Regulamentações e padrões como PCI DSS, HIPAA, SOC 2, ISO 27001 e GDPR definem como deve ser o tratamento seguro dos dados.

Passar na prova e administrar uma empresa real exigem mapear os controles da AWS para esses frameworks, para que você possa comprovar a conformidade aos auditores.

A conformidade, assim como a segurança, é compartilhada.

• A AWS certifica sua infraestrutura em relação a diversos frameworks.
• Você é responsável por configurar suas cargas de trabalho de forma compatível sobre essa infraestrutura.

Herdar as certificações da AWS não torna sua aplicação automaticamente compatível.

O AWS Artifact é o portal dos relatórios e acordos de conformidade da AWS.

Você baixa relatórios SOC, certificados ISO, atestações PCI e aceita acordos como um Adendo de Associado Comercial (BAA) para HIPAA. Os auditores geralmente solicitam esses documentos para verificar a parte da AWS na conformidade.

O AWS Audit Manager coleta evidências continuamente e as mapeia para os controles dos frameworks.

Usando frameworks predefinidos para PCI, HIPAA e outros, ele coleta automaticamente evidências de configuração e atividade, transformando os relatórios de conformidade de uma correria manual em um processo contínuo.

Cada controle é mapeado para um ou mais recursos da AWS. Por exemplo:

• Os requisitos de criptografia em repouso são mapeados para o KMS.
• O registro de acessos é mapeado para o CloudTrail.
• O princípio do menor privilégio é mapeado para o IAM e o Access Analyzer.

Conhecer esses mapeamentos é essencial para a prova.

O PCI DSS protege os dados do titular do cartão. Na AWS, você atende a esse requisito usando criptografia (KMS), segmentação de rede (VPC e grupos de segurança), registro (CloudTrail e Config) e controle de acesso (IAM).

Um pacote de conformidade PCI e um framework do Audit Manager ajudam a demonstrar os controles técnicos.

A HIPAA regulamenta as informações de saúde protegidas. A AWS oferece suporte a ela por meio de um BAA e de uma lista de serviços qualificados para HIPAA.

Você deve usar serviços qualificados, criptografar PHI em trânsito e em repouso e registrar os acessos. Somente serviços qualificados podem processar PHI nos termos do acordo.

A conformidade moderna é contínua, não uma correria anual.

• Os pacotes de conformidade do Config verificam os controles constantemente.
• Os padrões do Security Hub avaliam a postura em relação a referências de segurança.
• O Audit Manager reúne evidências ao longo do tempo.

Juntos, eles mantêm você preparado para auditorias durante todo o ano.

Alguns frameworks exigem que os dados permaneçam em regiões ou jurisdições específicas.

Você aplica a residência restringindo regiões por meio de SCPs e mantém os dados em regiões compatíveis. O isolamento de regiões da AWS significa que os dados não deixam uma região, a menos que você os mova.

Os padrões de segurança do Security Hub, como as Boas Práticas Fundamentais da AWS e a referência do CIS, são, por si só, mapeamentos de controles selecionados.

Cada controle corresponde a uma boa prática reconhecida, e a pontuação de conformidade mostra como seu ambiente se compara a ela. Isso torna o Security Hub uma ponte prática entre a configuração da AWS e as expectativas dos frameworks.

Para atender a um framework: baixe as evidências da AWS no Artifact, configure as cargas de trabalho com os serviços mapeados, aplique as verificações com pacotes de conformidade e o Security Hub e colete evidências com o Audit Manager.

Conformidade é uma arquitetura somada a um processo contínuo.

Encontre o portal certo.

Você aprendeu a mapear controles para frameworks.

• A conformidade é compartilhada; a AWS certifica a infraestrutura, e você configura as cargas de trabalho.
• O Artifact fornece relatórios e acordos; o Audit Manager reúne evidências.
• Pacotes de conformidade e o Security Hub permitem a conformidade contínua.