Validation de conformité pour Amazon CloudFront - Amazon CloudFront
CloudFront meilleures pratiques en matière de conformité

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Validation de conformité pour Amazon CloudFront

Des auditeurs tiers évaluent la sécurité et la conformité d'Amazon dans CloudFront le cadre de plusieurs programmes de AWS conformité. Il s'agit notamment des certifications SOC, PCI, HIPAA.

Pour une liste des AWS services concernés par des programmes de conformité spécifiques, voir AWS Services concernés par programme de conformité. Pour obtenir des informations générales, consultez Programmes de conformitéAWS.

Vous pouvez télécharger des rapports d'audit tiers à l'aide de AWS Artifact. Pour plus d'informations, consultez la section Téléchargement de rapports dans AWS Artifact.

Votre responsabilité en matière de conformité lors de l'utilisation CloudFront est déterminée par la sensibilité de vos données, les objectifs de conformité de votre entreprise et les lois et réglementations applicables. AWS fournit les ressources suivantes pour faciliter la mise en conformité :

  • Guides de démarrage rapide sur la sécurité et la conformité : ces guides de déploiement abordent les considérations architecturales et indiquent les étapes à suivre pour déployer des environnements de base axés sur la sécurité et la conformité sur. AWS

  • Architecting for HIPAA Security and Compliance on AWS — Ce livre blanc décrit comment les entreprises peuvent créer des applications AWS conformes à la loi HIPAA.

    Le programme de conformité AWS HIPAA inclut CloudFront (à l'exception de la diffusion de contenu via des POP CloudFront intégrés) en tant que service éligible à la HIPAA. Si vous avez exécuté un addendum d'associé commercial (BAA) avec AWS, vous pouvez l'utiliser CloudFront (à l'exception de la diffusion de contenu via des POP CloudFront intégrés) pour diffuser du contenu contenant des informations de santé protégées (PHI). Pour de plus amples informations, consultez Conformité à la loi HIPAA.

  • AWS Ressources relatives à la conformité — Cette collection de classeurs et de guides peut s'appliquer à votre secteur d'activité et à votre région.

  • AWS Config— Ce AWS service évalue dans quelle mesure les configurations de vos ressources sont conformes aux pratiques internes, aux directives du secteur et aux réglementations.

  • AWS Security Hub— Ce AWS service utilise des contrôles de sécurité pour évaluer les configurations des ressources et les normes de sécurité afin de vous aider à vous conformer aux différents cadres de conformité. Pour plus d'informations sur l'utilisation de Security Hub pour évaluer les CloudFront ressources, consultez Amazon CloudFront Controls dans le guide de AWS Security Hub l'utilisateur.

CloudFront meilleures pratiques en matière de conformité

Cette section fournit les meilleures pratiques et des recommandations en matière de conformité lorsque vous utilisez Amazon CloudFront pour diffuser votre contenu.

Si vous exécutez des charges de travail conformes aux normes PCI ou HIPAA basées sur le modèle de responsabilitéAWS partagée, nous vous recommandons de consigner vos données CloudFront d'utilisation des 365 derniers jours à des fins d'audit futur. Pour journaliser les données d'utilisation, vous pouvez procéder comme suit :

En outre, consultez ce qui suit pour plus de détails sur la manière dont CloudFront il est conforme aux normes PCI DSS et SOC.

Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS)

CloudFront (à l'exception de la diffusion de contenu via des POP CloudFront intégrés) prend en charge le traitement, le stockage et la transmission des données de carte de crédit par un commerçant ou un fournisseur de services, et sa conformité à la norme de sécurité des données (DSS) du secteur des cartes de paiement (PCI) a été validée. Pour plus d'informations sur la norme PCI DSS, notamment sur la manière de demander une copie du Package de AWS conformité PCI, consultez la section PCI DSS niveau 1.

Pour des raisons de sécurité, nous vous recommandons de ne pas mettre en cache les informations de carte de crédit dans les caches CloudFront périphériques. Par exemple, vous pouvez configurer votre origine de manière à ce qu'elle inclue un en-tête Cache-Control:no-cache="nom-de-champ" dans les réponses qui contiennent des informations relatives aux cartes de crédit, telles que les quatre derniers chiffres d'un numéro de carte de crédit et les coordonnées du titulaire de la carte.

System and Organization Controls (SOC)

CloudFront (à l'exception de la diffusion de contenu via des POP CloudFront intégrés) est conforme aux mesures de contrôle du système et de l'organisation (SOC), notamment les normes SOC 1, SOC 2 et SOC 3. Les rapports SOC sont des rapports d'examen indépendants réalisés par des tiers qui montrent comment AWS atteindre les principaux contrôles et objectifs de conformité. Ces audits garantissent que les protections et procédures adéquates sont établies pour protéger contre les risques susceptibles d'avoir une incidence sur la sécurité, la confidentialité et la disponibilité des données des clients et des entreprises. Les résultats de ces audits tiers sont disponibles sur le site Web de conformité du AWS SOC, où vous pouvez consulter les rapports publiés pour obtenir plus d'informations sur les contrôles qui soutiennent les AWS opérations et la conformité.