Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Ikhtisar ontologi
AWS telah mengembangkan sistem klasifikasi standar untuk membantu mengklasifikasikan, mengatur, dan membuat pemetaan di antara kontrol. Ontologi ini dapat digunakan untuk memetakan kontrol ke standar peraturan yang ada dan yang baru, termasuk 24 kerangka kerja, serta standar peraturan seperti PCI, HIPAA, dan lainnya. Kami juga memetakan ke standar industri seperti NIST dan ISO, dan kerangka kerja khusus Amazon, termasuk kerangka kerja Well-Architected.
Ontologi memiliki empat aspek inti
-
Klasifikasi kontrol berdasarkan domain Kontrol, Tujuan kontrol, dan kontrol umum. Ontologi membantu mengatur dan mengelompokkan kontrol terkait ke dalam tiga tingkatan—
-
L1: Kontrol domain,
-
L2: Tujuan kontrol,
-
L3: Kontrol umum.
Level-level ini memiliki hubungan hierarkis yang ketat. Artinya, setiap domain memiliki beberapa tujuan kontrol, tetapi setiap tujuan kontrol harus memiliki domain induk tunggal. Setiap tujuan kontrol memiliki beberapa kontrol umum, tetapi setiap kontrol umum memiliki tujuan induk tunggal.
-
-
Pemetaan ke standar peraturan. Ontologi memiliki konsep yang disebut kontrol Standar (L4) yang mewakili persyaratan khusus dalam standar peraturan atau industri. Kontrol Standar ini dipetakan ke kontrol Umum yang membantu mengatasi persyaratan spesifik tersebut.
Misalnya, PCI-DSS v3.2.1. ID 4.1 Gunakan protokol kriptografi dan keamanan yang kuat untuk melindungi data pemegang kartu sensitif selama transmisi melalui jaringan publik terbuka dan NIST 800.53.r5 ID SC-16 Transmisi atribut keamanan dan privasi adalah dua kontrol Standar, keduanya memetakan ke Enkripsi data dalam perjalanan Kontrol umum.
-
Implementasi kontrol dan bukti kontrol. Ontologi memiliki konsep implementasi Kontrol (L6) yang dapat mewakili implementasi kontrol tertentu dalam AWS, misalnya, AWS Control Tower kontrol, AWS Security Hub pemeriksaan, AWS Config aturan, dan sebagainya, atau implementasi non-teknis di luar AWS, seperti panduan proses. Konsep terpisah dari bukti Kontrol (L7) mewakili sumber data yang dapat digunakan sebagai bukti untuk kontrol oleh AWS Audit Manager, alat pihak ketiga, atau pelanggan itu sendiri. Sumber bukti ini dapat berupa AWS sumber seperti AWS CloudTrail peristiwa, log panggilan API, dan hasil evaluasi AWS Config aturan. Atau, mereka bisa menjadi sumber eksternal seperti dokumentasi pelanggan.
-
Konsep kontrol Core (L5). Kontrol inti adalah lapisan pemetaan yang mengkonsolidasikan semua implementasi kontrol (L6), sumber bukti yang sesuai (L7), kontrol standar terkait (L4), dan kontrol umum (L3) menjadi objek holistik tunggal. Kontrol inti lebih merupakan dokumen pemetaan daripada kontrol itu sendiri. Ini membantu menjawab pertanyaan tunjukkan semua info yang terkait dengan kontrol X. Setiap kontrol inti dapat memiliki beberapa implementasi kontrol (L6) dan beberapa sumber bukti (L7).
Singkatnya, ontologi katalog AWS kontrol berisi tujuh lapisan. Tiga adalah lapisan klasifikasi hierarkis (Domain kontrol, Tujuan kontrol, kontrol umum). Lapisan lain (Kontrol standar) menjelaskan persyaratan standar peraturan atau industri. Lapisan pemetaan (Kontrol inti) menjelaskan hasil kontrol untuk jenis sumber daya tertentu. Dua lapisan (Implementasi kontrol, bukti Kontrol) menggambarkan implementasi kontrol spesifik dan sumber bukti.
Ontologi ini dirancang oleh AWS tim auditor bersertifikat, berdasarkan pengalaman mereka bekerja dengan ratusan pelanggan untuk audit kepatuhan. Konsep domain Kontrol, tujuan Kontrol, Kontrol umum, dan kontrol Standar (L1-L4) digunakan di seluruh industri. Mereka cocok dengan pola industri umum dan rekomendasi NIST. Tiga lapisan yang tersisa (L5-L7) dirancang berdasarkan AWS konsep yang ada, seperti jenis sumber daya dan kontrol terkelola.
