O Pacote de Conformidade com Práticas Padrão de Auditoria SOC 2 no Cloud Config avalia as configurações dos seus recursos da Alibaba Cloud em relação aos controles definidos nos critérios de trust services do SOC 2. Utilize este pacote de conformidade para monitorar continuamente se o seu ambiente cloud atende aos requisitos de segurança de dados, disponibilidade, integridade de processamento, confidencialidade e privacidade de uma auditoria SOC 2.
Visão geral
O Cloud Config oferece pacotes de conformidade que agrupam regras gerenciadas em conjuntos lógicos para avaliação de conformidade baseada em cenários. O Pacote de Conformidade com Práticas Padrão de Auditoria SOC 2 contém 88 regras integradas que verificam as configurações dos seus recursos da Alibaba Cloud conforme os critérios de trust services do SOC 2.
O SOC 2 foi desenvolvido pelo American Institute of CPAs (AICPA) e define controles relevantes para cinco categorias de trust services:
|
Categoria |
Descrição |
|
Segurança |
Proteção contra acesso não autorizado a sistemas e dados |
|
Disponibilidade |
Sistemas disponíveis para operação e uso conforme comprometido |
|
Integridade de Processamento |
Processamento do sistema completo, válido, preciso, tempestivo e autorizado |
|
Confidencialidade |
Proteção das informações designadas como confidenciais |
|
Privacidade |
Coleta, uso, retenção, divulgação e descarte de informações pessoais em conformidade com os compromissos assumidos |
Cada regra neste pacote de conformidade mapeia um ou mais critérios do SOC 2, identificados por códigos padrão. Os seguintes códigos aparecem nas tabelas de regras:
|
Código |
Categoria |
Foco |
|
A1,2 |
Disponibilidade |
Proteções ambientais, backup de dados e infraestrutura de recuperação |
|
C1,1 |
Confidencialidade |
Identificação e manutenção de informações confidenciais |
|
C1,2 |
Confidencialidade |
Descarte de informações confidenciais |
|
CC1,3 |
Ambiente de Controle |
Estruturas de gestão, linhas de reporte e autoridades |
|
CC3,1 |
Avaliação de Riscos |
Especificação de objetivos para identificação de riscos |
|
CC3,2 |
Avaliação de Riscos |
Identificação e análise de riscos como base para o gerenciamento de riscos |
|
CC6,1 |
Acesso Lógico |
Segurança de acesso lógico para ativos de informação protegidos |
|
CC6,2 |
Acesso Lógico |
Credenciais do sistema e autorização de acesso do usuário |
|
CC6,3 |
Acesso Lógico |
Acesso baseado em função, menor privilégio e segregação de funções |
|
CC6,6 |
Acesso Lógico |
Proteção contra ameaças externas |
|
CC6,7 |
Acesso Lógico |
Transmissão, movimentação e remoção de informações |
|
CC6,8 |
Acesso Lógico |
Prevenção ou detecção de software não autorizado ou malicioso |
|
CC7,1 |
Monitoramento |
Detecção e monitoramento de alterações de configuração e vulnerabilidades |
|
CC7,2 |
Monitoramento |
Monitoramento de componentes do sistema em busca de anomalias |
|
CC7,3 |
Monitoramento |
Avaliação de eventos de segurança e determinação de incidentes |
|
CC7,4 |
Monitoramento |
Programa de resposta a incidentes para incidentes de segurança |
As 88 regras estão organizadas em seis domínios de segurança nas seções a seguir. Cada seção de domínio lista as regras aplicáveis àquela área, com a descrição da regra, a condição de conformidade e os critérios SOC 2 correspondentes.
Backup e recuperação de dados
As regras abaixo verificam se as configurações de backup e recuperação estão implementadas nos seus services da Alibaba Cloud para atender aos objetivos de disponibilidade e recuperação de incidentes do SOC 2.
|
Nome da regra |
Descrição da regra |
Critérios SOC 2 |
|
Uma instância RDS está em conformidade se o backup de log estiver ativado. |
A1,2, CC7,4 |
|
|
Um sistema de arquivos NAS está em conformidade se houver um plano de backup criado para ele. |
A1,2, CC7,4 |
|
|
Um bucket do OSS está em conformidade se o armazenamento redundante de zona estiver ativado. Caso esteja desativado, o OSS não consegue fornecer service consistente quando um data center fica indisponível, o que afeta seu objetivo de recuperação de dados. |
A1,2, CC7,4 |
|
|
The retention period of level-1 backups for PolarDB clusters meets the specified requirement |
Um cluster PolarDB está em conformidade se o período de retenção dos backups de nível 1 for maior ou igual ao número de dias especificado. Valor padrão: 7 dias. |
A1,2, CC7,4 |
Controle de acesso e gerenciamento de identidade
Estas regras validam se as configurações de identidade, acesso e permissões seguem os princípios de menor privilégio e segregação de funções.
|
Nome da regra |
Descrição da regra |
Critérios SOC 2 |
|
Um grupo de usuários RAM está em conformidade se contiver pelo menos um usuário RAM. |
CC1,3, CC6,2, CC6,3 |
|
|
A conformidade de um grupo de usuários RAM exige que ele contenha pelo menos um usuário RAM e tenha pelo menos uma política de acesso RAM anexada. |
CC1,3, CC6,2, CC6,3 |
|
|
Uma política de acesso RAM é considerada conforme quando anexada a pelo menos um grupo de usuários RAM, função RAM ou usuário RAM. |
CC1,3 |
|
|
Sua conta está em conformidade se nenhum usuário RAM, grupo de usuários RAM ou função RAM possuir permissões de superadministrador, onde Resource está definido como e Action como . |
CC1,3, CC6,1, CC6,2, CC6,3 |
|
|
Usuários RAM com acesso ao console estão em conformidade se a autenticação multifator (MFA) estiver ativada nas configurações de login. |
CC3,2, CC6,3, CC6,6 |
|
|
Uma conta Alibaba Cloud cumpre a regra se não possuir nenhuma AccessKey em qualquer status. |
CC6,1, CC6,2, CC6,3 |
|
|
Rotate the AccessKey of RAM users within the specified period |
A AccessKey de um usuário RAM está em conformidade se o intervalo entre sua criação e a verificação não exceder o número de dias especificado. Valor padrão: 90 dias. |
CC6,1, CC6,2, CC6,3 |
|
A política de senha do usuário RAM está em conformidade se todas as suas configurações atenderem aos valores especificados pelos parâmetros. |
CC6,1, CC6,3 |
|
|
Um usuário RAM está em conformidade se o acesso ao console e o acesso à API não estiverem ambos ativados simultaneamente. |
CC6,2, CC6,3 |
|
|
Recomenda-se que usuários RAM herdem permissões de grupos de usuários RAM ou funções RAM. O usuário está em conformidade se nenhuma política de acesso estiver anexada diretamente a ele. |
CC6,2, CC6,3 |
|
|
Para que sua conta esteja em conformidade, todos os usuários RAM devem pertencer a um grupo de usuários RAM. |
CC6,2, CC6,3 |
|
|
A conformidade do usuário RAM requer que ele não possua nenhuma AccessKey no status Active. |
CC6,2, CC6,3 |
|
|
Install the ack-ram-authenticator component in ACK clusters to authenticate requests based on RAM |
Clusters ACK estão em conformidade se o componente ack-ram-authenticator estiver instalado para permitir autenticação baseada em RAM. |
CC6,3 |
|
Instâncias ECS cumprem esta regra quando possuem uma função RAM de instância anexada. |
CC6,3 |
|
|
Instâncias RDS estão em conformidade se a proteção contra exclusão estiver ativada. Esta regra não se aplica a instâncias por assinatura, pois elas não suportam proteção contra exclusão. |
C1,1 |
|
|
Clusters PolarDB atendem ao requisito se a proteção contra exclusão estiver habilitada. Regra não aplicável a clusters por assinatura. |
C1,1 |
|
|
Chaves mestras do KMS estão em conformidade com a proteção contra exclusão ativada. Não se aplica a chaves fora do status Enabled nem a chaves de service, já que estas não podem ser excluídas. |
C1,1 |
|
|
Configure automatic rotation for secrets in Key Management Service |
Segredos no Key Management Service (KMS) cumprem a regra se a rotação automática estiver configurada. Exceto para segredos genéricos. |
CC6,1, CC6,2 |
|
Um segredo KMS está em conformidade se a rotação automática estiver ativada e a rotação ocorrer com sucesso dentro do período configurado. Não aplicável a segredos genéricos, pois o KMS não suporta rotação periódica para eles. |
CC6,1 |
|
|
Chaves mestras do KMS estão conformes desde que não estejam pendentes de exclusão. |
CC6,1 |
|
|
Instâncias RDS estão em conformidade se a Criptografia Transparente de Dados (TDE) estiver ativada nas configurações de segurança de dados. Não se aplica a tipos de instância ou versões incompatíveis com TDE. |
CC6,1, CC6,2 |
Segurança de rede
As regras a seguir avaliam se as configurações de exposição de rede, criptografia de transporte e defesa de perímetro atendem aos requisitos de acesso lógico e transmissão de dados do SOC 2.
|
Nome da regra |
Descrição da regra |
Critérios SOC 2 |
|
Running ECS instances are not associated with public IP addresses |
Instâncias ECS em execução estão em conformidade se não estiverem associadas diretamente a um endereço IP público IPv4 ou a um elastic IP address (EIP). |
CC6,1, CC6,6 |
|
A Alibaba Cloud recomenda implantar instâncias ECS em uma VPC. A instância está em conformidade se pertencer a uma VPC. Se parâmetros forem especificados, a conformidade exige que a VPC esteja dentro do intervalo definido. Não aplicável a instâncias fora do status Running. |
CC6,1, CC6,6 |
|
|
Evite associar endereços IP públicos IPv4 ou EIPs diretamente a instâncias ECS para manter a conformidade. |
CC6,7 |
|
|
Instâncias SLB cumprem a regra se não tiverem endereço IP público associado. Caso não precise de acesso à rede pública, não associe um IP público diretamente. Se necessário, adquira um EIP e associe-o à instância SLB, pois EIPs oferecem maior flexibilidade e permitem usar largura de banda compartilhada para reduzir custos. |
CC6,6 |
|
|
Services do Function Compute estão em conformidade quando o acesso à rede pública está desativado. |
CC6,1 |
|
|
Services de função atendem ao requisito se permitirem chamadas apenas das VPCs especificadas. |
CC6,1, CC6,6 |
|
|
Instâncias ADB estão conformes com o acesso à rede pública desabilitado. |
CC6,1 |
|
|
Elasticsearch instances do not have public network access enabled |
Para estar em conformidade, instâncias Elasticsearch não devem ter acesso à rede pública ativado. |
CC6,1, CC6,6 |
|
Container Registry instances do not have a public endpoint enabled |
Instâncias do Container Registry (Enterprise Edition) cumprem a regra se nenhum endpoint público estiver habilitado. |
CC6,7 |
|
Instâncias RDS estão em conformidade sem endpoint público configurado. Em ambientes de produção, evite configurar Acesso Direto à Internet, pois isso torna as instâncias vulneráveis a ataques. |
CC6,1, CC6,6 |
|
|
All endpoints of PolarDB clusters have public access disabled |
Clusters PolarDB exigem acesso público desativado em todos os endpoints para estarem em conformidade. |
CC6,1, CC6,6 |
|
The IP whitelist of PolarDB instances is not set to all CIDR blocks |
Instâncias PolarDB estão conformes se a lista de permissões de IP não estiver definida como 0.0.0.0/0. |
CC6,1 |
|
Inbound rules of security groups are valid for ports that are not on the whitelist |
Grupos de segurança estão em conformidade se nenhuma regra de entrada permitir acesso de 0.0.0.0/0 em portas diferentes das portas na lista de permissões especificada. Não se aplica a grupos de segurança usados por services da Alibaba Cloud ou revendedores. |
CC6,1, CC6,6 |
|
Security groups do not open risky ports of the specified protocol to all CIDR blocks |
Um grupo de segurança está em conformidade se o intervalo de portas do protocolo especificado não contiver as portas de risco definidas quando o bloco CIDR de entrada for 0.0.0.0/0. Se o bloco CIDR de entrada não for 0.0.0.0/0, o grupo permanece conforme mesmo com portas de risco no intervalo. Também está em conformidade se as portas de risco detectadas forem negadas por uma política de autorização com prioridade superior. Não aplicável a grupos usados por services da Alibaba Cloud ou revendedores. |
CC6,1, CC6,6, CC7,2 |
|
Configurações de dimensionamento no Auto Scaling cumprem a regra se não atribuírem endereços IPv4 públicos. |
CC6,6 |
|
|
Elastic IP addresses (EIP) estão em conformidade se associados a uma instância ECS ou NAT Gateway, indicando que não estão ociosos. |
CC6,2 |
|
|
Entradas DNAT no NAT Gateway não devem mapear as portas de risco especificadas para garantir conformidade. |
CC6,6 |
|
|
VPCs estão em conformidade com o registro de logs de fluxo ativado. |
CC3,2, CC6,6, CC7,3 |
|
|
Instâncias SLB requerem listener HTTPS configurado na porta especificada. Não aplicável a instâncias com apenas listeners TCP ou UDP. |
CC6,1, CC6,7 |
|
|
Configure header removal for the HTTP listeners of ALB instances |
Listeners HTTP em execução em instâncias ALB estão em conformidade se houver uma ação de encaminhamento configurada para remover headers. |
CC6,1, CC6,7 |
|
O uso do protocolo de transporte HTTPS é obrigatório para conformidade de instâncias Elasticsearch. |
CC6,1, CC6,7 |
|
|
Buckets do OSS estão em conformidade se a política do bucket definir o método de acesso de operações de leitura e gravação como HTTPS, ou negar acesso via HTTP. Não aplicável a buckets sem política definida. |
CC6,1, CC6,7 |
|
|
Certificados SSL estão válidos se o tempo restante antes da expiração for maior que o número de dias especificado. Valor padrão: 30 dias. |
CC6,1, CC6,7 |
|
|
SLB instances use certificates that are issued by Alibaba Cloud |
Instâncias SLB devem utilizar certificados emitidos pela Alibaba Cloud para estarem em conformidade. |
CC6,7 |
|
The HTTPS listeners of SLB instances use the specified security policy suite |
Todos os listeners HTTPS de uma instância SLB precisam usar a versão do conjunto de políticas de segurança especificada pelos parâmetros. Não aplicável a instâncias sem listeners HTTPS. |
CC6,7 |
|
SSL certificates are configured for the custom domains of API groups in API Gateway |
Grupos de API no API Gateway estão em conformidade se tiverem um domínio personalizado vinculado com certificado SSL configurado. |
CC6,7 |
|
Ative a criptografia TLS ou SSL para que instâncias Redis estejam em conformidade. |
CC6,7 |
|
|
Domínios CDN cumprem a regra com o TLS 1.3 ativado. |
CC6,7 |
|
|
Synchronization tasks of DTS instances use SSL to connect to the source and destination databases |
Todas as tarefas de sincronização de uma instância DTS devem usar conexões criptografadas por SSL para os bancos de dados de source e destino. Não aplicável a instâncias DTS cujo tipo de tarefa não seja sincronização. |
CC6,7 |
|
Clusters PolarDB requerem criptografia Secure Sockets Layer (SSL) ativada. |
CC6,7 |
|
|
A ativação do TDE é necessária para conformidade de clusters PolarDB. |
CC6,6 |
|
|
Domains that are bound to API groups in API Gateway are added to WAF or WAF 3.0 |
Domínios vinculados a grupos de API no API Gateway devem ser adicionados ao WAF ou WAF 3.0 para garantir conformidade. |
CC6,6 |
|
APIs no API Gateway estão em conformidade se o método de autenticação de segurança estiver definido como Alibaba Cloud App ou se utilizarem um tipo de plug-in especificado. |
CC6,6 |
Proteção contra ameaças
Estas regras verificam se a detecção de ameaças, o gerenciamento de vulnerabilidades e a cobertura de agentes de segurança atendem aos requisitos de avaliação de riscos e prevenção de software malicioso do SOC 2.
|
Nome da regra |
Descrição da regra |
Critérios SOC 2 |
|
Sua conta está em conformidade se utilizar o Security Center Enterprise Edition ou uma edição superior. |
CC3,1, CC6,6, CC6,8, CC7,1, CC7,2, CC7,3, CC7,4 |
|
|
Ativos estão em conformidade se a proteção estiver ativada no Cloud Firewall. Aplica-se apenas a usuários pagantes. Usuários que não ativaram o Cloud Firewall ou usam a edição gratuita não possuem dados de detecção disponíveis. |
CC3,1, CC6,1, CC6,6, CC6,8 |
|
|
Configure vulnerability scanning at the specified levels in Security Center |
Configure a varredura de vulnerabilidades no Security Center para os níveis de risco especificados a fim de garantir conformidade. |
CC3,1, CC6,1, CC6,6, CC6,8 |
|
Enable the specified types of proactive defense in Security Center |
Os tipos de defesa proativa especificados pelos parâmetros devem estar ativados no Security Center para conformidade. |
CC3,1, CC6,1, CC6,6, CC6,8 |
|
Instâncias WAF 3.0 cumprem a regra se as regras de proteção estiverem habilitadas para os cenários especificados. |
CC3,1, CC6,1, CC6,6, CC6,8 |
|
|
O agente do Security Center fornece proteção de segurança para hosts. Instâncias ECS em execução estão em conformidade se o agente estiver instalado. Não aplicável a instâncias fora do status Running. |
CC3,2, CC6,1, CC7,1 |
|
|
Instale o agente do Cloud Monitor e garanta que ele esteja em execução em instâncias ECS ativas para manter a conformidade. Não aplicável a instâncias fora do status Running. |
CC3,2, CC7,1, CC7,2, CC7,3 |
|
|
Install the Cloud Monitor agent on running nodes in ACK clusters |
Clusters ACK estão em conformidade se o agente do Cloud Monitor estiver instalado em todos os nós em execução e o status de monitoramento for normal. |
CC3,2, CC7,2 |
|
Instâncias ECS em execução não devem ter vulnerabilidades pendentes de correção dos tipos e níveis de gravidade especificados pelo Security Center. Não aplicável a instâncias fora do status Running. |
CC6,6, CC6,8, CC7,1, CC7,3 |
|
|
The Security Center agent is installed on all ECS instances in the account |
Para conformidade da conta, o agente do Security Center deve estar instalado em todas as instâncias ECS. |
CC6,6 |
|
Sua conta está em conformidade se a varredura de imagens estiver ativada no Security Center e não houver vulnerabilidades de imagem a corrigir. Não aplicável se a varredura não estiver ativada ou não tiver sido executada, devido à falta de informações. |
CC6,8, CC7,1 |
|
|
The Cloud Monitor agent is installed on the nodes of ACK clusters |
Nós de clusters ACK requerem o agente do Cloud Monitor instalado e em execução para estarem em conformidade. |
CC7,1 |
Monitoramento e auditoria
As regras listadas abaixo verificam se as configurações de logging, monitoramento e alertas fornecem trilhas de auditoria e detecção de anomalias suficientes para atender aos requisitos de monitoramento e resposta a incidentes do SOC 2.
|
Nome da regra |
Descrição da regra |
Critérios SOC 2 |
|
Sua conta está em conformidade se o ActionTrail contiver uma trilha ativada cobrindo todas as regiões e tipos de eventos. Contas membro em um diretório de recursos também estão conformes se o administrador criar uma trilha aplicável a todas as contas membro. |
A1,2, CC3,2, CC7,1, CC7,2 |
|
|
Configure notification methods for Security Center notification items |
O Security Center requer métodos de notificação configurados para todos os itens de notificação. |
A1,2 |
|
Grupos de API no API Gateway precisam ter o armazenamento de logs de chamadas configurado. |
A1,2, CC7,2, CC7,3 |
|
|
Instâncias Classic Load Balancer (CLB) estão em conformidade com logs de acesso ativados. Não aplicável a instâncias sem listeners de Camada 7, pois não suportam logs de acesso. |
A1,2, CC3,2, CC7,2, CC7,3 |
|
|
Clusters ADB cumprem a regra com o backup de log habilitado. |
A1,2, CC7,4 |
|
|
Discos ECS necessitam de uma política de snapshot automático configurada para conformidade. |
CC7,4 |
|
|
Configure Cloud Monitor alert rules for the specified cloud services |
Configure pelo menos uma regra de alerta no Cloud Monitor para o service cloud no namespace especificado para que sua conta esteja em conformidade. |
CC7,2, CC7,3, CC7,4 |
|
Logging de auditoria SQL deve estar ativado em clusters ADB. |
CC7,3 |
|
|
Clusters PolarDB estão em conformidade com a auditoria SQL ativada. |
CC7,4 |
Criptografia e proteção de dados
As regras seguintes verificam se a criptografia está ativada para dados em repouso e em trânsito nos seus services da Alibaba Cloud, atendendo aos requisitos de acesso lógico e proteção de dados do SOC 2.
|
Nome da regra |
Descrição da regra |
Critérios SOC 2 |
|
Buckets do OSS estão em conformidade se a criptografia do lado do servidor com chaves gerenciadas pelo OSS estiver ativada. |
CC6,1 |
|
|
Discos de dados ECS requerem criptografia ativada. |
CC6,1 |
|
|
Sistemas de arquivos NAS cumprem a regra com criptografia habilitada. |
CC6,1 |
|
|
Enable disk encryption for the data nodes of Elasticsearch instances |
Nós de dados de instâncias Elasticsearch estão em conformidade se a criptografia de disco estiver ativada. |
CC6,1 |
|
Ative o versionamento em buckets do OSS. Sem essa funcionalidade, não é possível restaurar dados após sobrescrita ou exclusão. |
A1,2, C1,1, C1,2, CC7,4 |
|
|
A ACL do bucket OSS deve proibir acesso público de leitura. |
CC6,1 |
|
|
Leitura e gravação públicas devem ser proibidas pela ACL do bucket OSS. |
CC6,1 |
|
|
Armazenamento de logs deve estar ativado no Log Management para buckets do OSS. |
CC6,1, CC7,2, CC7,3 |
|
|
Function settings in Function Compute meet the specified requirements |
Funções no Function Compute 2.0 estão em conformidade se suas configurações atenderem aos requisitos especificados pelos parâmetros. |
CC7,2 |