Recursos
Links selecionados para a orientação oficial da AWS e da indústria sobre a qual este modelo é construído, além de respostas a perguntas comuns de segurança e conformidade.
Veja como cada item do AWS CAF e do Well-Architected mapeia para os controles deste modelo.
Frameworks de segurança
Princípios de design e melhores práticas para proteger cargas de trabalho na AWS.
docs.aws.amazon.com ↗As 10 capacidades de segurança que organizam os domínios deste modelo.
docs.aws.amazon.com ↗Design de estado-alvo para implantar serviços de segurança em um ambiente multiconta.
docs.aws.amazon.com ↗Como a AWS se alinha e apoia o NIST CSF.
aws.amazon.com ↗Baselines de configuração prescritivas para proteger uma conta da AWS.
www.cisecurity.org ↗Documentação de segurança da AWS
Documentação de segurança organizada por categoria e serviço.
docs.aws.amazon.com ↗Arquiteturas de referência e melhores práticas de segurança, identidade e conformidade.
aws.amazon.com ↗O catálogo de serviços da AWS para proteger cargas, muitos com camada gratuita.
aws.amazon.com ↗Acesso sob demanda a relatórios de conformidade da AWS (SOC 2, ISO) e acordos.
aws.amazon.com ↗Whitepapers de segurança da AWS
Como a AWS protege sua infraestrutura e o limite de responsabilidade compartilhada.
d1.awsstatic.com ↗Certificações e programas da AWS, e como abordar risco e conformidade na nuvem.
docs.aws.amazon.com ↗Como a AWS alcança o isolamento entre inquilinos sem depender de separação física.
d1.awsstatic.com ↗Preparar-se, responder e recuperar-se de incidentes de segurança na AWS.
docs.aws.amazon.com ↗Perguntas frequentes
Como preencho um questionário de segurança de fornecedor / due diligence para a AWS?
Comece pelo AWS Artifact para relatórios de conformidade sob demanda — o relatório SOC 2 oferece uma visão completa da implementação e eficácia dos controles da AWS. O CSA CAIQ reúne as respostas da AWS às perguntas que um consumidor de nuvem ou auditor costuma fazer, e o guia de Risco e Conformidade da AWS cobre certificações e atestações.
Quais serviços da AWS atendem aos padrões comuns de segurança e conformidade?
AWS Services in Scope lista os serviços avaliados em relação a cada programa de conformidade. A menos que indicado como excluído, um serviço listado é revisado e testado como parte da avaliação desse programa.
Posso atender aos meus requisitos regulatórios na AWS?
A AWS atende clientes em todo o mundo e se adapta a regulamentações em evolução. O AWS Compliance Center permite consultar requisitos regulatórios relacionados à nuvem por país e ver como afetam o seu setor.
A AWS usa subprocessadores que possam acessar meus dados?
Nenhum subprocessador está autorizado a acessar o conteúdo de cliente que você carrega na AWS. A AWS publica a lista de subprocessadores (com notificações de alterações opcionais) e uma página de acesso de terceiros para que você monitore isso ao longo do ano.
Podem compartilhar as localizações dos data centers da AWS para meus planos de BC/DR?
As localizações dos data centers são confidenciais para proteger os dados dos clientes. Ainda assim, você pode avaliar a resiliência física pela página AWS Data Center Controls e pelo relatório SOC 2 no AWS Artifact.
O que devo avaliar para recuperação de desastres na AWS?
Primeiro defina seus objetivos de resiliência e quaisquer requisitos regulatórios, e depois projete para atendê-los — por exemplo, usando Zonas de Disponibilidade e Regiões fisicamente separadas para cargas críticas. Veja a página AWS Data Center Controls e o relatório SOC 2 no AWS Artifact.
Sobre as referências a frameworks e sua atribuição
Este modelo mapeia os controles de segurança da AWS para vários frameworks para ajudar você a localizar o controle correspondente. Os frameworks referenciados são propriedade de seus respectivos titulares; este é um recurso educacional independente da AWS e não é afiliado, endossado nem aprovado por essas organizações.
O AWS Cloud Adoption Framework (perspectiva de segurança) e o AWS Well-Architected Framework são publicados pela AWS. O NIST Cybersecurity Framework é uma publicação do National Institute of Standards and Technology (NIST) dos EUA; as publicações do NIST não estão sujeitas a direitos autorais nos EUA, e a fonte é creditada aqui com agradecimento.
As referências aos frameworks são fornecidas apenas para navegação e mapeamento; este modelo os resume e mapeia, e não substitui os documentos fonte. Consulte sempre a publicação oficial de cada framework como fonte autoritativa.