Validation de conformité pour AWS Secrets Manager

Lorsque vous utilisez Secrets Manager, votre responsabilité en matière de conformité dépend de la sensibilité de vos données, des objectifs de conformité de votre entreprise et des lois et réglementations applicables. AWS fournit les ressources suivantes pour faciliter la mise en conformité :

• Guides démarrage rapide de la sécurité et de la conformité. Ces guides de déploiement traitent des considérations architecturales et fournissent des étapes pour déployer des environnements de base axés sur la sécurité et la conformité sur AWS.

• Livre blanc sur l'architecture au service de la HIPAA sécurité et de la conformité : ce livre blanc décrit comment les entreprises peuvent créer des applications AWS conformes. HIPAA

• AWS Ressources de https://aws.amazon.com/compliance/resources/ de conformité — Cette collection de classeurs et de guides peut s'appliquer à votre secteur d'activité et à votre région.

• AWS Config permet d'évaluer la conformité des configurations de vos ressources aux pratiques internes, règlementations et directives du secteur. Pour plus d’informations, consultez Surveillez AWS Secrets Manager les secrets pour garantir la conformité en utilisant AWS Config.

• AWS Security Hubfournit une vue complète de l'état de votre sécurité interne AWS qui vous aide à vérifier votre conformité aux normes et aux meilleures pratiques du secteur de la sécurité. Pour plus d'informations sur l'utilisation de Security Hub pour évaluer les ressources Secrets Manager, consultez Contrôles d'AWS Secrets Manager dans le Guide de l'utilisateur AWS Security Hub .

• IAMAccess Analyzer analyse les politiques, y compris les déclarations de condition contenues dans une politique, qui permettent à une entité externe d'accéder à un secret. Pour plus d'informations, consultez Prévisualisation de l'accès avec Access Analyzer.

• AWS Systems Manager fournit des runbooks prédéfinis pour Secrets Manager. Pour plus d'informations, consultez Référence des runbooks Systems Manager Automation pour Secrets Manager.

• Vous pouvez télécharger des rapports d'audit tiers à l'aide de AWS Artifact. Pour plus d'informations, voir Téléchargement de rapports dans AWS Artifact .

Normes de conformité

AWS Secrets Manager a fait l'objet d'un audit pour les normes suivantes et peut faire partie de votre solution lorsque vous devez obtenir une certification de conformité.

• HIPAA— AWS a élargi son programme de conformité à la Health Insurance Portability and Accountability Act (HIPAA) pour y inclure AWS Secrets Manager un service HIPAA éligible. Si vous avez signé un accord de partenariat commercial (BAA) avec AWS, vous pouvez utiliser Secrets Manager pour créer vos applications HIPAA conformes. AWS propose un livre blanc HIPAA axé sur le traitement et le stockage des informations de santé aux clients qui souhaitent en savoir plus sur la manière dont ils peuvent tirer parti AWS pour le traitement et le stockage des informations médicales. Pour plus d'informations, consultez la section HIPAAConformité.

• PCIOrganisation participante — AWS Secrets Manager possède une attestation de conformité à la norme de sécurité des données (PCI) de l'industrie des cartes de paiement (DSS) version 3.2 au niveau 1 du fournisseur de services. Les clients qui utilisent AWS des produits et services pour stocker, traiter ou transmettre les données des titulaires de cartes peuvent AWS Secrets Manager les utiliser pour gérer leur propre certification de PCI DSS conformité. Pour plus d'informations PCIDSS, notamment sur la manière de demander une copie du Package de AWS PCI conformité, consultez le PCIDSSniveau 1.

• ISO— AWS Secrets Manager a terminé avec succès les certifications de conformité pourISO/IEC27001,ISO/IEC27017,ISO/IEC27018 et 9001. ISO Pour plus d'informations, consultez ISO27001, ISO27017, ISO 27018, 9001. ISO

• AICPASOC— Les rapports de contrôle du système et de l'organisation (SOC) sont des rapports d'examen indépendants réalisés par des tiers qui montrent comment Secrets Manager atteint les principaux contrôles et objectifs de conformité. L'objectif de ces rapports est de vous aider, ainsi que vos auditeurs, à comprendre les AWS contrôles établis pour soutenir les opérations et la conformité. Pour plus d'informations, consultez la section SOCConformité.

• Fed RAMP — Le programme fédéral de gestion des risques et des autorisations (FedRAMP) est un programme gouvernemental qui fournit une approche standardisée en matière d'évaluation de la sécurité, d'autorisation et de surveillance continue des produits et services cloud. Le RAMP programme de la Fed fournit également des autorisations provisoires pour les services et les régions pour l'Est/Ouest et GovCloud pour la consommation de données gouvernementales ou réglementées. Pour plus d'informations, consultez la section RAMPConformité de la Fed.

• Département de la défense — Le guide des exigences de sécurité du cloud computing () du ministère de la Défense (DoDSRG) fournit un processus d'évaluation et d'autorisation standardisé permettant aux fournisseurs de services cloud (CSPs) d'obtenir une autorisation provisoire du DoD, afin de pouvoir servir les clients du DoD. Pour plus d'informations, consultez les ressources du DoD SRG

• IRAP— Le programme d'évaluateurs enregistrés en matière de sécurité de l'information (IRAP) permet aux clients du gouvernement australien de vérifier que les contrôles appropriés sont en place et de déterminer le modèle de responsabilité approprié pour répondre aux exigences du manuel de sécurité de l'information du gouvernement australien (ISM) produit par le Centre australien de cybersécurité (ACSC). Pour plus d'informations, voir IRAPRessources

• OSPAR— Amazon Web Services (AWS) a obtenu l'attestation du rapport d'audit du fournisseur de services externalisés (OSPAR). AWS l'alignement sur les directives de l'Association des banques de Singapour (ABS) sur les objectifs et procédures de contrôle pour les fournisseurs de services externalisés (ABSdirectives) démontre aux clients l' AWS engagement des clients à répondre aux attentes élevées du secteur des services financiers à l'égard des fournisseurs de services cloud à Singapour. Pour plus d'informations, voir OSPARRessources