Сообщить об ошибкеКороткий ответ
Compliance — это соблюдение внешних (законодательных, отраслевых) или внутренних требований к обработке данных и обеспечению безопасности; конкретные технические практики (шифрование данных, журналирование доступа, ограничение прав) часто являются прямыми требованиями таких стандартов, как PCI DSS (платёжные данные) или GDPR (персональные данные).
Как это работает подробнее
стандарты описывают не инструменты, а требуемые результаты и контроли — например, PCI DSS требует шифрование данных карт при хранении и передаче, ограничение доступа по принципу необходимости знать, журналирование всех обращений к данным карт; GDPR требует защиты персональных данных и возможности их удаления по запросу.
Что использовать на практике
- Практика. DevOps-инженер реализует эти требования конкретными средствами: TLS для передачи данных, шифрование дисков/БД для хранения, RBAC и аудит-логи для контроля доступа, retention-политики для логов и бэкапов. Соответствие подтверждается через аудит и сбор доказательств (evidence) — конфигураций, логов, отчётов сканирования.
- Проверка. Ожидаемое поведение: прямой SELECT card_number FROM payments без доступа к ключу KMS вернёт зашифрованные байты, а не номер карты — это и демонстрирует аудитору выполнение конкретного требования стандарта.
Подводные камни
- Ошибка. считать compliance разовым мероприятием перед проверкой, а не постоянной практикой; реализовывать контроль «для галочки» без фактического эффекта (например, включить шифрование, но хранить ключ рядом с данными); не документировать, как именно техническая настройка покрывает конкретное требование стандарта.