A ideia central: duas conformidades diferentes
Conformidade na AWS segue o mesmo modelo de responsabilidade compartilhada. Existem duas perguntas distintas:
- A infraestrutura da AWS está em conformidade? A AWS responde, com auditorias de terceiros e relatórios.
- O seu workload está em conformidade? Só você responde: configuração, dados, acessos, processos e pessoas.
AWS Artifact: a evidência do lado da AWS
O AWS Artifact oferece download sob demanda dos documentos de segurança e conformidade da AWS, como relatórios SOC, relatórios e certificados ISO e documentos PCI. Também permite revisar e aceitar acordos com a AWS, para uma conta ou para várias contas da organização.
Como usar na prática:
- Entregar os relatórios ao seu auditor ou regulador como evidência dos controles da AWS (os controles herdados).
- Ler a orientação de responsabilidade dos relatórios para descobrir quais controles complementares você precisa implementar.
- Conferir a página AWS Services in Scope by Compliance Program antes de usar um serviço num workload regulado.
A SEC01-BP05 reforça a mesma ideia: usar serviços gerenciados pode deslocar parte dos requisitos de conformidade para a AWS, e o Artifact é como você comprova essa parte.
AWS Config e conformance packs: a evidência do seu lado
O AWS Config registra a configuração dos seus recursos ao longo do tempo e avalia esses recursos contra regras. Um conformance pack é um conjunto de regras do Config e ações de remediação, definido num template YAML e implantado como uma unidade, numa conta e Região ou em toda a organização no AWS Organizations.
- A AWS publica templates de exemplo para vários frameworks (como PCI DSS, HIPAA e NIST) e para boas práticas operacionais, inclusive do pilar de Segurança do Well-Architected.
- Você pode criar templates próprios, com regras gerenciadas ou customizadas.
- O painel do pack mostra o status por regra e por recurso; a evidência é o configuration item de cada recurso, que pode ser exportado (por exemplo, com advanced queries).
Security Hub CSPM e padrões de segurança
O AWS Security Hub CSPM (Cloud Security Posture Management; antes chamado apenas de Security Hub) avalia continuamente contas e recursos contra padrões. Cada padrão reúne controles, e cada controle representa uma boa prática. Entre os padrões disponíveis estão o AWS Foundational Security Best Practices (FSBP), o CIS AWS Foundations Benchmark, o NIST SP 800-53 Rev. 5 e o PCI DSS.
A SEC01-BP03 recomenda avaliar os padrões do Security Hub CSPM como primeira opção, com FSBP e CIS como bons pontos de partida, e complementar com conformance packs onde faltar cobertura. A documentação também avisa: padrões e controles não garantem conformidade com nenhum framework regulatório ou auditoria; eles ajudam a monitorar o estado do ambiente.
Hoje existe também o AWS Security Hub, uma solução unificada que correlaciona sinais do Security Hub CSPM, Amazon GuardDuty, Amazon Inspector, Amazon Macie e IAM Access Analyzer para priorizar riscos. Os dois serviços se complementam. O uso para medir postura vem na lição 16.
AWS Audit Manager: atenção ao status do serviço
O AWS Audit Manager automatiza a coleta de evidências (chamadas de API, controles do Security Hub CSPM, eventos do CloudTrail e regras do Config) e as organiza por frameworks prontos, como SOC 2, PCI DSS e HIPAA, gerando relatórios de auditoria.
Para os controles não técnicos (políticas, treinamentos, processos), você continua precisando de um processo próprio de evidências, às vezes com ferramentas de parceiros.
Exemplo brasileiro: LGPD
A LGPD (Lei Geral de Proteção de Dados) é a principal regulação brasileira de proteção de dados pessoais. Segundo a página da AWS sobre o tema, ela exige que controladores e operadores adotem medidas técnicas e administrativas para proteger dados pessoais, e que as organizações consigam demonstrar as medidas adotadas.
- Lado da AWS: medidas técnicas e organizacionais da infraestrutura, validadas por terceiros em programas como ISO 27001, ISO 27017, ISO 27018 e SOC 1, 2 e 3 (relatórios no Artifact).
- Seu lado: a AWS não tem visibilidade sobre o conteúdo que você armazena. Classificação de dados, criptografia, gestão de acesso e credenciais são suas, e a responsabilidade final pela conformidade com a LGPD é do cliente.
Esta lição não é aconselhamento jurídico: a interpretação da lei para o seu caso deve vir do seu time jurídico ou do encarregado de dados (DPO).
Teste rápido
O auditor pede evidência de que os data centers onde seu workload roda têm controles de acesso físico. Onde você obtém isso?
Todos os controles do padrão PCI DSS no Security Hub CSPM estão aprovados. O que isso significa?
Resumo
A conformidade da AWS cobre a infraestrutura e é comprovada pelo AWS Artifact; a do seu workload é sua. Para a sua parte, use regras e conformance packs do AWS Config e padrões do Security Hub CSPM, sabendo que cobrem só controles técnicos. O Audit Manager está em modo de manutenção. Com a LGPD, como com qualquer regulação, a responsabilidade final é do cliente.
Referência Well-Architected
Referências
Terminou esta lição?
Seu progresso fica salvo apenas neste navegador.