Recursos
Enlaces curados a la guía oficial de AWS y de la industria sobre la que se construye este modelo, además de respuestas a preguntas comunes de seguridad y cumplimiento.
Ve cómo cada elemento de AWS CAF y Well-Architected mapea a los controles de este modelo.
Marcos de seguridad
Principios de diseño y mejores prácticas para proteger cargas de trabajo en AWS.
docs.aws.amazon.com ↗Las 10 capacidades de seguridad que organizan los dominios de este modelo.
docs.aws.amazon.com ↗Diseño de estado objetivo para desplegar servicios de seguridad en un entorno multicuenta.
docs.aws.amazon.com ↗Cómo AWS se alinea con y soporta el NIST CSF.
aws.amazon.com ↗Líneas base de configuración prescriptivas para proteger una cuenta de AWS.
www.cisecurity.org ↗Documentación de seguridad de AWS
Documentación de seguridad organizada por categoría y servicio.
docs.aws.amazon.com ↗Arquitecturas de referencia y mejores prácticas de seguridad, identidad y cumplimiento.
aws.amazon.com ↗El catálogo de servicios de AWS para proteger cargas, muchos con capa gratuita.
aws.amazon.com ↗Acceso bajo demanda a informes de cumplimiento de AWS (SOC 2, ISO) y acuerdos.
aws.amazon.com ↗Whitepapers de seguridad de AWS
Cómo AWS protege su infraestructura y el límite de responsabilidad compartida.
d1.awsstatic.com ↗Certificaciones y programas de AWS, y cómo abordar el riesgo y el cumplimiento en la nube.
docs.aws.amazon.com ↗Cómo AWS logra el aislamiento entre inquilinos sin depender de la separación física.
d1.awsstatic.com ↗Prepararse, responder y recuperarse de incidentes de seguridad en AWS.
docs.aws.amazon.com ↗Preguntas frecuentes
¿Cómo completo un cuestionario de seguridad de proveedor / debida diligencia para AWS?
Empieza con AWS Artifact para informes de cumplimiento bajo demanda: el informe SOC 2 ofrece una visión completa de la implementación y efectividad de los controles de AWS. El CSA CAIQ recoge las respuestas de AWS a las preguntas que suelen hacer un consumidor de nube o un auditor, y la guía de Riesgo y Cumplimiento de AWS cubre certificaciones y atestaciones.
¿Qué servicios de AWS cumplen con los estándares comunes de seguridad y cumplimiento?
AWS Services in Scope lista los servicios evaluados frente a cada programa de cumplimiento. Salvo que se indique como excluido, un servicio listado se revisa y prueba como parte de la evaluación de ese programa.
¿Puedo cumplir mis requisitos regulatorios en AWS?
AWS atiende a clientes de todo el mundo y se adapta a regulaciones cambiantes. El AWS Compliance Center te permite consultar requisitos regulatorios relacionados con la nube por país y ver cómo afectan a tu industria.
¿AWS usa sub-procesadores que puedan acceder a mis datos?
Ningún sub-procesador está autorizado a acceder al contenido de cliente que subes a AWS. AWS publica la lista de sub-procesadores (con notificaciones de cambios opcionales) y una página de acceso de terceros para que lo monitorees durante el año.
¿Pueden compartir las ubicaciones de los centros de datos de AWS para mis planes de continuidad/DR?
Las ubicaciones de los centros de datos son confidenciales para proteger los datos de los clientes. Aun así, puedes evaluar la resiliencia física con la página de AWS Data Center Controls y el informe SOC 2 en AWS Artifact.
¿Qué debo evaluar para la recuperación ante desastres en AWS?
Primero define tus objetivos de resiliencia y cualquier requisito regulatorio, y luego diseña para cumplirlos, por ejemplo usando Zonas de Disponibilidad y Regiones físicamente separadas para cargas críticas. Consulta la página de AWS Data Center Controls y el informe SOC 2 en AWS Artifact.
Sobre las referencias a marcos y su atribución
Este modelo mapea los controles de seguridad de AWS a varios marcos para ayudarte a ubicar el control correspondiente. Los marcos referenciados son propiedad de sus respectivos titulares; este es un recurso educativo independiente de AWS y no está afiliado, respaldado ni aprobado por esas organizaciones.
El AWS Cloud Adoption Framework (perspectiva de seguridad) y el AWS Well-Architected Framework son publicados por AWS. El NIST Cybersecurity Framework es una publicación del National Institute of Standards and Technology (NIST) de EE. UU.; las publicaciones de NIST no están sujetas a copyright en EE. UU., y aquí se acredita la fuente con agradecimiento.
Las referencias a los marcos se ofrecen solo para navegación y mapeo; este modelo los resume y mapea, y no sustituye a los documentos fuente. Consulta siempre la publicación oficial de cada marco como fuente autoritativa.