Denetimleri Uyumluluk Çerçeveleriyle Eşleştirme

PCI DSS, HIPAA, SOC 2, ISO 27001 ve GDPR gibi düzenlemeler ve standartlar, verilerin güvenli biçimde işlenmesinin nasıl olması gerektiğini tanımlar.

Sınavı geçmek ve gerçek bir işletmeyi yürütmek, denetçilere uyumluluğu kanıtlayabilmeniz için AWS kontrollerini bu çerçevelerle eşleştirmenizi gerektirir.

Güvenlik gibi uyumluluk da paylaşılan bir sorumluluktur.

• AWS, altyapısını birçok çerçeveye göre sertifikalandırır.
• Üzerinde çalışan iş yüklerinizi uyumlu olacak şekilde yapılandırmaktan siz sorumlusunuz.

AWS'nin sertifikalarını devralmanız, uygulamanızı otomatik olarak uyumlu hâle getirmez.

AWS Artifact, AWS'nin uyumluluk raporları ve sözleşmeleri için kullandığı portaldır.

SOC raporlarını, ISO sertifikalarını ve PCI tasdiklerini indirir; HIPAA için Business Associate Addendum (BAA) gibi sözleşmeleri kabul edersiniz. Denetçiler, uyumluluğun AWS tarafını doğrulamak için genellikle bunları görmek ister.

AWS Audit Manager, kanıtları sürekli toplar ve bunları çerçeve kontrolleriyle eşleştirir.

PCI, HIPAA ve diğerleri için önceden hazırlanmış çerçeveleri kullanarak yapılandırma ve etkinlik kanıtlarını otomatik olarak toplar; uyumluluk raporlamasını elle yürütülen telaşlı bir işlem olmaktan çıkarıp sürekli devam eden bir sürece dönüştürür.

Her kontrol, bir veya daha fazla AWS yeteneğiyle eşleşir. Örneğin:

• Bekleyen verilerin şifrelenmesine ilişkin gereksinimler KMS ile eşleşir.
• Erişim günlükleri CloudTrail ile eşleşir.
• En az ayrıcalık ilkesi IAM ve Access Analyzer ile eşleşir.

Bu eşleştirmeleri bilmek, sınav için temel bilgidir.

PCI DSS, kart sahibi verilerini korur. AWS üzerinde bunu şifreleme (KMS), ağ bölümlendirme (VPC, güvenlik grupları), günlük kaydı (CloudTrail, Config) ve erişim denetimi (IAM) ile ele alırsınız.

Bir PCI uygunluk paketi ve Audit Manager çerçevesi, teknik kontrollerin gösterilmesine yardımcı olur.

HIPAA, korunan sağlık bilgilerini düzenler. AWS bunu bir BAA ve HIPAA'ya uygun hizmetler listesi aracılığıyla destekler.

Uygun hizmetleri kullanmalı, PHI'yi aktarım sırasında ve bekleme hâlinde şifrelemeli ve erişimleri günlük kaydına almalısınız. Sözleşme kapsamında PHI'yi yalnızca uygun hizmetler işleyebilir.

Modern uyumluluk süreklidir; yılda bir kez yapılan telaşlı bir işlem değildir.

• Config uygunluk paketleri, kontrolleri sürekli denetler.
• Security Hub standartları, güvenlik durumunu karşılaştırma ölçütlerine göre puanlar.
• Audit Manager, kanıtları zaman içinde toplar.

Bunlar birlikte, tüm yıl boyunca denetime hazır olmanızı sağlar.

Bazı çerçeveler verilerin belirli bölgelerde veya yargı bölgelerinde kalmasını zorunlu kılar.

SCP'ler aracılığıyla bölge kısıtlamaları uygulayarak yerleşimi zorunlu tutar ve verileri uyumlu bölgelerde saklarsınız. AWS'nin bölge yalıtımı sayesinde siz taşımadığınız sürece veriler bir bölgeden çıkmaz.

AWS Foundational Best Practices ve CIS karşılaştırma ölçütü gibi Security Hub güvenlik standartları, kendileri de seçilmiş kontrol eşleştirmeleridir.

Her kontrol, kabul görmüş bir en iyi uygulamaya karşılık gelir ve uyumluluk puanı ortamınızın bu uygulamalara ne ölçüde uyduğunu gösterir. Bu, Security Hub'ı AWS yapılandırması ile çerçeve beklentileri arasında pratik bir köprü hâline getirir.

Bir çerçeveye uymak için Artifact üzerinden AWS'nin kanıtlarını indirin, iş yüklerini eşleştirilmiş hizmetlerle yapılandırın, denetimleri uygunluk paketleri ve Security Hub ile uygulayın ve kanıtları Audit Manager ile toplayın.

Uyumluluk, bir mimarinin yanı sıra sürekli devam eden bir süreçtir.

Doğru portalı bulun.

Kontrolleri çerçevelerle eşlemeyi öğrendiniz.

• Uyumluluk paylaşılan bir sorumluluktur; AWS altyapıyı sertifikalandırır, siz iş yüklerini yapılandırırsınız.
• Artifact raporları ve sözleşmeleri sunar; Audit Manager kanıtları toplar.
• Uygunluk paketleri ve Security Hub, sürekli uyumluluğu mümkün kılar.