Este tópico descreve o contexto, os cenários e as regras padrão do pacote de conformidade com o padrão GxP EU Annex 11.
Contexto
O GxP EU Annex 11 é um requisito regulatório da União Europeia (UE) para o uso de sistemas computadorizados. Ele se aplica principalmente a empresas e organizações que utilizam esses sistemas nas indústrias farmacêutica, de biotecnologia e de dispositivos médicos. Os requisitos abrangem o desenvolvimento, a validação, a operação, a manutenção e o monitoramento de sistemas computadorizados para garantir que estejam em conformidade com as regulamentações e padrões relevantes de qualidade, controle e confiabilidade de produtos. Como parte das Boas Práticas de Fabricação (GMP), o Anexo 11 é um padrão orientador fundamental no processo de fabricação de medicamentos e é amplamente utilizado nas indústrias farmacêutica e de biotecnologia na Europa e no mundo todo.
O pacote de conformidade com o padrão GxP EU Annex 11 baseia-se nos padrões básicos de proteção de dados do GxP EU Annex 11. Ele fornece verificações de conformidade recomendadas para o uso e gerenciamento de recursos cloud.
Para mais informações, consulte GxP EU Annex 11.
Cenários
O pacote de conformidade com o padrão GxP EU Annex 11 destina-se a empresas e organizações que utilizam sistemas computadorizados nas indústrias farmacêutica, de biotecnologia e de dispositivos médicos.
Regras padrão
Os modelos de pacote de conformidade oferecem uma estrutura geral para ajudar você a crie rapidamente pacotes de conformidade para seus cenários-alvo. Um status 'compliant' para uma regra indica que o recurso atende à definição específica dessa regra. Esse status não garante que o recurso cumpra todos os requisitos de qualquer regulamentação ou padrão industrial específico.
Nome da regra | Descrição da regra | ID da recomendação | Descrição da recomendação |
Um trail está ativado no ActionTrail para registrar todos os eventos em todas as regiões. Isso é considerado compliant. | 1.1 | O gerenciamento de riscos deve ser aplicado durante todo o ciclo de vida do sistema computadorizado, considerando a segurança do paciente, a integridade dos dados e a qualidade do product. Como parte de um sistema de gerenciamento de riscos, as decisões sobre a extensão da validação e os controles de integridade de dados devem basear-se em uma avaliação de riscos justificada e documentada do sistema computadorizado. | |
4.2 | A documentação de validação deve incluir registros de controle de mudanças (se aplicável) e relatórios sobre quaisquer desvios observados durante o processo de validação. | ||
9.1 | Com base em uma avaliação de riscos, considere implementar um audit trail gerado pelo sistema para registrar todas as alterações e exclusões relevantes para GMP. O motivo de qualquer alteração ou exclusão de dados relevantes para GMP deve ser documentado. Os audit trails precisam estar disponíveis, convertíveis para uma forma geralmente inteligível e revisados regularmente. | ||
11.1 | Os sistemas computadorizados devem ser avaliados periodicamente para confirme que permanecem em um estado válido e em conformidade com as GMP. Essas avaliações devem incluir, quando apropriado, a gama atual de funcionalidades, registros de desvios, incidentes, problemas, histórico de atualizações, desempenho, confiabilidade, segurança e relatórios de status de validação. | ||
12.3 | A criação, alteração e cancelamento de autorizações de acesso devem ser registrados. | ||
12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | ||
13.1 | Todos os incidentes, não apenas falhas do sistema e erros de dados, devem ser relatados e avaliados. A causa raiz de um incidente crítico deve ser identificada e servir de base para ações corretivas e preventivas. | ||
O Security Center Enterprise Edition ou uma versão posterior está em uso. Isso é considerado compliant. | 1.1 | O gerenciamento de riscos deve ser aplicado durante todo o ciclo de vida do sistema computadorizado, considerando a segurança do paciente, a integridade dos dados e a qualidade do product. Como parte de um sistema de gerenciamento de riscos, as decisões sobre a extensão da validação e os controles de integridade de dados devem basear-se em uma avaliação de riscos justificada e documentada do sistema computadorizado. | |
11.1 | Os sistemas computadorizados devem ser avaliados periodicamente para confirme que permanecem em um estado válido e em conformidade com as GMP. Essas avaliações devem incluir, quando apropriado, a gama atual de funcionalidades, registros de desvios, incidentes, problemas, histórico de atualizações, desempenho, confiabilidade, segurança e relatórios de status de validação. | ||
13.1 | Todos os incidentes, não apenas falhas do sistema e erros de dados, devem ser relatados e avaliados. A causa raiz de um incidente crítico deve ser identificada e servir de base para ações corretivas e preventivas. | ||
O agente do Security Center está ativado para instâncias ECS em execução. Isso é considerado compliant. | 4.3 | Uma listagem atualizada (inventário) de todos os sistemas relevantes e suas funcionalidades GMP deve estar disponível. Para sistemas críticos, uma descrição atualizada do sistema deve estar disponível, detalhando os arranjos físicos e lógicos, fluxos de dados, interfaces com outros sistemas ou processos, quaisquer pré-requisitos de hardware e software e medidas de segurança. | |
As instâncias ECS não possuem vulnerabilidades de um tipo e nível de gravidade especificados pendentes de correção no Security Center. Isso é considerado compliant. | 4.3 | Uma listagem atualizada (inventário) de todos os sistemas relevantes e suas funcionalidades GMP deve estar disponível. Para sistemas críticos, uma descrição atualizada do sistema deve estar disponível, detalhando os arranjos físicos e lógicos, fluxos de dados, interfaces com outros sistemas ou processos, quaisquer pré-requisitos de hardware e software e medidas de segurança. | |
O status da instância ECS é Running. Isso é considerado compliant. | 4.3 | Uma listagem atualizada (inventário) de todos os sistemas relevantes e suas funcionalidades GMP deve estar disponível. Para sistemas críticos, uma descrição atualizada do sistema deve estar disponível, detalhando os arranjos físicos e lógicos, fluxos de dados, interfaces com outros sistemas ou processos, quaisquer pré-requisitos de hardware e software e medidas de segurança. | |
Todos os Elastic IP Addresses estão associados a instâncias ECS ou instâncias NAT Gateway. Isso é considerado compliant. | 4.3 | Uma listagem atualizada (inventário) de todos os sistemas relevantes e suas funcionalidades GMP deve estar disponível. Para sistemas críticos, uma descrição atualizada do sistema deve estar disponível, detalhando os arranjos físicos e lógicos, fluxos de dados, interfaces com outros sistemas ou processos, quaisquer pré-requisitos de hardware e software e medidas de segurança. | |
O número de instâncias ECS associadas a um grupo de segurança é maior que 0. Isso é considerado compliant. | 4.3 | Uma listagem atualizada (inventário) de todos os sistemas relevantes e suas funcionalidades GMP deve estar disponível. Para sistemas críticos, uma descrição atualizada do sistema deve estar disponível, detalhando os arranjos físicos e lógicos, fluxos de dados, interfaces com outros sistemas ou processos, quaisquer pré-requisitos de hardware e software e medidas de segurança. | |
O backup de log está ativado para instâncias RDS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
The log backup retention period for PolarDB clusters meets the specified requirements | O período de retenção de backup de log para um cluster PolarDB é maior ou igual ao número de dias especificado. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
O backup incremental está ativado para instâncias Redis. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
O backup automático está ativado para instâncias Elasticsearch. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
O backup de log está ativado para clusters ADB. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
O backup de log está ativado para instâncias MongoDB. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
Uma programação de backup foi criada para o sistema de arquivos NAS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
Uma política de snapshot automático está configurada para discos ECS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
O Database Backup está ativado para clusters OceanBase. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
O versionamento está ativado para buckets OSS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
O Zone-redundant Storage está ativado para buckets OSS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
7.2 | Backups regulares de todos os dados relevantes devem ser realizados. A integridade e a precisão dos dados de backup e a capacidade de restaurar os dados devem ser verificadas durante a validação e monitoradas periodicamente. | ||
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
SSL encryption is used for the source and destination databases of DTS sync tasks | A criptografia SSL é usada tanto para os bancos de dados source quanto destination das tarefas de sincronização em uma instância DTS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
SSL encryption is used for the source and destination databases of DTS migration tasks | A criptografia SSL é usada tanto para os bancos de dados source quanto destination das tarefas de migração em uma instância DTS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
O TLS 1.3 está ativado para nomes de domínio acelerados. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
HTTPS is used for data transmission in Elasticsearch instances | O HTTPS é usado para transmissão de dados em instâncias Elasticsearch. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. |
Functions in Function Compute are bound to custom domain names and a specific TLS version is enabled | Uma função no Function Compute está vinculada a um nome de domínio personalizado acessível pela rede pública, e uma versão específica do TLS está ativada. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
A criptografia SSL está configurada para clusters PolarDB. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
A criptografia SSL está configurada para instâncias Redis. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
APIs in API Gateway that are accessible over the public network use HTTPS | APIs no API Gateway acessíveis pela rede pública estão configuradas para usar HTTPS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
Certificados SSL são usados para instâncias RDS. Isso é considerado compliant. | 4.8 | Se os dados forem transferidos para outro formato ou sistema de dados, a validação deve incluir verificações para garantir que os dados não sejam alterados em valor ou significado durante o processo de migração. | |
5.1 | Para sistemas computadorizados que trocam dados eletronicamente com outros sistemas, verificações integradas apropriadas devem estar implementadas para a entrada e o processamento corretos e seguros dos dados, a fim de minimizar riscos. | ||
Encryption is enabled for in-use data disks of ECS instances | A criptografia está ativada para discos de dados em uso de instâncias ECS. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. |
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
A criptografia transparente de dados (TDE) está ativada para instâncias RDS. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | |
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
The encryption algorithm used by the VPN connection is not None | O algoritmo de criptografia usado pela conexão VPN não é None. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. |
Disk encryption is enabled for data nodes of Elasticsearch instances | A criptografia de disco está ativada para nós de dados de instâncias Elasticsearch. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. |
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
O TDE está ativado para clusters PolarDB. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | |
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
O TDE está ativado para instâncias Redis com uma chave personalizada. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | |
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
Data encryption is configured for Logstores in Simple Log Service | A criptografia de dados está configurada para Logstores no Simple Log Service. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. |
17.1 | Os dados podem ser arquivados. Esses dados devem ser verificados quanto à acessibilidade, legibilidade e integridade. Se alterações relevantes forem feitas no sistema (como equipamentos de computação ou programas), a capacidade de recuperar os dados deve ser garantida e testada. | ||
A proteção contra exclusão está ativada para instâncias RDS. Isso é considerado compliant. | 7.1 | Os dados devem ser protegidos por meios físicos e eletrônicos contra danos. Os dados armazenados devem ser verificados quanto à acessibilidade, legibilidade e precisão. O acesso aos dados deve ser garantido durante todo o período de retenção. | |
A proteção contra exclusão está ativada para clusters PolarDB. Isso é considerado compliant. | 10.1 | Quaisquer alterações em um sistema computadorizado, incluindo configurações do sistema, devem ser feitas apenas de maneira controlada, de acordo com um procedimento definido. | |
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
A proteção contra liberação está ativada para instâncias ECS. Isso é considerado compliant. | 10.1 | Quaisquer alterações em um sistema computadorizado, incluindo configurações do sistema, devem ser feitas apenas de maneira controlada, de acordo com um procedimento definido. | |
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
A proteção contra exclusão está ativada para clusters HBase. Isso é considerado compliant. | 10.1 | Quaisquer alterações em um sistema computadorizado, incluindo configurações do sistema, devem ser feitas apenas de maneira controlada, de acordo com um procedimento definido. | |
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
A proteção contra liberação está ativada para instâncias MongoDB. Isso é considerado compliant. | 10.1 | Quaisquer alterações em um sistema computadorizado, incluindo configurações do sistema, devem ser feitas apenas de maneira controlada, de acordo com um procedimento definido. | |
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
A proteção contra liberação está ativada para instâncias Redis. Isso é considerado compliant. | 10.1 | Quaisquer alterações em um sistema computadorizado, incluindo configurações do sistema, devem ser feitas apenas de maneira controlada, de acordo com um procedimento definido. | |
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
A proteção contra liberação está ativada para instâncias SLB. Isso é considerado compliant. | 10.1 | Quaisquer alterações em um sistema computadorizado, incluindo configurações do sistema, devem ser feitas apenas de maneira controlada, de acordo com um procedimento definido. | |
16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | ||
The CloudMonitor agent is installed on running ECS instances | O agente do CloudMonitor está instalado em instâncias ECS em execução. Isso é considerado compliant. | 11.1 | Os sistemas computadorizados devem ser avaliados periodicamente para confirme que permanecem em um estado válido e em conformidade com as GMP. Essas avaliações devem incluir, quando apropriado, a gama atual de funcionalidades, registros de desvios, incidentes, problemas, histórico de atualizações, desempenho, confiabilidade, segurança e relatórios de status de validação. |
13.1 | Todos os incidentes, não apenas falhas do sistema e erros de dados, devem ser relatados e avaliados. A causa raiz de um incidente crítico deve ser identificada e servir de base para ações corretivas e preventivas. | ||
Os logs de eventos estão ativados para instâncias RDS. Isso é considerado compliant. | 11.1 | Os sistemas computadorizados devem ser avaliados periodicamente para confirme que permanecem em um estado válido e em conformidade com as GMP. Essas avaliações devem incluir, quando apropriado, a gama atual de funcionalidades, registros de desvios, incidentes, problemas, histórico de atualizações, desempenho, confiabilidade, segurança e relatórios de status de validação. | |
12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | ||
A autenticação multifator (MFA) está ativada para a conta Alibaba Cloud. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
A autenticação multifator (MFA) está ativada para usuários ram. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
A política de lista de controle de acesso (ACL) dos buckets OSS está definida como private. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
No permissions are granted to anonymous accounts in the OSS bucket policy | Nenhuma permissão de leitura ou gravação é concedida a contas anônimas na política de autorização de um bucket OSS. Isso é considerado compliant. Se nenhuma política de autorização estiver definida para um bucket OSS, o bucket também é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. |
Uma função ram de instância está anexada à instância ECS. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
Uma função de service está configurada para o Function Compute. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
O recurso ram Roles for Service Accounts (RRSA) está ativado para o cluster ACK. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
Um usuário ram não tem o acesso ao console e o acesso a chamadas OpenAPI ativados simultaneamente. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
Authentication is enabled for MSE clusters that are accessible over the public network | Um cluster MSE é considerado compliant se não for acessível pela rede pública ou se for acessível pela rede pública e tiver a autenticação ativada. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. |
O tempo desde a última utilização de um AccessKey de um usuário ram é menor que o tempo especificado nos parâmetros. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
Todas as configurações na política de senha para usuários ram atendem aos valores de parâmetro definidos por você. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
Usuários ram fizeram login nos últimos 90 dias. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. | |
The AccessKeys of RAM users are rotated within the specified period | O tempo desde a criação de um AccessKey de um usuário ram não excede o número de dias especificado. Isso é considerado compliant. | 12.1 | Controles físicos ou lógicos, ou ambos, devem estar implementados para restringir o acesso ao sistema computadorizado a pessoas autorizadas. Métodos adequados para prevenir a entrada não autorizada no sistema podem incluir o uso de chaves, cartões de acesso, códigos pessoais com senhas, biometria e acesso restrito a equipamentos de computação e áreas de armazenamento de dados. |
O log de auditoria está ativado para instâncias Redis. Isso é considerado compliant. | 12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | |
O log de auditoria está ativado para instâncias MongoDB. Isso é considerado compliant. | 12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | |
O armazenamento de log está ativado nas configurações de Log Management dos buckets OSS. Isso é considerado compliant. | 12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | |
A coleta de log está ativada para todos os nomes de domínio protegidos pelo WAF. Isso é considerado compliant. | 12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | |
The retention period for SQL audit logs of RDS instances meets the specified requirements | O SQL Audit está ativado para instâncias RDS for MySQL, e o período de retenção de log é maior ou igual ao valor especificado. Isso é considerado compliant. | 12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. |
O log de auditoria SQL está ativado para clusters ADB. Isso é considerado compliant. | 12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | |
O log de acesso está ativado para instâncias Classic Load Balancer. Isso é considerado compliant. | 12.4 | Os sistemas de gerenciamento de dados e documentos devem ser projetados para registrar a identidade dos operadores que inserem, alteram, confirmam ou excluem dados, incluindo a data e a hora. | |
Instâncias RDS suportam múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | |
Instâncias Redis estão implantadas em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | |
Instâncias SLB estão implantadas em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | |
Instâncias ALB estão implantadas em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | |
Instâncias MongoDB estão implantadas em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | |
Auto Scaling groups are associated with at least two vSwitches | Um grupo Auto Scaling está associado a pelo menos dois vSwitches. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. |
O endpoint service está configurado em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | |
Um cluster de armazenamento hot standby está ativado para o cluster PolarDB, e os dados estão distribuídos em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. | |
Resources from multiple zones are added to the vServer groups of SLB instances | Os recursos anexados de um grupo vServer para uma instância SLB estão distribuídos em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. |
Resources from multiple zones are added to the server groups of ALB instances | Os recursos anexados de um grupo de servidores para uma instância ALB estão distribuídos em múltiplas zonas. Isso é considerado compliant. | 16.1 | Para sistemas computadorizados que suportam processos críticos, devem ser tomadas providências para garantir a continuidade do suporte a esses processos em caso de falha do sistema (como um sistema manual ou alternativo). O tempo necessário para colocar os arranjos alternativos em uso deve basear-se no risco e ser apropriado para um sistema específico e para o processo de negócios que ele suporta. Esses arranjos devem ser adequadamente documentados e testados. |