Belajar Cloud Architect - Compliance & Audit Architecture

#Pendahuluan

Di episode 7 kita memetakan kontrol ke CIS/NIST, dan di episode 19 membangun keamanan data. Sekarang muncul pertanyaan yang menentukan: bagaimana membuktikan semua itu kepada auditor? Ini domain compliance — dan arsitek yang mengabaikannya akan membayar mahal di akhir.

Perspektif kuncinya: compliance bukan tumpukan dokumen, melainkan desain arsitektur yang meninggalkan jejak. Sistem yang diarsitektur dengan benar secara otomatis menghasilkan bukti kepatuhan — audit log, kontrol ter-encrypt, dan policy yang ditegakkan kode. Episode ini membangun arsitektur yang "compliance by design".

#Logging & Audit Architecture

#Apa yang Harus Di-log

Audit bukan sekadar "simpan semua log". Arsitektur audit yang baik menangkap siapa melakukan apa, kapan, dan dari mana:

Identity   : login sukses/gagal, perubahan izin, assume role
Data       : akses ke data sensitif, perubahan schema
Resource   : pembuatan/penghapusan resource cloud
Network    : perubahan security group/firewall
Config     : perubahan konfigurasi (IaC, deployment)
Compliance : pelanggaran policy, kejadian kontrol

#Arsitektur Logging yang Benar

Log harus centralized, immutable, dan dikontrol aksesnya — audit log yang bisa diedit tidak bernilai di pengadilan:

Prinsipnya:

1. Centralized — semua log dari semua sumber masuk satu pipeline (bisa lewat OTel, episode 10).
2. Immutable — log audit ditulis sekali, tidak bisa diubah/dihapus (write-once storage, access dibatasi).
3. Alert — anomali terdeteksi dan di-respons (episode 10).
4. Retention sesuai hukum — berapa lama log wajib disimpan diatur regulasi.

#Cloud Audit Trails

Setiap provider punya layanan audit bawaan — AWS CloudTrail, GCP Cloud Audit Logs, Azure Activity Log. Aktifkan sejak hari pertama: log siapa membuat/mengubah/menghapus resource apa, di semua region.

aws cloudtrail create-trail --name org-audit \
  --s3-bucket-name audit-logs \
  --is-multi-region-trail \
  --enable-log-file-validation

Perhatikan enable-log-file-validation — log yang divalidasi (hash) tidak bisa diubah tanpa terdeteksi. Ini detail kecil yang membuat audit log dapat dipercaya.

#Pemetaan Kontrol ke Framework Regulasi

#Framework yang Umum

#Proses Pemetaan

Arsitek memetakan kontrol teknis → kontrol framework. Ini membutuhkan kerja sama dengan tim compliance, dan hasilnya berupa Control Matrix:

Matriks ini adalah jembatan antara teknis dan regulasi. Setiap baris menyatakan: kontrol arsitektur ini membuktikan persyaratan itu.

#Arsitektur untuk Sertifikasi

#Sertifikasi Itu Bukti, Bukan Kertas

Mendapat sertifikasi (ISO 27001, SOC 2) berarti auditor membuktikan kontrol bekerja. Arsitektur yang dirancang compliance by design membuat proses ini lancar; arsitektur yang "berharap" membuatnya menyakitkan.

#Checklist Arsitektur Siap Audit

1. Audit trail lengkap — semua event kritis tercatat, immutable, ter-retention sesuai hukum.
2. Kontrol ter-enforce kode — policy-as-code (episode 11) membuktikan resource selalu patuh, bukan kadang patuh.
3. Akses terkontrol — least privilege + access review (episode 18).
4. Enkripsi di mana-mana — at rest & in transit, key rotation (episode 19).
5. Incident response tercatat — prosedur, latihan, dan laporan insiden.
6. Data map — dokumen kemana data mengalir (episode 15).

# Policy-as-code: setiap bucket baru wajib private + encrypt
deny_statement = {
  "Effect"   = "Deny",
  "Action"   = "s3:PutBucketPublicAccessBlock",
  "Resource" = "*",
  "Condition" = { "Bool": { "aws:SecureTransport": "false" } }
}

Saat auditor bertanya "apakah semua bucket privat?", jawabannya bukan "mudah-mudahan" — jawabannya "ditegakkan oleh policy kode di pipeline". Ini perbedaan antara arsitektur patuh dan arsitektur yang sedang diuji keberuntungannya.

#Praktik: Compliance Blueprint

Kerangka desain arsitektur compliance:

1. Identifikasi framework yang berlaku untuk bisnis (hukum + pelanggan).
2. Bangun centralized immutable audit logging sejak hari pertama.
3. Buat control matrix yang memetakan kontrol arsitektur ke framework.
4. Enforce kontrol lewat policy-as-code agar bukti otomatis.
5. Dokumentasikan data map dan incident response.
6. Jadwalkan internal audit sebelum audit eksternal.

#Penutup

Inti yang harus dibawa pulang:

• Compliance = desain yang meninggalkan bukti, bukan tumpukan dokumen.
• Audit logging harus centralized, immutable, dan ter-retention sesuai hukum.
• Kontrol teknis dipetakan ke framework via control matrix.
• Policy-as-code menghasilkan bukti kepatuhan otomatis.
• Bangun sekali, leverage ke banyak sertifikasi.

Di episode 21 selanjutnya kita akan membahas performance architecture — latency budget, strategi caching, dan desain performance testing. Sampai jumpa di episode 21!