Convalida della conformità per Amazon CloudFront - Amazon CloudFront
Best practice di conformità per CloudFront

Convalida della conformità per Amazon CloudFront

Revisori di terze parti valutano la sicurezza e la conformità di Amazon CloudFront come parte di più programmi di conformità di AWS. Sono inclusi SOC, PCI e HIPAA.

Per un elenco di servizi AWS che rientrano nell'ambito di programmi di conformità specifici, consulta Servizi AWS coperti dal programma di compliance. Per informazioni generali, consulta Programmi di conformità di AWS.

Puoi scaricare i report di audit di terze parti utilizzando AWS Artifact. Per ulteriori informazioni, consulta l'argomento Download di report in AWS Artifact.

La responsabilità di conformità quando si utilizza CloudFront è determinata dalla riservatezza dei dati, dagli obiettivi di conformità dell’azienda e dalle normative vigenti. AWS fornisce le risorse seguenti per semplificare la conformità:

  • Guide Quick Start su sicurezza e conformità: queste guide all’implementazione illustrano considerazioni relative all’architettura e forniscono procedure per l’implementazione di ambienti di base incentrati sulla sicurezza e sulla conformità su AWS.

  • Progettazione per la sicurezza e la conformità HIPAA su AWS: questo whitepaper descrive in che modo le aziende possono utilizzare AWS per creare applicazioni conformi ai requisiti HIPAA.

    Il programma di conformità HIPAA di AWS include CloudFront (esclusa la distribuzione di contenuti tramite POP incorporati in CloudFront) come servizio idoneo HIPAA. Se hai stipulato un Business Associate Addendum (BAA) con AWS, puoi utilizzare CloudFront (esclusa la distribuzione di contenuti tramite POP incorporati in CloudFront) per distribuire contenuti che contengono informazioni sanitarie protette (PHI). Per ulteriori informazioni, consulta Compliance HIPAA.

  • Risorse per la conformità di AWS: questa raccolta di workbook e guide potrebbe essere utile al settore e alla posizione.

  • AWS Config: questo servizio AWS valuta il livello di conformità delle configurazioni delle risorse con pratiche interne, linee guida e regolamenti di settore.

  • AWS Security Hub CSPM: questo servizio AWS utilizza controlli di sicurezza per valutare le configurazioni delle risorse e gli standard di sicurezza per aiutarti a rispettare vari framework di conformità. Per ulteriori informazioni sull'utilizzo di Security Hub per valutare le risorse CloudFront, consultare Controlli Amazon CloudFront nella Guida per l’utente di AWS Security Hub CSPM.

Best practice di conformità per CloudFront

Questa sezione fornisce best practice e raccomandazioni per la conformità quando utilizzi Amazon CloudFront per distribuire i contenuti.

Se esegui carichi di lavoro conformi allo standard PCI o HIPAA basati sul modello di responsabilità condivisa di AWS, ti consigliamo di registrare i dati di utilizzo di CloudFront relativi agli ultimi 365 giorni per eventuali audit futuri. Per registrare dati di utilizzo, puoi procedere come segue:

Inoltre, consulta quanto segue per avere dettagli sulla conformità di CloudFront agli standard PCI DSS e SOC.

Payment Card Industry Data Security Standard (PCI DSS)

CloudFront (esclusa la distribuzione di contenuti tramite POP incorporati CloudFront) supporta l’elaborazione, l’archiviazione e la trasmissione di dati di carte di credito da parte di un esercente o di un provider di servizi, oltre a essere conforme allo standard Payment Card Industry Data Security Standard (PCI DSS). Per ulteriori informazioni sullo standard PCI DSS, incluse le istruzioni su come richiedere una copia del Pacchetto conformità PCI di AWS, consulta PCI DSS livello 1.

Come best practice in materia di sicurezza, ti consigliamo di non memorizzare dati di carte di credito nelle cache edge di CloudFront. Ad esempio, puoi configurare la tua origine per includere un'intestazione Cache-Control:no-cache="nome campo" nelle risposte che contengono informazioni su carte di credito, ad esempio le ultime quattro cifre di un numero di carta di credito e le informazioni di contatto del proprietario della carta.

System and Organization Controls (SOC)

CloudFront (esclusa la distribuzione di contenuti tramite POP incorporati CloudFront) è conforme alle misure System and Organization Controls (SOC), incluse SOC 1, SOC 2 e SOC 3. I report SOC sono report di valutazione di terze parti che documentano in che modo AWS consegue i controlli e gli obiettivi chiave di conformità. Questi audit assicurano che vengano attuate le adeguate procedure e tutele per proteggersi dai rischi che possono minare sicurezza, riservatezza e disponibilità dei dati di clienti e aziende. I risultati di questi audit di terze parti sono disponibili sul sito Web sulla conformità SOC di AWS, dove è possibile visualizzare i report pubblicati per ottenere maggiori informazioni sui controlli che supportano le operazioni e la conformità di AWS.