การจับคู่ตัวควบคุมกับกรอบการปฏิบัติตามข้อกำหนด

ข้อบังคับและมาตรฐานต่าง ๆ เช่น PCI DSS, HIPAA, SOC 2, ISO 27001 และ GDPR กำหนดว่าการจัดการข้อมูลอย่างปลอดภัยควรมีลักษณะอย่างไร

ทั้งการสอบให้ผ่านและการดำเนินธุรกิจจริงต่างต้องอาศัยการจับคู่การควบคุมของ AWS กับกรอบงานเหล่านี้ เพื่อให้คุณพิสูจน์การปฏิบัติตามข้อกำหนดต่อผู้ตรวจสอบได้

การปฏิบัติตามข้อกำหนดก็เหมือนกับความปลอดภัย คือเป็น ความรับผิดชอบร่วมกัน

• AWS รับรอง โครงสร้างพื้นฐานของตนตามกรอบงานหลายประเภท
• คุณมีหน้าที่กำหนดค่า ภาระงานของคุณ ให้เป็นไปตามข้อกำหนดบนโครงสร้างพื้นฐานดังกล่าว

การรับช่วงการรับรองของ AWS ไม่ได้ทำให้แอปพลิเคชันของคุณเป็นไปตามข้อกำหนดโดยอัตโนมัติ

สิ่งประดิษฐ์ AWS คือพอร์ทัลสำหรับ รายงานและข้อตกลงด้านการปฏิบัติตามข้อกำหนดของ AWS

คุณดาวน์โหลดรายงาน SOC ใบรับรอง ISO คำรับรอง PCI และยอมรับข้อตกลง เช่น ภาคผนวกคู่ค้าทางธุรกิจ (BAA) สำหรับ HIPAA ผู้ตรวจสอบมักต้องการเอกสารเหล่านี้เพื่อยืนยันส่วนของ AWS ในการปฏิบัติตามข้อกำหนด

ตัวจัดการการตรวจสอบของ AWS รวบรวมหลักฐานอย่างต่อเนื่องและจับคู่หลักฐานเหล่านั้นกับการควบคุมของกรอบงาน

โดยใช้กรอบงานสำเร็จรูปสำหรับ PCI, HIPAA และมาตรฐานอื่น ๆ ระบบจะรวบรวมหลักฐานการกำหนดค่าและกิจกรรมโดยอัตโนมัติ เปลี่ยนการจัดทำรายงานการปฏิบัติตามข้อกำหนดจากงานเร่งรีบที่ต้องทำด้วยตนเองให้เป็นกระบวนการต่อเนื่อง

การควบคุมแต่ละรายการจับคู่กับความสามารถของ AWS อย่างน้อยหนึ่งรายการ ตัวอย่างเช่น:

• ข้อกำหนดด้านการเข้ารหัสข้อมูลขณะจัดเก็บจับคู่กับ KMS
• การบันทึกการเข้าถึงจับคู่กับ CloudTrail
• หลักสิทธิ์น้อยที่สุดจับคู่กับ IAM และตัววิเคราะห์การเข้าถึง

การรู้จักการจับคู่เหล่านี้เป็นความรู้หลักที่ต้องใช้ในการสอบ

PCI DSS ปกป้อง ข้อมูลผู้ถือบัตร บน AWS คุณจัดการข้อกำหนดนี้ด้วยการเข้ารหัส (KMS) การแบ่งส่วนเครือข่าย (VPC และกลุ่มความปลอดภัย) การบันทึก (CloudTrail และ Config) และการควบคุมการเข้าถึง (IAM)

ชุดการกำหนดค่าตาม PCI และกรอบงานของตัวจัดการการตรวจสอบช่วยแสดงให้เห็นการควบคุมทางเทคนิค

HIPAA กำกับดูแล ข้อมูลสุขภาพที่ได้รับการคุ้มครอง AWS รองรับข้อกำหนดนี้ผ่าน BAA และรายการบริการที่มีสิทธิ์ใช้กับ HIPAA

คุณต้องใช้บริการที่มีสิทธิ์ เข้ารหัส PHI ทั้งขณะส่งผ่านและขณะจัดเก็บ และบันทึกการเข้าถึง เฉพาะบริการที่มีสิทธิ์เท่านั้นที่สามารถประมวลผล PHI ภายใต้ข้อตกลงนี้

การปฏิบัติตามข้อกำหนดสมัยใหม่เป็นเรื่อง ต่อเนื่อง ไม่ใช่งานเร่งรีบที่ทำปีละครั้ง

• ชุดการกำหนดค่าตามมาตรฐานจะตรวจสอบการควบคุมอยู่เสมอ
• มาตรฐานของ Security Hubจะให้คะแนนสถานะเทียบกับเกณฑ์มาตรฐาน
• ตัวจัดการการตรวจสอบจะรวบรวมหลักฐานตลอดเวลา

เมื่อทำงานร่วมกัน สิ่งเหล่านี้ช่วยให้คุณพร้อมรับการตรวจสอบตลอดทั้งปี

กรอบงานบางประเภทกำหนดให้ข้อมูลต้องอยู่ใน ภูมิภาคหรือเขตอำนาจศาลที่ระบุ

คุณบังคับใช้ข้อกำหนดด้านถิ่นที่อยู่ด้วยการจำกัดภูมิภาคผ่าน SCP และเก็บข้อมูลไว้ในภูมิภาคที่เป็นไปตามข้อกำหนด การแยกภูมิภาคของ AWS หมายความว่าข้อมูลจะไม่ออกจากภูมิภาค เว้นแต่คุณจะย้ายข้อมูลเอง

มาตรฐานความปลอดภัยของ Security Hub เช่น แนวทางปฏิบัติที่ดีที่สุดพื้นฐานของ AWS และเกณฑ์มาตรฐาน CIS ล้วนเป็น การจับคู่การควบคุมที่ผ่านการคัดสรรมาแล้ว

การควบคุมแต่ละรายการสอดคล้องกับแนวทางปฏิบัติที่ดีที่สุดที่เป็นที่ยอมรับ และคะแนนการปฏิบัติตามข้อกำหนดจะแสดงว่าสภาพแวดล้อมของคุณทำได้ดีเพียงใดเมื่อเทียบกับเกณฑ์ การทำเช่นนี้ทำให้ Security Hub เป็นสะพานเชิงปฏิบัติระหว่างการกำหนดค่า AWS กับความคาดหวังของกรอบงาน

หากต้องการปฏิบัติตามกรอบงาน ให้ดาวน์โหลดหลักฐานของ AWS จาก Artifact กำหนดค่าภาระงานด้วยบริการที่จับคู่ไว้ บังคับใช้การตรวจสอบด้วย ชุดการกำหนดค่าตามมาตรฐานและ Security Hub และรวบรวมหลักฐานด้วย ตัวจัดการการตรวจสอบ

การปฏิบัติตามข้อกำหนดประกอบด้วยสถาปัตยกรรมและกระบวนการต่อเนื่อง

ค้นหาพอร์ทัลที่เหมาะสม

คุณได้เรียนรู้การจับคู่การควบคุมกับกรอบงาน

• การปฏิบัติตามข้อกำหนดเป็น ความรับผิดชอบร่วมกัน AWS รับรองโครงสร้างพื้นฐาน ส่วนคุณเป็นผู้กำหนดค่าภาระงาน
• Artifact ให้รายงานและข้อตกลง ส่วน ตัวจัดการการตรวจสอบรวบรวมหลักฐาน
• ชุดการกำหนดค่าตามมาตรฐานและ Security Hub ช่วยให้เกิด การปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง