Cloud Compliance e AWS

Nos primeiros dias da nuvem, muitas organizações que precisavam se preocupar com conformidade nem olhavam para a nuvem. Eles já tinham problemas suficientes para gerenciar a conformidade no local, como na Terra por que gerenciar na nuvem? A conformidade com a nuvem foi e ainda é muito importante para muitas organizações. Esses requisitos de conformidade com a nuvem estimularam vários participantes menores e muito especializados, muitos dos quais não existiam por muito tempo. Isso deixou as organizações com um gosto ruim na boca quando se tratava de conformidade com a nuvem.

Isso foi antes. Agora, nossos amigos em AWS fizeram grandes avanços para ajudar as organizações a atender aos requisitos de conformidade da nuvem. A conformidade com a nuvem é única, pois requer atenção cuidadosa do cliente e do provedor de nuvem. Embora o provedor de nuvem seja responsável por atender a muitos desses requisitos de conformidade de nuvem, isso não significa que o cliente esteja livre. A conformidade com a nuvem é um ato de equilíbrio entre os controles locais e nos data centers em nuvem.

Cloud Compliance e você

Se você deseja saber mais sobre o compromisso da AWS com a conformidade com a nuvem, o Site da AWS é um bom ponto de partida. Aqui, você poderá encontrar vários recursos para encontrar mais informações para qualquer pessoa que esteja preocupada com conformidade em nuvem. AWS também introduziu um caminho de aprendizagem especificamente voltado para auditores que desejam garantir que suas organizações estejam aderindo aos requisitos de conformidade da nuvem. As ofertas variam de cursos ministrados por instrutor a laboratórios individualizados e cursos básicos de segurança da AWS gratuitos. Este curso é um recurso fantástico para quem deseja aprender mais sobre a segurança da AWS, não apenas aqueles vinculados aos requisitos de conformidade da nuvem.

AWS uma série de programas de garantia de conformidade em nuvem no lugar. Esses programas variam de programas locais, como GxP nos Estados Unidos (eu já mencionei o quanto adoro o GxP?) para o padrão de segurança de dados do setor de cartões de pagamento usado globalmente, mais comumente referido como PCI DSS. Existem muitos outros programas em funcionamento, que você pode encontrar listados aqui.

Muitas organizações devem se preocupar com a conformidade com PCI DSS, e a AWS é certificada como Provedor de serviços de nível 1 do PCI DSS. Isso significa que a AWS armazena processos ou transmite mais de 300,000 transações anualmente. Se você não está familiarizado com os padrões PCI DSS, você pode baixe-os diretamente de graça do PCI. Se você está procurando uma simplificação grosseira desses padrões, trata-se de proteger os dados do titular do cartão de diferentes maneiras em toda a organização, desde a rede até o pessoal da organização.

Implantando com o Cloud Compliance em mente

AWS oferece um Solução de início rápido para PCI DSS. Esta solução cria um ambiente que está pronto para funcionar em cerca de 30 minutos. Para obter mais informações, você pode ver o Guia de implantação de referência de início rápido aqui.

Além da solução PCI DSS Quick Start, também há várias soluções Quick Start de conformidade em nuvem disponíveis para o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, também conhecido como NIST. O NIST Quick Start é um cabo que fornece conformidade com a nuvem para os seguintes padrões:

• NIST SP 800-53
• NIST SP 800-171
• Sobreposição FedRAMP TIC
• SRG de computação em nuvem do DoD

Ambas as soluções Quick Start de conformidade com a nuvem também apresentam planilhas de controle do Microsoft Excel prontas para uso, que podem ser baixadas. Esses são um ótimo ponto de partida para qualquer pessoa que use um Quick Start baseado em conformidade em nuvem para ver quais controles foram implementados em seu ambiente recém-implementado.

É importante lembrar que simplesmente mudar para a nuvem não remove os requisitos de conformidade, simplesmente altera alguns deles. As questões que podem ser levantadas pelos requisitos de conformidade são tratadas duas vezes: pelas organizações afetadas pelos requisitos e pelos provedores de hospedagem em nuvem.