Convalida della conformità per Amazon CloudFront

I revisori di terze parti valutano la sicurezza e la conformità di Amazon nell' CloudFront ambito di diversi programmi di AWS conformità. Sono inclusi SOC, PCI e HIPAA.

Per un elenco dei AWS servizi che rientrano nell'ambito di specifici programmi di conformità, consulta AWS Services in Scope by Compliance Program. Per informazioni generali, consulta Programmi di conformità di AWS.

È possibile scaricare report di audit di terze parti utilizzando AWS Artifact. Per ulteriori informazioni, consulta Scaricamento dei report in AWS Artifact.

La vostra responsabilità di conformità durante l'utilizzo CloudFront è determinata dalla sensibilità dei dati, dagli obiettivi di conformità dell'azienda e dalle leggi e dai regolamenti applicabili. AWS fornisce le seguenti risorse per contribuire alla conformità:

• Guide introduttive su sicurezza e conformità: queste guide all'implementazione illustrano considerazioni sull'architettura e forniscono passaggi per implementare ambienti di base incentrati sulla sicurezza e la conformità. AWS

• Architecting for HIPAA Security and Compliance on AWS: questo white paper descrive in che modo le aziende possono utilizzare per creare applicazioni conformi allo standard HIPAA. AWS

  Il programma di conformità AWS HIPAA include CloudFront (esclusa la distribuzione di contenuti tramite PoP integrati) come servizio idoneo alla normativa HIPAA. CloudFront Se disponi di un Business Associate Addendum (BAA) eseguito con AWS, puoi utilizzare CloudFront (esclusa la distribuzione di contenuti tramite POP CloudFront incorporati) per fornire contenuti che contengono informazioni sanitarie protette (PHI). Per ulteriori informazioni, consulta Compliance HIPAA.

• AWS Risorse per la conformità: questa raccolta di cartelle di lavoro e guide potrebbe riguardare il settore e la località in cui operi.

• AWS Config— Questo AWS servizio valuta la conformità delle configurazioni delle risorse alle pratiche interne, alle linee guida del settore e alle normative.

• AWS Security Hub— Questo AWS servizio utilizza controlli di sicurezza per valutare le configurazioni delle risorse e gli standard di sicurezza per aiutarvi a rispettare vari quadri di conformità. Per ulteriori informazioni sull'utilizzo di Security Hub per valutare CloudFront le risorse, consulta CloudFront i controlli di Amazon nella Guida per l'AWS Security Hub utente.

CloudFront migliori pratiche di conformità

Questa sezione fornisce le migliori pratiche e consigli per la conformità quando usi Amazon CloudFront per pubblicare i tuoi contenuti.

Se esegui carichi di lavoro conformi a PCI o HIPAA basati sul modello di responsabilitàAWS condivisa, ti consigliamo di registrare i CloudFront dati di utilizzo degli ultimi 365 giorni per scopi di controllo futuri. Per registrare dati di utilizzo, puoi procedere come segue:

• Abilita i log di accesso. CloudFront Per ulteriori informazioni, consulta Configurazione e utilizzo di log standard (log di accesso).

• Acquisisci le richieste inviate all' CloudFront API. Per ulteriori informazioni, consulta Registrazione delle chiamate CloudFront API Amazon tramite AWS CloudTrail.

Inoltre, consulta quanto segue per i dettagli sulla conformità agli standard PCI DSS e SOC. CloudFront

Payment Card Industry Data Security Standard (PCI DSS)

CloudFront (esclusa la distribuzione di contenuti tramite PoP CloudFront integrati) supporta l'elaborazione, l'archiviazione e la trasmissione dei dati delle carte di credito da parte di un commerciante o di un fornitore di servizi ed è stato convalidato come conforme al Payment Card Industry (PCI) Data Security Standard (DSS). Per ulteriori informazioni su PCI DSS, incluso come richiedere una copia del PCI AWS Compliance Package, vedere PCI DSS Level 1.

Come best practice di sicurezza, ti consigliamo di non memorizzare nella cache edge i dati delle carte di credito. CloudFront Ad esempio, puoi configurare la tua origine per includere un'intestazione Cache-Control:no-cache="nome campo" nelle risposte che contengono informazioni su carte di credito, ad esempio le ultime quattro cifre di un numero di carta di credito e le informazioni di contatto del proprietario della carta.

System and Organization Controls (SOC)

CloudFront (esclusa la distribuzione di contenuti tramite PoP CloudFront integrati) è conforme alle misure SOC (System and Organization Controls), tra cui SOC 1, SOC 2 e SOC 3. I report SOC sono rapporti di esame indipendenti e di terze parti che dimostrano come raggiungere i controlli e gli obiettivi chiave di conformità. AWS Questi audit assicurano che vengano attuate le adeguate procedure e tutele per proteggersi dai rischi che possono minare sicurezza, riservatezza e disponibilità dei dati di clienti e aziende. I risultati di questi audit di terze parti sono disponibili sul sito Web AWS SOC Compliance, dove è possibile visualizzare i report pubblicati per ottenere maggiori informazioni sui controlli a supporto AWS delle operazioni e della conformità.