Cumplimiento y recursos de seguridad

Un banco, un hospital o una entidad pública no pueden elegir un proveedor solo porque funcione: tienen que demostrar ante un auditor que sus datos viven en un entorno que cumple ciertas normas. AWS se audita de forma constante con terceros independientes y publica esas evidencias para que sus clientes las usen.

AWS Artifact: los informes de auditoría

AWS Artifact es el portal de autoservicio, dentro de la consola, donde descargas los documentos de cumplimiento de AWS. Tiene dos partes:

• 

  Artifact Reports

  Informes de auditoría hechos por terceros: SOC 1, SOC 2 y SOC 3, certificaciones ISO, la constancia de cumplimiento de PCI DSS y otros. Se los entregas a tu auditor.
• 

  Artifact Agreements

  Acuerdos que revisas y aceptas con AWS para tu cuenta o tu organización, como el Business Associate Addendum (BAA) que exige la ley HIPAA de Estados Unidos para datos de salud.

El cumplimiento cambia por país, por industria y por servicio

No hay un solo «sello de cumplimiento». Cada norma aplica a un contexto distinto:

Además, no todos los servicios están cubiertos por todos los programas. La página AWS Services in Scope by Compliance Program dice qué servicios están dentro del alcance de cada uno. Si tu carga de trabajo debe cumplir PCI DSS, revisa que cada servicio que uses aparezca en esa lista.

Revisar tu propio cumplimiento

Para la parte que te toca, AWS da herramientas que revisan tu configuración de forma continua: los conformance packs de AWS Config, los estándares de Security Hub CSPM y los controles de AWS Control Tower.

AWS Audit Manager automatizaba la recolección de evidencias y las mapeaba a marcos como SOC 2, PCI DSS o HIPAA. Puede aparecer en el examen como «el servicio que recolecta evidencias para auditorías», pero ya no admite clientes nuevos.

Dónde encontrar información de seguridad

1. 1

   AWS Security Center

   La página de seguridad de AWS (aws.amazon.com/security): punto de entrada a buenas prácticas, boletines de seguridad y programas de cumplimiento.
2. 2

   AWS Security Blog

   Artículos del equipo de AWS sobre nuevas funciones, patrones y casos de seguridad.
3. 3

   AWS Knowledge Center y AWS re:Post

   Respuestas a preguntas frecuentes y una comunidad de preguntas y respuestas moderada, con participación de expertos de AWS.
4. 4

   AWS Prescriptive Guidance

   Guías, patrones y estrategias paso a paso, muchas de ellas de seguridad y gobierno multicuenta.
5. 5

   Documentación y Well-Architected

   La sección de seguridad de cada servicio en la documentación y el pilar de seguridad del AWS Well-Architected Framework.

A quién reportar un abuso

Si un recurso de AWS se usa para algo abusivo o ilegal (spam, escaneo de puertos, ataques DDoS, phishing, malware, contenido que infringe derechos), se reporta al equipo de AWS Trust & Safety, con el formulario de reporte de abuso o el correo abuse@amazonaws.com. Sirve aunque quien reporta no sea cliente de AWS. Si recibes un aviso de abuso sobre tu propia cuenta, responde rápido: puede indicar que alguien la comprometió.