Comprendre AWS Audit Manager les concepts et la terminologie

Vous pouvez utiliser une évaluation d’Audit Manager pour recueillir automatiquement les éléments probants pertinents pour un audit.

Une évaluation est basée sur un framework, qui est un regroupement de contrôles liés à votre audit. Vous pouvez créer une évaluation à partir d’un framework standard ou personnalisé. Les frameworks standard contiennent des ensembles de contrôle prédéfinis qui prennent en charge une norme ou une réglementation de conformité spécifique. En revanche, les frameworks personnalisés contiennent des contrôles que vous pouvez personnaliser et regrouper en fonction de vos exigences d'audit spécifiques. En utilisant un cadre comme point de départ, vous pouvez créer une évaluation qui précise Comptes AWS ce que vous souhaitez inclure dans le périmètre de votre audit.

Lorsque vous créez une évaluation, Audit Manager commence automatiquement à évaluer vos ressources en Comptes AWS fonction des contrôles définis dans le framework. Ensuite, il recueille les éléments probants pertinents et les convertit dans un format convivial pour les auditeurs. Ensuite, il joint les éléments probants aux contrôles de votre évaluation. Au moment d’effectuer un audit, vous (ou un délégué de votre choix) pouvez examiner les éléments probants recueillis, puis les ajouter à un rapport d’évaluation. Ce rapport d’évaluation vous aide à démontrer que vos contrôles fonctionnent comme prévu.

La collecte d’éléments probants est un processus continu et commence lorsque vous créez votre évaluation. Vous pouvez arrêter la collecte d’éléments probants en faisant passer le statut de l’évaluation sur inactive. Vous pouvez également l’arrêter au niveau du contrôle. Pour ce faire, vous pouvez faire passer le statut d’un contrôle spécifique de votre évaluation sur inactif.

Pour obtenir des instructions sur la façon de créer et de gérer des évaluations, veuillez consulter Gestion des évaluations dans AWS Audit Manager.

Un rapport d’évaluation est un document finalisé généré à partir d’une évaluation d’Audit Manager. Ces rapports résument les éléments probants pertinents recueillis pour votre audit. Ils renvoient aux dossiers d’éléments probants appropriés. Les dossiers sont nommés et organisés conformément aux contrôles spécifiés dans votre évaluation. Pour chaque évaluation, vous pouvez passer en revue les éléments probants recueillis par Audit Manager et décider lesquels vous souhaitez inclure dans le rapport d’évaluation.

Pour en savoir plus sur les rapports d’évaluation, veuillez consulter Rapports d’évaluation. Pour savoir comment générer un rapport d’évaluation, veuillez consulter Préparation d'un rapport d'évaluation dans AWS Audit Manager.

Une destination de rapport d’évaluation est le compartiment S3 par défaut dans lequel Audit Manager enregistre vos rapports d’évaluation. Pour en savoir plus, veuillez consulter la section Configuration de la destination par défaut de votre rapport d'évaluation.

Un audit est un examen indépendant des actifs, des opérations ou de l’intégrité commerciale de votre organisation. Un audit des technologies de l’information (TI) examine spécifiquement les contrôles au sein des systèmes d’information de votre organisation. L’objectif d’un audit TI est de déterminer si les systèmes d’information fonctionnent efficacement, protègent les actifs et l’intégrité des données. Tous ces éléments sont importants pour répondre aux exigences réglementaires imposées par une norme ou un règlement de conformité.

Le terme propriétaire de l’audit a deux significations différentes selon le contexte.

Dans le contexte d’Audit Manager, le propriétaire d’un audit est un utilisateur ou un rôle gérant une évaluation et les ressources qui lui sont associées. Les responsabilités de ce persona au sein d’Audit Manager comprennent la création d’évaluations, l’examen des éléments probants et la génération de rapports d’évaluation. Audit Manager est un service collaboratif, et les propriétaires de l’audit bénéficient de la participation d’autres parties prenantes à leurs évaluations. Par exemple, vous pouvez ajouter d’autres propriétaires d’audit à votre évaluation pour partager les tâches de gestion. Ou bien, si vous êtes propriétaire d’un audit et que vous avez besoin d’aide pour interpréter les éléments probants recueillis pour un contrôle, vous pouvez déléguer cet ensemble de contrôles à une partie prenante spécialisée dans ce domaine. Une telle personne est connue sous le nom de personne déléguée.

En termes commerciaux, le propriétaire d’un audit est une personne qui coordonne et supervise les efforts de préparation à l’audit de son entreprise et présente les éléments probants à un auditeur. Il s’agit généralement d’un professionnel de la gouvernance, gestion des risques et conformité (GRC), tel qu’un responsable de la conformité ou un responsable de la protection des données du RGPD. Les professionnels de la GRC ont l’expertise et l’autorité nécessaires pour gérer la préparation des audits. Plus précisément, ils comprennent les exigences de conformité et peuvent analyser, interpréter et préparer les données de rapport. Cependant, d’autres rôles commerciaux peuvent également assumer la persona de propriétaire d’audit dans Audit Manager. Les professionnels de la GRC ne sont pas les seuls à remplir ce rôle. Par exemple, vous pouvez choisir de faire configurer et gérer vos évaluations dans Audit Manager par un expert technique issu de l’une des équipes suivantes :

La personne que vous choisissez de désigner en tant que propriétaire de l’audit dans le cadre de votre évaluation Audit Manager dépend en grande partie de votre organisation. Cela dépend également de la manière dont vous structurez vos opérations de sécurité et des spécificités de l’audit. Dans Audit Manager, la même personne peut assumer le rôle du propriétaire de l’audit dans une évaluation et celui de délégué dans une autre.

Quelle que soit la manière dont vous choisissez d’utiliser Audit Manager, vous pouvez gérer la séparation des tâches au sein de votre organisation en utilisant la persona de propriétaire ou délégué de l’audit et en accordant des politiques IAM spécifiques à chaque utilisateur. Grâce à cette approche en deux étapes, Audit Manager vous garantit un contrôle total sur tous les détails d’une évaluation individuelle. Pour plus d’informations, consultez Politiques recommandées pour les personas utilisateurs dans AWS Audit Manager.

Une source AWS gérée est une source de preuves qui AWS est conservée pour vous.

Chaque source AWS gérée est un groupe prédéfini de sources de données qui correspond à un contrôle commun ou à un contrôle central spécifique. Lorsque vous utilisez un contrôle commun comme source de preuves, vous collectez automatiquement des preuves pour tous les contrôles de base qui soutiennent ce contrôle commun. Vous pouvez également utiliser les contrôles de base individuels comme source de preuves.

Chaque fois qu'une source AWS gérée est mise à jour, les mêmes mises à jour sont automatiquement appliquées à tous les contrôles personnalisés qui utilisent cette source AWS gérée. Cela signifie que vos contrôles personnalisés collectent des preuves par rapport aux dernières définitions de cette source de preuves. Cela vous permet de garantir une conformité continue à mesure que l'environnement de conformité du cloud évolue.

Voir également :customer managed source,evidence source.

Pour chaque contrôle d'une évaluation, Audit Manager suit l'activité des utilisateurs pour ce contrôle. Vous pouvez ensuite consulter une piste d’audit des activités liées à un contrôle spécifique. Pour plus d'informations sur les activités des utilisateurs enregistrées dans le journal des modifications, consultez. Onglet Journal des modifications

La conformité dans le cloud est le principe général selon lequel les systèmes fournis dans le cloud doivent être conformes aux normes auxquelles sont confrontés les clients de celui-ci.

veuillez consulter control.

Un règlement de conformité est une loi, une règle ou un autre ordre prescrit par une autorité, généralement pour réglementer un comportement. Un exemple est le RGPD.

Une norme de conformité est un ensemble structuré de directives qui détaillent les processus d’une organisation dans le but de maintenir la conformité aux réglementations, spécifications ou lois établies. Des exemples incluent les normes PCI DSS et HIPAA.

Un contrôle est une sauvegarde ou une contre-mesure prescrite pour un système d’information ou une organisation. Les contrôles sont conçus pour protéger la confidentialité, l'intégrité et la disponibilité de vos informations, et pour répondre à un ensemble d'exigences définies. Ils garantissent que vos ressources fonctionnent comme prévu, que vos données sont fiables et que votre organisation respecte les lois et réglementations applicables.

Dans Audit Manager, un contrôle peut également représenter une question dans un questionnaire d’évaluation des risques liés aux fournisseurs. Dans ce cas, un contrôle est une question spécifique demandant des informations sur le niveau de sécurité et de conformité d’une organisation.

Les contrôles recueillent en permanence des éléments probants lorsqu’ils sont actifs dans vos évaluations d’Audit Manager. Vous pouvez également ajouter manuellement des éléments probants aux contrôles. Chaque élément de preuve est un dossier qui vous aide à démontrer la conformité aux exigences du contrôle.

Audit Manager fournit les types de contrôles suivants :

Vous pouvez considérer un domaine de contrôle comme une catégorie de contrôles qui n'est spécifique à aucune norme de conformité. La protection des données est un exemple de domaine de contrôle.

Les contrôles sont souvent regroupés par domaine pour des raisons d'organisation simples. Chaque domaine a de multiples objectifs.

Les groupements de domaines de contrôle sont l’une des fonctionnalités les plus puissantes du tableau de bord d’Audit Manager. Audit Manager met en évidence les contrôles de vos évaluations qui contiennent des éléments probants non conformes et les regroupe par domaine de contrôle. Cela vous permet de concentrer vos efforts de remédiation sur des domaines spécifiques lorsque vous vous préparez à un audit.

Un objectif de contrôle décrit l'objectif des contrôles communs qui se situent en dessous de celui-ci. Chaque objectif peut avoir plusieurs contrôles communs. Si ces contrôles communs sont mis en œuvre avec succès, ils vous aideront à atteindre l'objectif.

Chaque objectif de contrôle relève d'un domaine de contrôle. Par exemple, le domaine de contrôle de la protection des données peut avoir un objectif de contrôle nommé Classification et traitement des données. Pour atteindre cet objectif de contrôle, vous pouvez utiliser un contrôle commun appelé contrôles d'accès pour surveiller et détecter les accès non autorisés à vos ressources.

veuillez consulter control.

veuillez consulter control.

Une source gérée par le client est une source de preuves que vous définissez.

Lorsque vous créez un contrôle personnalisé dans Audit Manager, vous pouvez utiliser cette option pour créer vos propres sources de données individuelles. Cela vous donne la flexibilité de collecter des preuves automatisées à partir d'une ressource spécifique à l'entreprise, telle qu'une règle personnalisée AWS Config . Vous pouvez également utiliser cette option si vous souhaitez ajouter des preuves manuelles à votre contrôle personnalisé.

Lorsque vous utilisez des sources gérées par le client, vous êtes responsable de la maintenance de toutes les sources de données que vous créez.

Voir également :AWS managed source,evidence source.

Audit Manager utilise des sources de données pour collecter des preuves en vue d'un contrôle. Une source de données possède les propriétés suivantes :

Un seul contrôle peut avoir plusieurs types de sources de données et plusieurs mappages. Par exemple, un contrôle peut collecter des preuves à partir d'une combinaison de types de sources de données (tels que AWS Config Security Hub). Un autre contrôle peut avoir AWS Config comme seul type de source de données, avec plusieurs AWS Config règles sous forme de mappages.

Le tableau suivant répertorie les types de sources de données automatisées et présente des exemples de mappages correspondants.

Un délégué est un AWS Audit Manager utilisateur dont les autorisations sont limitées. Les délégués possèdent généralement une expertise commerciale ou technique spécialisée. Par exemple, cette expertise peut porter sur les politiques de conservation des données, les plans de formation, l’infrastructure réseau ou la gestion des identités. Les délégués aident les propriétaires de l’audit à examiner les éléments probants recueillis pour les contrôles relevant de leur domaine d’expertise. Les délégués peuvent examiner les ensembles de contrôles et les éléments probants associés, ajouter des commentaires, charger des éléments probants supplémentaires et mettre à jour le statut de chacun des contrôles que vous leur attribuez à des fins de révision.

Les propriétaires de l’audit attribuent des ensembles de contrôles spécifiques aux délégués, et non des évaluations complètes. Par conséquent, les délégués ont un accès limité aux évaluations. Pour obtenir des instructions sur la façon de déléguer un ensemble de contrôles, consultez Délégations en AWS Audit Manager.

Un élément probant est un enregistrement qui contient les informations nécessaires pour démontrer la conformité aux exigences d’un contrôle. Des exemples d’éléments probants comprennent une activité de modification invoquée par un utilisateur et un instantané de la configuration du système.

Il existe deux principaux types d’éléments probants dans Audit Manager : les éléments probants automatisés et les éléments probants manuels.

La collecte automatisée d’éléments probants débute lorsque vous créez une évaluation. Il s’agit d’un processus continu, et Audit Manager recueille des éléments probants à différentes fréquences en fonction du type d’éléments probants et de la source de données sous-jacente. Pour plus d’informations, consultez Comprendre le mode de AWS Audit Manager collecte des preuves.

Pour obtenir des instructions sur la façon d’examiner les éléments probants dans une évaluation, veuillez consulter Examen des preuves dans AWS Audit Manager.

Une source de preuves définit l'endroit d'où un contrôle collecte des preuves. Il peut s'agir d'une source de données individuelle ou d'un groupe prédéfini de sources de données mappé à un contrôle commun ou à un contrôle central.

Lorsque vous créez un contrôle personnalisé, vous pouvez collecter des preuves auprès de sources AWS gérées, de sources gérées par le client, ou des deux.

Voir également :AWS managed source,customer managed source.

Un contrôle peut recueillir des éléments probants de deux manières.

Une destination d’exportation est le compartiment S3 par défaut dans lequel Audit Manager enregistre les fichiers que vous exportez depuis la recherche d’éléments probants. Pour plus d’informations, consultez Configuration de votre destination d'exportation par défaut pour Evidence Finder.

Un cadre d'Audit Manager structure et automatise les évaluations pour une norme spécifique ou un principe de gouvernance des risques. Ces frameworks incluent un ensemble de contrôles prédéfinis ou définis par le client, et ils vous aident à adapter vos AWS ressources aux exigences de ces contrôles.

Il existe deux types de framework dans Audit Manager.

Pour voir les instructions de création et de gestion des frameworks, veuillez consulter Utilisation de la bibliothèque de frameworks pour gérer les frameworks dans AWS Audit Manager.

Vous pouvez utiliser Partage d'un framework personnalisé dans AWS Audit Manager cette fonctionnalité pour partager rapidement vos frameworks personnalisés entre Comptes AWS les régions. Pour partager un framework personnalisé, vous devez créer une demande de partage. Le destinataire dispose alors de 120 jours pour accepter ou refuser la demande. Lorsqu’il accepte la demande de partage, Audit Manager reproduit le framework personnalisé partagé dans sa bibliothèque de frameworks. Outre la réplication du framework personnalisé, Audit Manager reproduit également tous les ensembles de contrôles personnalisés et les contrôles personnalisés contenus dans ce framework. Ces contrôles personnalisés sont ajoutés à la bibliothèque de contrôles du destinataire. Audit Manager ne réplique pas les frameworks ou les contrôles standard. Cela est dû au fait que ces ressources sont déjà disponibles par défaut dans chaque compte et région.

Une ressource est un actif physique ou informationnel évalué dans le cadre d’un audit. Les exemples de AWS ressources incluent les instances Amazon EC2, les instances Amazon RDS, les compartiments Amazon S3 et les sous-réseaux Amazon VPC.

L’évaluation des ressources est le processus d’évaluation d’une ressource individuelle. Cette évaluation est basée sur l’exigence d’un contrôle. Lorsqu’une évaluation est active, Audit Manager effectue des évaluations des ressources pour chaque ressource individuelle comprise dans le cadre de l’évaluation. Une évaluation des ressources exécute les tâches suivantes :

La conformité des ressources fait référence au statut d’évaluation d’une ressource qui a été évaluée lors de la collecte d’éléments probants pour la vérification de conformité.

Audit Manager collecte des preuves de conformité pour les contrôles qui utilisent AWS Config Security Hub comme type de source de données. Plusieurs ressources peuvent être évaluées au cours de cette collecte d’éléments probants. Par conséquent, un même élément probant pour la vérification de conformité peut comprendre une ou plusieurs ressources.

Vous pouvez utiliser le filtre de conformité des ressources dans la recherche d’éléments probants pour explorer l’état de conformité au niveau des ressources. Une fois votre requête de recherche terminée, vous pouvez prévisualiser les ressources qui lui correspondent.

Dans la recherche d’éléments probants, il existe trois valeurs possibles pour la conformité des ressources :

Audit Manager gère Services AWS les domaines concernés par vos évaluations. Si vous avez une évaluation plus ancienne, il est possible que vous ayez spécifié manuellement les services concernés par le passé. Après le 4 juin 2024, vous ne pourrez plus spécifier ou modifier manuellement les services concernés.

Un service inclus dans le champ d'application est un service pour Service AWS lequel votre évaluation recueille des preuves. Lorsqu'un service est inclus dans le périmètre de votre évaluation, Audit Manager évalue les ressources de ce service. Quelques exemples de ressources possibles :

Par exemple, si Amazon S3 est un service concerné, Audit Manager peut collecter des preuves concernant vos compartiments S3. Les preuves exactes collectées sont déterminées par celles d'un contrôledata source. Par exemple, si le type de source de données est AWS Config et que le mappage des sources de données est une AWS Config règle (telle ques3-bucket-public-write-prohibited), Audit Manager collecte le résultat de cette évaluation des règles à titre de preuve.

veuillez consulter control.