雲端合規框架

歡迎來到一個全新的複雜時代，對於那些曾經認為在商業活動大多於本地進行時，資料安全就已經很具挑戰性的人而言，更是如此。如今的企業具備高度行動性，而雲端儲存被用來在各處保存資料。AWS、Azure Cloud 或 Google Cloud Platforms 是三個組織最常見的基礎架構（IAAS）供應商。不過，有一件事始終沒有改變：人們仍然希望企業保護他們的資料。失敗不是選項，而違反當今嚴格的標準將帶來嚴重的懲罰，而且或許最關鍵的是，會失去客戶信任，這是任何公司都無法承受的。

在本文中，我們將深入探討雲端合規框架、其為何至關重要、其組成要素，以及常見的框架。

什麼是雲端合規？

雲端合規 是指主管機關所制定的規則與法規，以確保儲存在雲端中的資料安全、私密，並符合既定的網路安全準則。這些法規通常適用於處理敏感資料的產業，例如醫療保健產業（具有 HIPAA 要求）或電子商務（遵循 PCI DSS 標準）。 

為什麼雲端合規很重要？

到 2022 年，超過 60% 的企業資料將位於雲端。這是 2015 年雲端儲存量的兩倍。 

由於有如此大量的資料儲存在雲端中，每個組織都必須在確保該資料安全方面發揮作用。

代價高昂的資料外洩 若未遵循雲端要求，可能會發生。雲端合規可協助您在維持穩固安全態勢的同時，善用雲端運算的成本效益、資料備份與復原，以及可擴充性。

例如，醫療保健產業中的 HIPAA 法規要求對特定類型的病患健康資料採取嚴格的安全方法與準則。另一個例子是，過去幾十年銀行業的變化促使制定了規範金融隱私的新法規。

本質上，雲端客戶應以評估其內部安全性的相同方式，評估其供應商所採用的安全實務。雲端供應商提供的服務必須經過評估，以確認是否符合其標準。可採取許多方式來進行這項工作。企業有時可能僅根據服務供應商是否能證明合規而選擇對方，且不再對其做出其他判斷。客戶有時可能需要主動檢視雲端供應商的安全性，以確保其符合法律要求與產業標準。

什麼是雲端合規框架？

雲端合規框架彙整了用於保護雲端資源的標準與建議程序。有些是特定產業專用（例如國防或醫療保健產業），而有些框架則較為廣泛，旨在供一般用途使用。

範例：

• 支付卡產業資料安全標準 (PCI DSS)：此雲端合規框架的主要目標是保護信用卡交易。它規範持卡人資料的傳輸與儲存方式。 
• 健康保險可攜性與責任法案 (HIPAA)：HIPAA 是一項規範美國醫療保健的法律，涉及病患資料以及企業應如何保留與使用這些資料。此雲端合規框架也規定了若病患 PII 遭揭露時，公司必須採取的措施。 
• SOC 2：此雲端合規框架會根據安全性、可用性、處理完整性、機密性或隱私，評估組織的資訊系統。 
• 在 ISO 27001 雲端合規框架的協助下，企業可以擁有可靠且安全的資訊安全管理。 
• 美國國家標準與技術研究院 (NIST) 提供用於政府機關開發與保護資訊系統的標準與指南。NIST Cybersecurity Framework、NIST 800-53 和 NIST 800-171 是三種可用於評估是否符合 NIST 標準的雲端合規框架。 
• The GDPR（一般資料保護規則）是最知名且最重要的歐洲雲端合規框架，用於保護個人資料。 

雲端合規框架的組成要素

以下是雲端合規框架的關鍵組成要素：

治理

這些預先設定的篩選條件可保護您的私人資訊，避免可能有害的公開曝露。雲端治理的關鍵組成要素包括：

組織必須盤點所有雲端服務與所儲存的資料，作為資產管理的一部分，然後定義所有組態以防範弱點。描述雲端結構、所有權與責任是雲端策略與設計的一部分，並納入雲端安全。財務控制包括核准取得雲端服務的流程，以及在成本效益與雲端使用之間取得平衡。

變更控制

由於雲端的兩大優勢：速度與彈性，控制變更變得更具挑戰性。雲端中有問題的錯誤組態，往往是由於變更控制不足所造成。組織可以使用自動化持續檢查設定中的問題，並確保變更程序順暢。

在雲端中，身分與存取管理 (IAM) 控制通常會經歷多次變更。以下列出適用於您雲端環境的 IAM 最佳實務： 

• 務必監控 root 帳戶，因為它們可能會提供危險且不受控的存取。實施多重要素驗證 (MFA) 以進行存取控制，至少也要使用篩選器與警示對其進行監控。如果可以，請將其停用。
• 使用以角色為基礎的存取與群組層級權限，根據組織需求與最低權限原則提供存取權。
• 建立有效的認證與金鑰管理規則，停用並制度化管理閒置帳戶。

持續監控

由於雲端的複雜性與分散特性，監控並記錄所有活動至關重要。合規驗證的基礎在於事件的誰、什麼、何時、何地與如何，這可讓企業隨時做好稽核準備。在追蹤與記錄雲端環境中的資料時，必須執行以下事項：

• 別忘了為所有雲端資源啟用記錄。
• 記錄應加密，且不得儲存在可供公眾存取的儲存體中。
• 設定您的指標、警示與活動記錄。
• 弱點控制

報告

報告提供近期與過往的合規證據。請將這些報告視為您的合規足跡；它們將有助於稽核。若您的合規性曾受到質疑，所有導致事件發生以及事件後續活動的詳細時間軸，可能會提供關鍵證明。您必須保留這些記錄的時間長短取決於特定法規；有些只要求一到兩個月，而有些則要求更長時間。若發生現場系統故障或自然災害，您的團隊必須將所有文件保存在安全且獨立的地點。

常見的雲端合規框架

這些雲端合規框架專門適用於雲端合規要求。雲端供應商與客戶都應了解這些框架的具體內容。

Cloud Security Alliance Controls Matrix 是一套基礎性的安全控制集合，可作為安全供應商的起點，強化安全控制設定並讓稽核更容易進行。此方法也有助於潛在客戶評估可能的雲端供應商之風險概況。

尋求與任何聯邦機構合作的組織都必須遵循與雲端相關的資料安全要求 FedRAMP。FedRAMP 的目標是確保聯邦政府所使用的所有雲端部署都具備最低限度的資料與應用程式安全性。

Sarbanes-Oxley (SOX) 是一套規範上市公司如何揭露財務資料的法規，以保護消費者免受詐欺或報告錯誤的影響。雖然 SOX 標準並非專門針對安全性，但由於其支援資料完整性，因此涵蓋各種 IT 安全措施。

以安全為核心的框架

以下這些專門針對安全性的法規可透過建立行為標準來協助處理敏感資料的組織。這些框架提供流程與架構，以防止造成損害的安全事件。

The International Organization for Standards (ISO) 27001 是一套資訊安全管理系統要求，可證明您的公司遵循業界最佳實務，並致力於保護客戶資料。

NIST 網路安全框架： 這是企業在政策與程序方面的基礎基準，用於評估其管理與應對線上威脅的能力。此框架有助於識別與管理風險，並可作為安全專業人員的最佳實務指南。

具備良好架構的雲端框架

這些框架通常涵蓋營運效能、安全性與成本價值等因素，可視為雲端架構師的最佳實務標準。

此框架由 Amazon Web Services 開發，可協助架構師在 Amazon 雲端上設計工作負載與應用程式。藉由這個以一系列用於分析雲端環境問題為基礎的框架，客戶可取得可靠的架構評估資源。Amazon 架構師的五項指導原則為營運卓越、安全性、可靠性、效能效率與成本最佳化。

The Google Cloud Architected Framework 可作為開發與改進 Google 雲端解決方案的基礎。此框架著重於四項基本原則——營運卓越、安全與合規、可靠性，以及效能成本最佳化——並作為架構師的路線圖。

結論

儘管兩者有所不同，安全性與合規性彼此相關，且有許多共通之處。這些重疊可能導致危險的防禦缺口。使用雲端合規框架將有助於提升安全性。組織可透過使用如 SentinelOne 所提供的創新持續合規解決方案，偵測並管理安全性與合規性風險緩解策略之間的重疊，從而建立更安全的環境。