Regated Industries için Sunucusuz İşbirliklerinde Nasıl Bir Alırsınız

Giriş Giriş Giriş

Serverless hesaplama, organize endüstrilerde faaliyet gösteren kuruluşlar için hakim bir paradigma haline geldi - sağlık hizmetleri, finans, sigorta, farmasötik hizmetler ve yönetim - sunucusuz mimari gibi uyumlu platformları HIPAA, PCI DSS, GDPR ve FedRAMP, yasal düzenlemelere ulaşmada en iyi şekilde uygulama imkanı sağlar.

Temel uygunluk Gereksinimleri

Bir sunucusuz çözümü mimar etmeden önce, kuruluşlar verileri ve operasyonlarına başvuran özel düzenlemeleri tanımlamalıdır. Her standart kendi kontrol setlerini tanımlar, ancak ortak temalar şifreleme, erişim yönetimi, giriş, veri minimizasyon ve ihlal bildirimini içerir. Aşağıda, düzenleme endüstrileri için en ilgili çerçeveleri incelemekteyiz.

Sağlık için HIPAA

Sağlık Sigortası Portability ve Hesaplanabilirlik Yasası (HIPAA) ABD'de korumalı sağlık bilgilerini (PHI) kullanma ve açıklamayı yönetir.Bu mağaza, süreç veya PHI'yi iletmek, HIPAA Güvenlik Kuralı'na uymalı, hangi idari, fiziksel ve teknik güvenliklere uymalı, ancak yine de HIPAA standartlarının şifrelenmesi gerekir.

Ödeme Kartı Data için PCI DSS

Ödeme Kartı Endüstri Data Security Standard (PCI DSS), mağazaların, süreçlerin veya kart sahibi verilerinin şifrelenmesi veya birincil hesap numaraları (PANs) ile etkileşim kurmaları için gerekli olan herhangi bir organizasyon için geçerlidir. Çünkü sunucusuz fonksiyonlar devletsiz ve kısa ömürlüdür, aslında kısıtlayıcı verileri kısıtlayabilirler - bu kart sahibinin verileri asla işleve girmez veya oturum açmaz.

Data Privacy için GDPR

Genel Veri Koruma Yönetmeliği (GDPR) herhangi bir organizasyonda kişisel AB vatandaşlarının kişisel verileri için geçerlidir, organizasyonun nerede olduğuna bakılmaksızın, GDPR veri konu hakları (erişim, yenidenleme, yıkım), tasarım ve varsayılan olarak veri koruma ve bildirim ile ilgili olarak 72 saat içinde veri portuability ve deletion istekleri desteklemelidir, bu da veri işleyenler, kuyruklar ve nesne mağazalardan söz konusu olduğunda zorlanabilir.

FedRAMP ve Diğer Hükümet Standartları

ABD federal hükümet iş yükleri için Federal Risk ve Yazarlar Yönetimi Programı (FedRAMP), İngiltere'nin Cyber Essentials Plus ve Avustralya'nın IRAP'daki sunucularız platformlarının herhangi bir üçüncü taraf bağımlılıkları da dahil olmak üzere, sunucusuz platformlarında dağıtılması gerekir.

Sunucusuz Sorumluluk Modeli

Sunucusuza uyum için en kritik kavramlardan biri, kodu, kimlik yapılandırmaları ve uygulama seviyesindeki kontrolleri sağlamaktan sorumludur). Cloud sağlayıcıları temel altyapıyı güvence altına alır -hypervizler, ağ, fiziksel veri merkezleri – müşteriler verileri sağlamaktan sorumlu olsa da, kod, kimlik yapılandırmaları ve uygulama düzeyinde kontroller.In serverless, this model işlev ortamları, etkinlik kaynakları ve giriş katmanlarına genişletir.

Cloud Provider Sorumlulukları

Bulut sağlayıcısı, sunucusuz runtime'nın güvenliğinden sorumludur, onants, icra ortamının asılması ve fonksiyonları tetikleyen API uç noktalarının korunması ve bu kontrollerin yasal ihtiyaçlarının doğrulanması için de geçerlidir.

Müşteri Sorumlulukları

Müşteriler sunucusuz uygulama kodunun açıklığa kavuşturmasını sağlamalıdır, bu veriler şifreli ve erişim kontrol edilir ve tüm etkinlik kaynakları (S3 kovas, Kinesis akışları veya HTTP veya uç noktaları gibi) güvenli bir şekilde yapılandırılır. Özel müşteri sahip kontrolleri şunlardır:

• Her işlevine en az ayrıcalık veren IAM rolleri ve politikalar.
• KMS veya benzeri kullanarak çevresel değişkenlerin şifrelenmesi.
• Bir ton hizmeti kullanarak sırların güvenli kullanımı (AWS Sır Yöneticisi, Azure Key Vault).
• Tüm girişlerin enjeksiyon saldırılarına karşı korunması için geçerliliği.
• Kapsamlı oturum açma ve izleme (CloudWatch, Azure Monitor) uygun tutma ve erişim kontrolleri ile.

Bunların herhangi birini yapılandırmaya başarısız olmak veri maruziyetine ve olmayanlığa yol açabilir, sağlayıcının altyapısı sertifikalı olsa bile.

Uygun güvenlik uygulamaları

Güvenlik uyumun yatak ayağıdır. Aşağıdaki uygulamalar, düzenlenmiş ortamlarda sunucusuz uygulamaları dağıtmada kullanılamaz.

Her yerde şifre

Tüm hassas veriler geri kalanında ve geçişte şifrelenmelidir. sunucusuz, bu demektir:

• Kullanıcı mağazalarda saklanan verileri şifreleyin (S3, Azure Blob, GCS) AES-256 veya müşteri tarafından yönetilen anahtarlar kullanarak.
• Fonksiyonlar, veritabanılar ve TLS 1.2 veya daha yüksek kullanarak geçiş verileri şifreleyin.
• Çevre değişkenlerini, işlev yapılandırmasını ve herhangi bir önbellekli verileri şifreleyin.
• Anahtarların periyodik olarak döndüğü zarf şifrelemesini kullanarak.

HIPAA ve PCI DSS gibi düzenlemeler açıkça bir koruma olarak şifreleme gerektirir. Birçok bulut sağlayıcı şifrelemeyi sorunsuz bir şekilde entegre eder, ancak müşteriler bu ayarları etkinleştirir ve doğrulamalıdır.

Kimlik ve Access Management (IAM)

Serverless fonksiyonlar belirli bir uygulama rolü ile çalışır. Aşırı izinler almak - sadece tek bir S3 kovaya erişime ihtiyaç duyan bir işlev gibi, ancak tüm yönetici erişimine tam olarak verilir - uyumluluk ve güvenlik riskleri için IAM Access'ı her işlevi için kullanmak.Özel kaynaklar ve eylemlere kapsadığı gibi.

Ağ Güvenliği Ağı

Sunucusuz fonksiyonlar genellikle API Gateway veya tetikleyiciler aracılığıyla internete açılırken, Sanal Özel Bulut (VPC) erişime erişmeye izin vermek için Sanal Özel Ağlar (VPC) içinde yerleştirilebilir.Kuran dışı iş yükleri için, işlevleri yalnızca gerekli trafik ile yapılandırılmalıdır.UseENFLT:0AWS Özel Linkleri, Azure Private Endpoint veya GCP Private Service Connect) halka açık internet üzerinden erişim veri tabanlarına ve hizmetlere erişmek için ağ geçidine yardımcı olur. API Gateway WAF (Web Application Firewall) ile yapılandırılabilir.

Sır Yönetimi

Sertleştirici sırları (database şifreleri, API anahtarları, şifreleme anahtarları) kod veya çevre değişkenleri ortak bir uyumluluk ihlalidir. Özel bir sır yöneticisi kullanın: AWS Sırları Yöneticisi, Azure Key Vault veya HashiCorp Vault. Kayıt sırları güvenli bir şekilde kullanın.Gizli rotasyon otomatik ve bu erişimin giriş ve denetim altına alınmasıdır.In serverless, considerENFLT:0).Lambda katmanları veya paketli sırların dağıtımının şifresi.

Serverless Architectures'da Denetimi Yapılabilir

Çoğu düzenleme, hangileri kimin yaptığını yakalamak için ayrıntılı denetim izlerini gerektirir ve nereden. Serverless ortamların ephemeral olabilir, log ve denetim edilebilirliği daha da kritik hale getirmek. Aşağıda denetim gereksinimleriyle karşılaşabileceğinizi sağlamak için stratejiler vardır.

Ortada Logging

Tüm fonksiyonlardan, olay kaynaklarına ve API'ye çağrılar merkezi bir platforma (örneğin Amazon CloudWatch Logs, Azure Log Analytics, Google Cloud Logging) Kayıtların Yok Edilebilir ve Tam olarak kullanılabilir olmasını sağlayın - PCI ve HIPAA'yı önlemek için oturum açma işlemlerinin veya değiştirilmesini engelleyen oturum açma işlemleri genellikle izin verilen veya oturum açma süresine izin verir.Influence - 0,0CloudTrail)[Döneticileri ve şifreleri kullanma süresine izin verir.

Immutable Denetim Trails

Uygulamayı önlemek için, kayıt işlemlerinin gerçek zamanlı olarak yayınlandığı depolamak için yazmak için kayıt yaptırmayın.Ses, Inclunk, Sumo Mantıkı gibi hizmetler, Azure Storage'ı kolayca arama ve korelasyonla birlikte kullanmayı düşünün.

Gerçek Zaman İzleme ve Uyarı

Uyum bir zaman olayı değildir.AWS Güvenlik Komutanlığı Merkezi için alarmlar ayarlar: yanlışlıkla yanıt iş akışları, hata oranlarındaki artışlar, sınırlı kaynaklara erişmeye veya başarısız kimlik doğrulama girişimlerine izin verin.UseFLT:0)AWS Güvenlik Hub, Azure Güvenlik Merkezi veya Google Cloud Security Komutanlığı Merkezi) GDPR ve diğer düzenlemeler tarafından gerekli olan bildirim süresine entegre etmek için. Örneğin, eğer bir işlev aniden kapsamı dışındaki hassas bir veritabanı masası okumaya çalışırsa, bir uyarı otomatik soruşturmayı tetikleyebilir.

Uyum dostu Araçlar ve Hizmetler

Büyük bulut sağlayıcıları, müşterilere uyum sağlamak için tasarlanmış bir hizmet paketi sunar. Bu hizmetlere temel olarak kanıt toplama ve politika uygulama çabasını azaltabilir.

AWS Config ve Uyum Kuralları

AWS Config, AWS kaynak yapılandırmalarının sürekli izlemesini sağlar.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S.S. ve HIPAA.'nın güvenli bir şekilde yeniden düzenlenmesini sağlarken, bu kurallar CISIQ'ye özel kontroller ile haritalar ile haritalanabilir.

Azure Policy and Blueprints

Azure Politikası, organizasyonların abonelik, yönetim grubu veya kaynak seviyesi ile uyum kurallarını tanımlamasını sağlar. sunucusuz iş yükleri için, “Function apps should use managed ID” veya “Uygulama Ayarları şifreli olmalıdır. Azure Blueprints önceden yapılandırılmış politikalar, rol atamalar ve kaynak şablonları ile tam bir uyum ortamı dağıtabilir. Azure Policy'un uyumluluk raporlarına ilişkin politikaları gerçek zamanlı geri bildirim verir ve inisiyatifler düzenleme ile gruplanabilir.

Google Cloud'un Assured Workloads

Google Cloud'un Yükselmiş İş Yükleri, hizmet kullanımını kısıtlayan bir hükümet ve düzenleme alanı sağlar.Google ayrıca Fed'in kontrollerini otomatik olarak uyguluyor ve veri uzmanlığı için.For Cloud Functions, you can deploy within ansur Assured Workloads klasörü that restricts service use, şifreleme seçenekleri ve veri konumu. Google ayrıca Fed'in kontrolleri sunar.)

Otomatikleştirme Uyum Kontrolleri

Kılavuz uyumluluk kontrolleri hataya eğilimlidir, zaman alıcıdır ve hızlı sunucusuz dağıtımlarla hız tutamaz. Otomasyon sürekli uyum için gereklidir.

Kod olarak Altyapı (IaC) ile

IaC araçlarını kullanarak sunucusuz kaynaklar AWS CloudFormasyon, Terraform, AWS CDK, Azure Bicep veya Google Deployment Manager. Embed uyumluluk kuralları IaC boru hattını kullanarak, dağıtım yapmadan önce siparişler kullanarak.

CI/CD Boru Uygunluk Gates

CI/CD boru hattınıza uygun olarak uygun aşamalar koyar.Yeni bir sunucusuz işlev sürümü inşa edilir, kodun statik analizi (SAST) çalıştırılır, bağımlılık tarama (SCA) bilinen açıklar ve dinamik testler (DAST) son noktalar ortaya çıkarılırsa, iki kişilik kod ve imzalanmış işlerden de yararlanabilir.

Otomatik Uyum Raporlaması

Kayıtlardan kanıtlayan otomatik boru hatlarıyla manuel rapor nesli, konfigürasyonlar ve dağıtım kayıtları.AWS Denetim Yöneticisi[Dönder:0) veya )Azure uygunluk Manager) Sürekli kontroller ve denetçiler için talep edilen raporlar için haritalar oluşturabilirler.Sessizler için, hazırlık haftaları için.In serverless, bu işlevin günlüklerinde olmasını sağlar, IAM politika tarihi ve şifreleme yapılandırma snapshot'ları kapsamı içinde yer alır.

Data Residency ve Sovereignty

Birçok düzenleme, belirli veri türlerinin coğrafi sınırları içinde kalmasını gerektirir. sunucusuz mimarilerde, veriler etkinlik kaynakları, kuyruklar veya depolama replikasyonu yoluyla bölgeler arasında hareket edebilir. Organizasyonlar verilerin nerede depolandığı ve işlendiği kontrol etmelidir.

Bölgesel Deployments

İşsiz sunucusuz işlevleri yalnızca AWS Bölgeleri, Azure Bölgeleri veya GCP Bölgeleri tarafından onaylanmış olarak kullanılır.GCP veya OKT:0)Organizasyon Politikaları) veya [[GCP) veya [[Dönetici Kontrol Politikaları) Kaynak oluşturmasını kısıtlar.[Döneticileri için, ancak uygulama kaynaklarınıza izin verilen durumlarda “Cumartma etiketine izin verilir.

Data Classification and Use

Uygulama katmanında veri sınıflandırması kullanın. Veri duyarlılığını göstermek için etiketler veya metadata kullanın ve sunucusuz işlevleri sınıflandırmaya farklı davranır. Örneğin, bir işlev işleme PII her zaman sınırlı erişimle özel, şifreli bir günlük gruba giriş yapmalı ve veri toplamamalıdır.

Satış ve Üçüncü Taraf Risk Yönetimi

Serverless uygulamalar genellikle üçüncü taraf bağımlılıklara güvenir -baçlar, SaaS APIs ve yönetilen hizmetler. Her biri değerlendirme ve yönetilme gereken uyumluluk risklerini tanıtmaktadır.

Bulut Sağlayıcıları Üzerine Dilim

Bulut sağlayıcınız endüstrinize uygun sertifikalar sunmak zorundadır. Seçilmiş sağlayıcınızın şu anki SOS 2 Tip II, ISO 27001, PCI DSS Level 1, FedRAMP veya HITRUST sertifikalarını gözden geçirmeleri için[Döneticileri değiştirmiş)) kontrolleri devralınması için, sağlayıcının test ettikleri bir uyumluluk yönetimi platformu kullanmayı düşünün (örneğin, Delre.

Üçüncü bölüm Kütüphane ve Hizmet Riski

Tüm açık kaynak kütüphaneleri ve SaaS API'leri sunucusuz işlevlerinize entegre edilmiş olarak kontrol eder. Bilinen güvenlikleri tespit etmek için bağımlılık tarama araçları kullanın (CVEs).Kuranlanmış ortamlar için, bilinen bir lisans listesi ile kütüphaneleri tercih edin. SaaS APIs, kullanıcıların veri işleme, sertifikalar ve ihlal işlemlerine ilişkin değerlendirmeleri değerlendirmeleri değerlendirmeleri gerekir.If a third-parti servisi processes sensitive data, ensure they are ready to sign a DPA or BAA as required.

Sürekli Satış veya Uyum İzleme

Uyum statik değildir. Satıcı sertifikasyonlarında değişiklikler için otomatik uyarılar ayarlar (örneğin, bir sağlayıcı üçüncü taraf duruşunu izleyebilirse, uyumluluk konusunda bir alternatif sağlayıcıya geçiş yapabilir:0)OneTrust Vendorpedia[FLT]).Bitsight).

Olay Yanıtı ve Afet Kurtarma

Yönetmelikler, kuruluşların belgelenmiş bir olay yanıt planına sahip olmasını ve kanıt ve bütünlüğü korumak için felaketlerden kurtarma yeteneğini talep eder. Serverless ortamlar belirli adaptasyonlar gerektirir.

Serverless-Specific Incident Response Playbooks

Sunucusuz işlevlerin ephemeral doğası, dava açmadan önce ortadan kalkabileceği anlamına gelir.AWS GuardDuty veya , bir anormal fonksiyon davranışını tespit etmek için geri dön.Oturma yanıt ekiplerinin uzun süre önce erişilmesini sağlayın.UseurFLT:0)AWS GuardDuty|Strefiltrefilim #filtreler veya izinsiz oyun dosyalarına odaklanması gerekir.