Сопоставление средств контроля со стандартами соответствия

Нормативные требования и стандарты, такие как PCI DSS, HIPAA, SOC 2, ISO 27001 и GDPR, определяют требования к безопасной обработке данных.

И сдача экзамена, и ведение реального бизнеса требуют сопоставлять средства управления AWS с этими стандартами, чтобы подтверждать соответствие требованиям для аудиторов.

Как и безопасность, соответствие требованиям является общей ответственностью.

• AWS сертифицирует свою инфраструктуру на соответствие множеству стандартов.
• Вы отвечаете за соответствующую требованиям настройку своих рабочих нагрузок поверх этой инфраструктуры.

Унаследованные сертификаты AWS не делают ваше приложение автоматически соответствующим требованиям.

AWS Artifact — это портал с отчетами и соглашениями о соответствии требованиям AWS.

Здесь можно скачать отчеты SOC, сертификаты ISO и подтверждения соответствия PCI, а также принять соглашения, например Business Associate Addendum (BAA) для HIPAA. Аудиторы часто запрашивают эти документы, чтобы проверить соответствие требованиям со стороны AWS.

AWS Audit Manager непрерывно собирает подтверждения и сопоставляет их с элементами управления стандартов.

Используя готовые стандарты для PCI, HIPAA и других требований, он автоматически собирает подтверждения конфигурации и активности, превращая подготовку отчетов о соответствии требованиям из авральной ручной работы в непрерывный процесс.

Каждый элемент управления сопоставляется с одной или несколькими возможностями AWS. Например:

• Требования к шифрованию данных в состоянии покоя сопоставляются с KMS.
• Журналирование доступа сопоставляется с CloudTrail.
• Принцип минимальных привилегий сопоставляется с IAM и Access Analyzer.

Знание этих соответствий — важная часть подготовки к экзамену.

PCI DSS защищает данные держателей карт. В AWS это обеспечивается шифрованием (KMS), сегментацией сети (VPC и группы безопасности), журналированием (CloudTrail и Config) и управлением доступом (IAM).

Пакет соответствия PCI и стандарт Audit Manager помогают продемонстрировать наличие технических средств управления.

HIPAA регулирует работу с защищенной медицинской информацией. AWS поддерживает соответствие этому стандарту с помощью BAA и списка сервисов, соответствующих требованиям HIPAA.

Вы обязаны использовать подходящие сервисы, шифровать PHI при передаче и в состоянии покоя, а также журналировать доступ. Согласно соглашению, обрабатывать PHI могут только подходящие сервисы.

Современное соответствие требованиям — это непрерывный процесс, а не ежегодная авральная подготовка.

• Пакеты соответствия Config постоянно проверяют элементы управления.
• Стандарты Security Hub оценивают состояние среды по эталонным показателям.
• Audit Manager собирает подтверждения в течение длительного времени.

Вместе они помогают быть готовыми к аудиту круглый год.

Некоторые стандарты требуют хранить данные в определенных регионах или юрисдикциях.

Вы обеспечиваете требуемое расположение данных с помощью ограничений регионов через SCP и храните данные в соответствующих требованиям регионах. Изоляция регионов AWS означает, что данные не покидают регион, если Вы сами не переместите их.

Стандарты безопасности Security Hub, такие как AWS Foundational Best Practices и эталон CIS, сами являются подготовленными сопоставлениями элементов управления.

Каждый элемент управления соответствует признанной лучшей практике, а оценка соответствия показывает, насколько ваша среда ей отвечает. Благодаря этому Security Hub служит практическим связующим звеном между конфигурацией AWS и требованиями стандартов.

Чтобы соответствовать стандарту: скачайте подтверждения AWS из Artifact, настройте рабочие нагрузки с помощью сопоставленных сервисов, обеспечьте выполнение проверок с помощью пакетов соответствия и Security Hub, а затем собирайте подтверждения с помощью Audit Manager.

Соответствие требованиям — это архитектура и непрерывный процесс.

Найдите подходящий портал.

Вы научились сопоставлять элементы управления со стандартами.

• Соответствие требованиям — это общая ответственность: AWS сертифицирует инфраструктуру, а Вы настраиваете рабочие нагрузки.
• Artifact предоставляет отчеты и соглашения, а Audit Manager собирает подтверждения.
• Пакеты соответствия и Security Hub обеспечивают непрерывное соответствие требованиям.