SEC01-BP03 Identificazione e convalida degli obiettivi di controllo
In base ai requisiti di conformità e ai rischi identificati dal modello di rischio, deriva e convalida gli obiettivi di controllo e i controlli da applicare al carico di lavoro. La convalida continua degli obiettivi di controllo e dei controlli aiuta a misurare l'efficacia della mitigazione dei rischi.
Risultato desiderato: gli obiettivi di controllo della sicurezza della tua azienda sono ben definiti e allineati ai tuoi requisiti di conformità. I controlli vengono implementati e applicati attraverso l'automazione e le policy e vengono costantemente valutati per verificarne l'efficacia nel raggiungimento degli obiettivi. Le prove dell'efficacia, sia in un determinato momento che in un determinato periodo di tempo, sono prontamente comunicate ai revisori.
Anti-pattern comuni:
-
I requisiti normativi, le aspettative del mercato e gli standard di settore per una sicurezza certa non sono ben compresi dalla tua azienda.
-
I framework di sicurezza informatica e gli obiettivi di controllo non sono allineati ai requisiti dell'azienda.
-
L'implementazione dei controlli non è perfettamente allineata agli obiettivi di controllo in modo misurabile.
-
L'automazione non viene utilizzata per creare report sull'efficacia dei tuoi controlli.
Livello di rischio associato se questa best practice non fosse adottata: elevato
Guida all'implementazione
I framework di sicurezza informatica comunemente utilizzati sono molti e possono costituire la base per gli obiettivi di controllo della sicurezza. Per determinare quale sia il framework più adatto alle tue esigenze, considera i requisiti normativi, le aspettative del mercato e gli standard di settore dell'azienda. A titolo esemplificativo, è possibile citare AICPA SOC 2
Per gli obiettivi di controllo identificati, occorre comprendere in che modo i servizi AWS utilizzati permettono di conseguirli. Utilizza AWS Artifact
Nel definire i controlli che raggiungono i tuoi obiettivi, codifica l'applicazione utilizzando i controlli preventivi e automatizza le mitigazioni mediante i controlli di rilevamento. Aiuta a prevenire le configurazioni e le azioni non conformi su AWS Organizations utilizzando le policy di controllo dei servizi. Implementa le regole in AWS Config
Utilizza i Pacchetti APN Partner
Passaggi dell'implementazione
-
Valuta i framework di sicurezza informatica comuni e allinea i tuoi obiettivi di controllo a quelli scelti.
-
Ottieni la documentazione pertinente sulle linee guida e le responsabilità per il tuo framework utilizzando AWS Artifact. Comprendi quali parti della conformità rientrano nel modello di responsabilità condivisa AWS e quali sono di tua competenza.
-
Utilizza le policy di controllo dei servizi, le policy sulle risorse, le policy di attendibilità dei ruoli e altri guardrail per prevenire configurazioni e azioni delle risorse non conformi.
-
Valuta l'implementazione di standard Security Hub e pacchetti di conformità AWS Config in linea con i tuoi obiettivi di controllo.
Risorse
Best practice correlate:
Documenti correlati:
Strumenti correlati: