Compréhension AWS Audit Manager concepts et terminologie

Évaluation

Vous pouvez utiliser une évaluation d’Audit Manager pour recueillir automatiquement les éléments probants pertinents pour un audit.

Une évaluation est basée sur un framework, qui est un regroupement de contrôles liés à votre audit. Vous pouvez créer une évaluation à partir d’un framework standard ou personnalisé. Les frameworks standard contiennent des ensembles de contrôle prédéfinis qui prennent en charge une norme ou une réglementation de conformité spécifique. En revanche, les frameworks personnalisés contiennent des contrôles que vous pouvez personnaliser et regrouper en fonction de vos exigences d'audit spécifiques. En utilisant un cadre comme point de départ, vous pouvez créer une évaluation qui spécifie Comptes AWS que vous souhaitez inclure dans le périmètre de votre audit.

Lorsque vous créez une évaluation, Audit Manager commence automatiquement à évaluer les ressources de votre Comptes AWS sur la base des contrôles définis dans le cadre. Ensuite, il recueille les éléments probants pertinents et les convertit dans un format convivial pour les auditeurs. Ensuite, il joint les éléments probants aux contrôles de votre évaluation. Au moment d’effectuer un audit, vous (ou un délégué de votre choix) pouvez examiner les éléments probants recueillis, puis les ajouter à un rapport d’évaluation. Ce rapport d’évaluation vous aide à démontrer que vos contrôles fonctionnent comme prévu.

La collecte d’éléments probants est un processus continu et commence lorsque vous créez votre évaluation. Vous pouvez arrêter la collecte d’éléments probants en faisant passer le statut de l’évaluation sur inactive. Vous pouvez également l’arrêter au niveau du contrôle. Pour ce faire, vous pouvez faire passer le statut d’un contrôle spécifique de votre évaluation sur inactif.

Pour obtenir des instructions sur la façon de créer et de gérer des évaluations, veuillez consulter Gestion des évaluations dans AWS Audit Manager.

Rapport d’évaluation

Un rapport d’évaluation est un document finalisé généré à partir d’une évaluation d’Audit Manager. Ces rapports résument les éléments probants pertinents recueillis pour votre audit. Ils renvoient aux dossiers d’éléments probants appropriés. Les dossiers sont nommés et organisés conformément aux contrôles spécifiés dans votre évaluation. Pour chaque évaluation, vous pouvez passer en revue les éléments probants recueillis par Audit Manager et décider lesquels vous souhaitez inclure dans le rapport d’évaluation.

Pour en savoir plus sur les rapports d’évaluation, veuillez consulter Rapports d’évaluation. Pour savoir comment générer un rapport d’évaluation, veuillez consulter Préparation d'un rapport d'évaluation dans AWS Audit Manager.

Destination du rapport d’évaluation

Une destination de rapport d’évaluation est le compartiment S3 par défaut dans lequel Audit Manager enregistre vos rapports d’évaluation. Pour en savoir plus, consultez Configuration de la destination par défaut de votre rapport d'évaluation.

Audit

Un audit est un examen indépendant des actifs, des opérations ou de l’intégrité commerciale de votre organisation. Un audit des technologies de l’information (TI) examine spécifiquement les contrôles au sein des systèmes d’information de votre organisation. L’objectif d’un audit TI est de déterminer si les systèmes d’information fonctionnent efficacement, protègent les actifs et l’intégrité des données. Tous ces éléments sont importants pour répondre aux exigences réglementaires imposées par une norme ou un règlement de conformité.

Responsable de l’audit

Le terme propriétaire de l’audit a deux significations différentes selon le contexte.

Dans le contexte d’Audit Manager, le propriétaire d’un audit est un utilisateur ou un rôle gérant une évaluation et les ressources qui lui sont associées. Les responsabilités de ce persona au sein d’Audit Manager comprennent la création d’évaluations, l’examen des éléments probants et la génération de rapports d’évaluation. Audit Manager est un service collaboratif, et les propriétaires de l’audit bénéficient de la participation d’autres parties prenantes à leurs évaluations. Par exemple, vous pouvez ajouter d’autres propriétaires d’audit à votre évaluation pour partager les tâches de gestion. Ou bien, si vous êtes propriétaire d’un audit et que vous avez besoin d’aide pour interpréter les éléments probants recueillis pour un contrôle, vous pouvez déléguer cet ensemble de contrôles à une partie prenante spécialisée dans ce domaine. Une telle personne est connue sous le nom de personne déléguée.

En termes commerciaux, le propriétaire d’un audit est une personne qui coordonne et supervise les efforts de préparation à l’audit de son entreprise et présente les éléments probants à un auditeur. Il s'agit généralement d'un professionnel de la gouvernance, des risques et de la conformité (GRC), tel qu'un responsable de la conformité ou un responsable de la protection des GDPR données. GRCles professionnels ont l'expertise et l'autorité nécessaires pour gérer la préparation des audits. Plus précisément, ils comprennent les exigences de conformité et peuvent analyser, interpréter et préparer les données de rapport. Cependant, d'autres rôles professionnels peuvent également revêtir le caractère d'Audit Manager d'un responsable d'audit. Ce rôle n'est pas uniquement assumé par GRC des professionnels. Par exemple, vous pouvez choisir de faire configurer et gérer vos évaluations dans Audit Manager par un expert technique issu de l’une des équipes suivantes :

SecOps
INFORMATIQUE/ DevOps
Centre des opérations de sécurité/réponse aux incidents
Des équipes similaires qui possèdent, développent, corrigent et déploient des actifs dans le cloud et qui comprennent l’infrastructure cloud de votre organisation

La personne que vous choisissez de désigner en tant que propriétaire de l’audit dans le cadre de votre évaluation Audit Manager dépend en grande partie de votre organisation. Cela dépend également de la manière dont vous structurez vos opérations de sécurité et des spécificités de l’audit. Dans Audit Manager, la même personne peut assumer le rôle du propriétaire de l’audit dans une évaluation et celui de délégué dans une autre.

Quelle que soit la manière dont vous choisissez d'utiliser Audit Manager, vous pouvez gérer la séparation des tâches au sein de votre organisation en utilisant le personnage du propriétaire/délégué de l'audit et en accordant des IAM politiques spécifiques à chaque utilisateur. Grâce à cette approche en deux étapes, Audit Manager vous garantit un contrôle total sur tous les détails d’une évaluation individuelle. Pour de plus amples informations, veuillez consulter Politiques recommandées pour les personas utilisateurs dans AWS Audit Manager.

AWS source gérée

Un AWS une source gérée est une source de preuves qui AWS entretient pour vous.

Chaque AWS Une source gérée est un regroupement prédéfini de sources de données qui correspond à un contrôle commun ou à un contrôle central spécifique. Lorsque vous utilisez un contrôle commun comme source de preuves, vous collectez automatiquement des preuves pour tous les contrôles de base qui soutiennent ce contrôle commun. Vous pouvez également utiliser les contrôles de base individuels comme source de preuves.

Chaque fois qu'un AWS la source gérée est mise à jour, les mêmes mises à jour sont automatiquement appliquées à tous les contrôles personnalisés qui l'utilisent AWS source gérée. Cela signifie que vos contrôles personnalisés collectent des preuves par rapport aux dernières définitions de cette source de preuves. Cela vous permet de garantir une conformité continue à mesure que l'environnement de conformité du cloud évolue.

Voir également :customer managed source,evidence source.

Journal des modifications

Pour chaque contrôle d'une évaluation, Audit Manager suit l'activité des utilisateurs pour ce contrôle. Vous pouvez ensuite consulter une piste d’audit des activités liées à un contrôle spécifique. Pour plus d'informations sur les activités des utilisateurs enregistrées dans le journal des modifications, consultez. Onglet Journal des modifications

Conformité dans le cloud

La conformité dans le cloud est le principe général selon lequel les systèmes fournis dans le cloud doivent être conformes aux normes auxquelles sont confrontés les clients de celui-ci.

Contrôle commun

Consultez control.

Règlement de conformité

Un règlement de conformité est une loi, une règle ou un autre ordre prescrit par une autorité, généralement pour réglementer un comportement. Un exemple estGDPR.

Norme de conformité

Une norme de conformité est un ensemble structuré de directives qui détaillent les processus d’une organisation dans le but de maintenir la conformité aux réglementations, spécifications ou lois établies. Les exemples incluent PCI DSS etHIPAA.

Contrôle

Un contrôle est une sauvegarde ou une contre-mesure prescrite pour un système d’information ou une organisation. Les contrôles sont conçus pour protéger la confidentialité, l'intégrité et la disponibilité de vos informations, et pour répondre à un ensemble d'exigences définies. Ils garantissent que vos ressources fonctionnent comme prévu, que vos données sont fiables et que votre organisation respecte les lois et réglementations applicables.

Dans Audit Manager, un contrôle peut également représenter une question dans un questionnaire d’évaluation des risques liés aux fournisseurs. Dans ce cas, un contrôle est une question spécifique demandant des informations sur le niveau de sécurité et de conformité d’une organisation.

Les contrôles recueillent en permanence des éléments probants lorsqu’ils sont actifs dans vos évaluations d’Audit Manager. Vous pouvez également ajouter manuellement des éléments probants aux contrôles. Chaque élément de preuve est un dossier qui vous aide à démontrer la conformité aux exigences du contrôle.

Audit Manager fournit les types de contrôles suivants :

Type de commande	Description
Contrôle commun	Vous pouvez considérer un contrôle commun comme une action qui vous aide à atteindre un objectif de contrôle. Dans la mesure où les contrôles courants ne sont spécifiques à aucune norme de conformité, ils vous aident à collecter des preuves pouvant étayer une série d'obligations de conformité qui se chevauchent. Imaginons, par exemple, un objectif de contrôle appelé Classification et gestion des données. Pour atteindre cet objectif, vous pouvez mettre en œuvre un contrôle commun appelé contrôles d'accès pour surveiller et détecter les accès non autorisés à vos ressources. Les contrôles communs automatisés collectent des preuves pour vous. Ils consistent en un regroupement d'un ou de plusieurs contrôles de base connexes. À son tour, chacun de ces contrôles de base collecte automatiquement les preuves pertinentes auprès d'un groupe prédéfini de AWS sources de données. AWS gère ces sources de données sous-jacentes pour vous et les met à jour chaque fois que les réglementations et les normes changent et que de nouvelles sources de données sont identifiées. Les contrôles manuels courants vous obligent à télécharger vos propres preuves. En effet, ils nécessitent généralement la fourniture de dossiers physiques ou de détails sur des événements qui se produisent en dehors de votre AWS environnement. Pour cette raison, il n'y a souvent pas AWS sources de données pouvant fournir des preuves à l'appui des exigences du contrôle commun manuel. Vous ne pouvez pas modifier un contrôle commun. Toutefois, vous pouvez utiliser n'importe quel contrôle commun comme source de preuves lorsque vous créez un contrôle personnalisé.
Contrôle de base	Il s'agit d'une directive prescriptive pour votre AWS environnement. Vous pouvez considérer un contrôle de base comme une action qui vous aide à répondre aux exigences d'un contrôle commun. Supposons, par exemple, que vous utilisiez un contrôle courant appelé contrôles d'accès pour surveiller les accès non autorisés à vos ressources. Pour prendre en charge ce contrôle commun, vous pouvez utiliser le contrôle de base appelé Bloquer l'accès public en lecture dans les compartiments S3. Comme les contrôles de base ne sont spécifiques à aucune norme de conformité, ils collectent des preuves qui peuvent étayer une série d'obligations de conformité qui se chevauchent. Chaque contrôle de base utilise une ou plusieurs sources de données pour collecter des preuves concernant un élément spécifique Service AWS. AWS gère ces sources de données sous-jacentes pour vous et les met à jour chaque fois que les réglementations et les normes changent et que de nouvelles sources de données sont identifiées. Vous ne pouvez pas modifier un contrôle principal. Cependant, vous pouvez utiliser n'importe quel contrôle de base comme source de preuves lorsque vous créez un contrôle personnalisé.
Contrôle standard	Il s'agit d'un contrôle prédéfini fourni par Audit Manager. Vous pouvez utiliser les contrôles standard pour vous aider à préparer un audit pour une norme de conformité spécifique. Chaque contrôle standard est lié à une norme spécifique framework dans Audit Manager et collecte des preuves que vous pouvez utiliser pour démontrer la conformité à ce cadre. Les contrôles standard collectent des preuves à partir de sources de données sous-jacentes qui AWS gère. Ces sources de données sont automatiquement mises à jour chaque fois que les réglementations et les normes changent et que de nouvelles sources de données sont identifiées. Vous ne pouvez pas modifier les commandes standard. Vous pouvez toutefois créer une copie modifiable de n'importe quel contrôle standard.
Contrôle personnalisé	Il s'agit d'un contrôle que vous créez dans Audit Manager pour répondre à vos exigences de conformité spécifiques. Vous pouvez créer un contrôle personnalisé à partir de zéro ou créer une copie modifiable d'un contrôle standard existant. Lorsque vous créez un contrôle personnalisé, vous pouvez définir des paramètres spécifiques evidence source qui déterminent l'endroit d'où Audit Manager collecte les preuves. Après avoir créé un contrôle personnalisé, vous pouvez le modifier ou l'ajouter à un cadre personnalisé. Vous pouvez également créer une copie modifiable de tout contrôle personnalisé.

Domaine de contrôle

Vous pouvez considérer un domaine de contrôle comme une catégorie de contrôles qui n'est spécifique à aucune norme de conformité. La protection des données est un exemple de domaine de contrôle.

Les contrôles sont souvent regroupés par domaine pour des raisons d'organisation simples. Chaque domaine a de multiples objectifs.

Les groupements de domaines de contrôle sont l’une des fonctionnalités les plus puissantes du tableau de bord d’Audit Manager. Audit Manager met en évidence les contrôles de vos évaluations qui contiennent des éléments probants non conformes et les regroupe par domaine de contrôle. Cela vous permet de concentrer vos efforts de remédiation sur des domaines spécifiques lorsque vous vous préparez à un audit.

Objectif de contrôle

Un objectif de contrôle décrit l'objectif des contrôles communs qui se situent en dessous de celui-ci. Chaque objectif peut avoir plusieurs contrôles communs. Si ces contrôles communs sont mis en œuvre avec succès, ils vous aideront à atteindre l'objectif.

Chaque objectif de contrôle relève d'un domaine de contrôle. Par exemple, le domaine de contrôle de la protection des données peut avoir un objectif de contrôle nommé Classification et traitement des données. Pour atteindre cet objectif de contrôle, vous pouvez utiliser un contrôle commun appelé contrôles d'accès pour surveiller et détecter les accès non autorisés à vos ressources.

Contrôle de base

Consultez control.

Contrôle personnalisé

Consultez control.

Source gérée par le client

Une source gérée par le client est une source de preuves que vous définissez.

Lorsque vous créez un contrôle personnalisé dans Audit Manager, vous pouvez utiliser cette option pour créer vos propres sources de données individuelles. Cela vous donne la flexibilité de collecter des preuves automatisées à partir d'une ressource spécifique à l'entreprise, telle qu'une ressource personnalisée AWS Config règle. Vous pouvez également utiliser cette option si vous souhaitez ajouter des preuves manuelles à votre contrôle personnalisé.

Lorsque vous utilisez des sources gérées par le client, vous êtes responsable de la maintenance de toutes les sources de données que vous créez.

Voir également :AWS managed source,evidence source.

Source de données

Audit Manager utilise des sources de données pour collecter des preuves en vue d'un contrôle. Une source de données possède les propriétés suivantes :

Un type de source de données définit le type de source de données à partir duquel Audit Manager collecte des preuves.
- Pour les preuves automatisées, le type peut être AWS Security Hub, AWS Config, AWS CloudTrail, ou AWS APIappels.
- Si vous téléchargez vos propres preuves, le type est Manuel.
- L'Audit Manager API désigne un type de source de données sous le nom de sourceType.
Un mappage de source de données est un mot clé qui indique d'où proviennent les preuves pour un type de source de données donné.
- Par exemple, il peut s'agir du nom d'un CloudTrail événement ou du nom d'un AWS Config règle.
- L'Audit Manager API désigne un mappage de source de données sous le nom de sourceKeyword.
Le nom d'une source de données indique le couplage entre un type de source de données et le mappage.
- Pour les contrôles standard, Audit Manager fournit un nom par défaut.
- Pour les contrôles personnalisés, vous pouvez fournir votre propre nom.
- L'Audit Manager API désigne le nom d'une source de données par le nom de sourceName.

Un seul contrôle peut avoir plusieurs types de sources de données et plusieurs mappages. Par exemple, un contrôle peut collecter des preuves à partir d'une combinaison de types de sources de données (tels que AWS Config et Security Hub). Un autre contrôle pourrait avoir AWS Config comme seul type de source de données, avec plusieurs AWS Config règles sous forme de mappages.

Le tableau suivant répertorie les types de sources de données automatisées et présente des exemples de mappages correspondants.

Type de source de données	Description	Exemple de mappage
AWS Security Hub	Utilisez ce type de source de données pour obtenir un instantané de votre niveau de sécurité des ressources. Audit Manager utilise le nom d’un contrôle Security Hub comme mot-clé de mappage et communique le résultat de ce contrôle de sécurité directement depuis Security Hub.	`EC2.1`
AWS Config	Utilisez ce type de source de données pour obtenir un instantané de votre niveau de sécurité des ressources. Audit Manager utilise le nom d'un AWS Config règle en tant que mot-clé de mappage, et indique le résultat de cette vérification des règles directement depuis AWS Config.	`SNS_ENCRYPTED_KMS`
AWS CloudTrail	Utilisez ce type de source de données pour suivre une activité utilisateur spécifique nécessaire à votre audit. Audit Manager utilise le nom d'un CloudTrail événement comme mot-clé de mappage et collecte l'activité utilisateur associée à partir de vos CloudTrail journaux.	`CreateAccessKey`
AWS APIappels	Utilisez ce type de source de données pour prendre un instantané de la configuration de vos ressources par le biais d'un API appel à un Service AWS. Audit Manager utilise le nom de l'APIappel comme mot-clé de mappage et collecte la API réponse.	`kms_ListKeys`

Délégué

Un délégué est un AWS Audit Manager utilisateur avec des autorisations limitées. Les délégués possèdent généralement une expertise commerciale ou technique spécialisée. Par exemple, cette expertise peut porter sur les politiques de conservation des données, les plans de formation, l’infrastructure réseau ou la gestion des identités. Les délégués aident les propriétaires de l’audit à examiner les éléments probants recueillis pour les contrôles relevant de leur domaine d’expertise. Les délégués peuvent examiner les ensembles de contrôles et les éléments probants associés, ajouter des commentaires, charger des éléments probants supplémentaires et mettre à jour le statut de chacun des contrôles que vous leur attribuez à des fins de révision.

Les propriétaires de l’audit attribuent des ensembles de contrôles spécifiques aux délégués, et non des évaluations complètes. Par conséquent, les délégués ont un accès limité aux évaluations. Pour obtenir des instructions sur la façon de déléguer un ensemble de contrôles, consultez Délégations en AWS Audit Manager.

Éléments probants

Un élément probant est un enregistrement qui contient les informations nécessaires pour démontrer la conformité aux exigences d’un contrôle. Des exemples d’éléments probants comprennent une activité de modification invoquée par un utilisateur et un instantané de la configuration du système.

Il existe deux principaux types d’éléments probants dans Audit Manager : les éléments probants automatisés et les éléments probants manuels.

Type de preuve	Description
Preuves automatisées	Il s'agit des preuves que l'Audit Manager collecte automatiquement. Ils comprennent les trois catégories d’éléments probants automatisés suivants : Contrôle de conformité — Le résultat d'un contrôle de conformité est capturé à partir de AWS Security Hub, AWS Config, ou les deux. Parmi les exemples de contrôles de conformité, citons le résultat d'un contrôle de sécurité effectué par Security Hub pour un PCI DSS contrôle, et un AWS Config évaluation des règles pour un HIPAA contrôle. Pour plus d’informations, consultez AWS Config Rules soutenu par AWS Audit Manager et AWS Security Hub commandes prises en charge par AWS Audit Manager. Activité utilisateur — L'activité utilisateur qui modifie la configuration d'une ressource est capturée à partir des CloudTrail journaux au fur et à mesure que cette activité se produit. Les exemples d'activités des utilisateurs incluent une mise à jour de la table de routage, une modification des paramètres de sauvegarde d'une RDS instance Amazon et une modification de la politique de chiffrement des compartiments S3. Pour de plus amples informations, veuillez consulter AWS CloudTrail noms d'événements pris en charge par AWS Audit Manager. Données de configuration : un instantané de la configuration des ressources est capturé directement à partir d'un Service AWS sur une base quotidienne, hebdomadaire ou mensuelle. Les exemples d'instantanés de configuration incluent une liste de routes pour une table de VPC routage, un paramètre de sauvegarde d'RDSinstance Amazon et une politique de chiffrement des compartiments S3. Pour de plus amples informations, veuillez consulter AWS Appels d'API pris en charge par AWS Audit Manager.
Preuve manuelle	Il s'agit de la preuve que vous ajoutez vous-même à Audit Manager. Vous pouvez ajouter vos propres éléments probants de trois manières : Importer un fichier à partir d’Amazon S3 Charger un fichier à partir de votre navigateur Saisir une réponse textuelle à une question d’évaluation des risques Pour de plus amples informations, veuillez consulter Ajouter des preuves manuelles dans AWS Audit Manager.

Type de preuve

Description

Preuves automatisées

Il s'agit des preuves que l'Audit Manager collecte automatiquement. Ils comprennent les trois catégories d’éléments probants automatisés suivants :

Contrôle de conformité — Le résultat d'un contrôle de conformité est capturé à partir de AWS Security Hub, AWS Config, ou les deux.

Parmi les exemples de contrôles de conformité, citons le résultat d'un contrôle de sécurité effectué par Security Hub pour un PCI DSS contrôle, et un AWS Config évaluation des règles pour un HIPAA contrôle.

Pour plus d’informations, consultez AWS Config Rules soutenu par AWS Audit Manager et AWS Security Hub commandes prises en charge par AWS Audit Manager.
Activité utilisateur — L'activité utilisateur qui modifie la configuration d'une ressource est capturée à partir des CloudTrail journaux au fur et à mesure que cette activité se produit.

Les exemples d'activités des utilisateurs incluent une mise à jour de la table de routage, une modification des paramètres de sauvegarde d'une RDS instance Amazon et une modification de la politique de chiffrement des compartiments S3.

Pour de plus amples informations, veuillez consulter AWS CloudTrail noms d'événements pris en charge par AWS Audit Manager.
Données de configuration : un instantané de la configuration des ressources est capturé directement à partir d'un Service AWS sur une base quotidienne, hebdomadaire ou mensuelle.

Les exemples d'instantanés de configuration incluent une liste de routes pour une table de VPC routage, un paramètre de sauvegarde d'RDSinstance Amazon et une politique de chiffrement des compartiments S3.

Pour de plus amples informations, veuillez consulter AWS Appels d'API pris en charge par AWS Audit Manager.

Preuve manuelle

Il s'agit de la preuve que vous ajoutez vous-même à Audit Manager. Vous pouvez ajouter vos propres éléments probants de trois manières :

Importer un fichier à partir d’Amazon S3
Charger un fichier à partir de votre navigateur
Saisir une réponse textuelle à une question d’évaluation des risques

Pour de plus amples informations, veuillez consulter Ajouter des preuves manuelles dans AWS Audit Manager.

La collecte automatisée d’éléments probants débute lorsque vous créez une évaluation. Il s’agit d’un processus continu, et Audit Manager recueille des éléments probants à différentes fréquences en fonction du type d’éléments probants et de la source de données sous-jacente. Pour de plus amples informations, veuillez consulter Comprendre comment AWS Audit Manager recueille des preuves.

Pour obtenir des instructions sur la façon d’examiner les éléments probants dans une évaluation, veuillez consulter Examen des preuves dans AWS Audit Manager.

Source de preuves

Une source de preuves définit l'endroit d'où un contrôle collecte des preuves. Il peut s'agir d'une source de données individuelle ou d'un groupe prédéfini de sources de données mappé à un contrôle commun ou à un contrôle central.

Lorsque vous créez un contrôle personnalisé, vous pouvez collecter des preuves auprès de AWS sources gérées, sources gérées par le client, ou les deux.

Astuce

Nous vous recommandons d'utiliser AWS sources gérées. Chaque fois qu'un AWS la source gérée est mise à jour, les mêmes mises à jour sont automatiquement appliquées à tous les contrôles personnalisés qui utilisent ces sources. Cela signifie que vos contrôles personnalisés collectent toujours des preuves par rapport aux dernières définitions de cette source de preuves. Cela vous permet de garantir une conformité continue à mesure que l'environnement de conformité du cloud évolue.

Voir également :AWS managed source,customer managed source.

Méthode de collecte d’éléments probants

Un contrôle peut recueillir des éléments probants de deux manières.

Méthode de collecte d’éléments probants	Description
Automatisé	Les contrôles automatisés collectent automatiquement des preuves provenant de AWS sources de données. Ces éléments probants automatisés peuvent vous aider à démontrer la conformité totale ou partielle envers le contrôle.
Manuel	Les contrôles manuels nécessitent que vous téléchargiez vos propres preuves pour démontrer la conformité au contrôle.

Note

Vous pouvez joindre des éléments probants manuels à tout contrôle automatisé. Dans de nombreux cas, il est nécessaire d’avoir une combinaison d’éléments probants automatisés et manuels pour démontrer la conformité totale envers un contrôle. Bien qu’Audit Manager puisse fournir des éléments probants automatisés utiles et pertinents, certains éléments probants automatisés peuvent ne démontrer qu’une conformité partielle. Dans ce cas, vous pouvez compléter les éléments probants automatisés fournies par Audit Manager avec vos propres éléments probants.

Par exemple :

AWS cadre des meilleures pratiques d'IA générative v2Il contient un contrôle appeléError analysis. Ce contrôle vous oblige à identifier les cas de détection d’inexactitudes dans l’utilisation de votre modèle. Cela vous oblige également à effectuer une analyse approfondie des erreurs afin d’en comprendre les causes profondes et d’entreprendre des mesures correctives.
Pour soutenir ce contrôle, Audit Manager collecte des preuves automatisées qui indiquent si les CloudWatch alarmes sont activées pour le Compte AWS où votre évaluation est en cours. Vous pouvez utiliser ces éléments probants pour démontrer une conformité partielle avec le contrôle en prouvant que vos alarmes et contrôles sont configurés correctement.
Pour démontrer une conformité totale, vous pouvez compléter les éléments probants automatisés avec des éléments probants manuels. Par exemple, vous pouvez charger une politique ou une procédure qui indique votre processus d’analyse des erreurs, vos seuils pour les escalades et les rapports, ainsi que les résultats de votre analyse des causes profondes. Vous pouvez utiliser ces éléments probants manuels pour démontrer que les politiques établies sont en place et que des mesures correctives ont été prises lorsque cela vous a été demandé.

Pour un exemple plus détaillé, veuillez consulter la section Contrôles avec sources de données mixtes.

Destination d’exportation

Une destination d’exportation est le compartiment S3 par défaut dans lequel Audit Manager enregistre les fichiers que vous exportez depuis la recherche d’éléments probants. Pour de plus amples informations, veuillez consulter Configuration de votre destination d'exportation par défaut pour Evidence Finder.

Framework

Un cadre d'Audit Manager structure et automatise les évaluations pour une norme spécifique ou un principe de gouvernance des risques. Ces frameworks incluent un ensemble de contrôles prédéfinis ou définis par le client, et ils vous aident à cartographier votre AWS des ressources répondant aux exigences de ces contrôles.

Il existe deux types de framework dans Audit Manager.

Type de cadre	Description
Cadre standard	Il s'agit d'un framework prédéfini basé sur AWS les meilleures pratiques relatives aux différentes normes et réglementations de conformité. Vous pouvez utiliser des cadres standard pour vous aider à préparer un audit pour une norme ou une réglementation de conformité spécifique, telle que PCI DSS ouHIPAA.
Framework personnalisé	Il s'agit d'un framework personnalisé que vous définissez en tant qu'utilisateur d'Audit Manager. Vous pouvez utiliser des cadres personnalisés pour vous aider à préparer l'audit en fonction de vos GRC besoins spécifiques.

Type de cadre

Description

Cadre standard

Il s'agit d'un framework prédéfini basé sur AWS les meilleures pratiques relatives aux différentes normes et réglementations de conformité.

Vous pouvez utiliser des cadres standard pour vous aider à préparer un audit pour une norme ou une réglementation de conformité spécifique, telle que PCI DSS ouHIPAA.

Framework personnalisé

Il s'agit d'un framework personnalisé que vous définissez en tant qu'utilisateur d'Audit Manager.

Vous pouvez utiliser des cadres personnalisés pour vous aider à préparer l'audit en fonction de vos GRC besoins spécifiques.

Pour voir les instructions de création et de gestion des frameworks, veuillez consulter Utilisation de la bibliothèque de frameworks pour gérer les frameworks dans AWS Audit Manager.

Note

AWS Audit Manager aide à recueillir des preuves pertinentes pour vérifier la conformité aux normes et réglementations de conformité spécifiques. Cependant, il n’évalue pas votre conformité lui-même. Les preuves recueillies par AWS Audit Manager il est donc possible que vous n'incluiez pas toutes les informations concernant votre AWS utilisation requise pour les audits. AWS Audit Manager ne remplace pas un conseiller juridique ou un expert en conformité.

Partage de frameworks

Vous pouvez utiliser Partage d'un framework personnalisé dans AWS Audit Manager cette fonctionnalité pour partager rapidement vos frameworks personnalisés entre Comptes AWS et régions. Pour partager un framework personnalisé, vous devez créer une demande de partage. Le destinataire dispose alors de 120 jours pour accepter ou refuser la demande. Lorsqu’il accepte la demande de partage, Audit Manager reproduit le framework personnalisé partagé dans sa bibliothèque de frameworks. Outre la réplication du framework personnalisé, Audit Manager reproduit également tous les ensembles de contrôles personnalisés et les contrôles personnalisés contenus dans ce framework. Ces contrôles personnalisés sont ajoutés à la bibliothèque de contrôles du destinataire. Audit Manager ne réplique pas les frameworks ou les contrôles standard. Cela est dû au fait que ces ressources sont déjà disponibles par défaut dans chaque compte et région.

Ressource

Une ressource est un actif physique ou informationnel évalué dans le cadre d’un audit. Exemples de AWS les ressources incluent les EC2 instances Amazon, RDS les instances Amazon, les compartiments Amazon S3 et les VPC sous-réseaux Amazon.

Évaluation des ressources

L’évaluation des ressources est le processus d’évaluation d’une ressource individuelle. Cette évaluation est basée sur l’exigence d’un contrôle. Lorsqu’une évaluation est active, Audit Manager effectue des évaluations des ressources pour chaque ressource individuelle comprise dans le cadre de l’évaluation. Une évaluation des ressources exécute les tâches suivantes :

Recueille des éléments probants, notamment les configurations des ressources, les journaux d’événements et les résultats
Traduit et mappe les éléments probants sur les contrôles
Stocke et suit la lignée des éléments probants pour garantir l’intégrité

Conformité des ressources

La conformité des ressources fait référence au statut d’évaluation d’une ressource qui a été évaluée lors de la collecte d’éléments probants pour la vérification de conformité.

Audit Manager collecte des preuves de contrôle de conformité pour les contrôles qui utilisent AWS Config et Security Hub en tant que type de source de données. Plusieurs ressources peuvent être évaluées au cours de cette collecte d’éléments probants. Par conséquent, un même élément probant pour la vérification de conformité peut comprendre une ou plusieurs ressources.

Vous pouvez utiliser le filtre de conformité des ressources dans la recherche d’éléments probants pour explorer l’état de conformité au niveau des ressources. Une fois votre requête de recherche terminée, vous pouvez prévisualiser les ressources qui lui correspondent.

Dans la recherche d’éléments probants, il existe trois valeurs possibles pour la conformité des ressources :

Valeur	Description
Non conforme	Cela fait référence aux ressources présentant des problèmes de contrôle de conformité. Cela se produit si Security Hub signale un résultat d'échec pour la ressource, ou si AWS Config signale un résultat non conforme.
Conforme	Cela fait référence aux ressources qui ne présentent aucun problème de contrôle de conformité. Cela se produit si Security Hub indique un résultat de réussite pour la ressource, ou si AWS Config rapporte un résultat conforme.
Peu concluant	Cela fait référence aux ressources pour lesquelles aucun contrôle de conformité n'est disponible ou applicable. Cela se produit si AWS Config ou Security Hub est le type de source de données sous-jacent, mais ces services ne sont pas activés. Cela se produit également si le type de source de données sous-jacent ne prend pas en charge les contrôles de conformité (tels que les preuves manuelles, AWS APIappels, ou CloudTrail).

Valeur

Description

Non conforme

Cela fait référence aux ressources présentant des problèmes de contrôle de conformité.

Cela se produit si Security Hub signale un résultat d'échec pour la ressource, ou si AWS Config signale un résultat non conforme.

Conforme

Cela fait référence aux ressources qui ne présentent aucun problème de contrôle de conformité.

Cela se produit si Security Hub indique un résultat de réussite pour la ressource, ou si AWS Config rapporte un résultat conforme.

Peu concluant

Cela fait référence aux ressources pour lesquelles aucun contrôle de conformité n'est disponible ou applicable.

Cela se produit si AWS Config ou Security Hub est le type de source de données sous-jacent, mais ces services ne sont pas activés.

Cela se produit également si le type de source de données sous-jacent ne prend pas en charge les contrôles de conformité (tels que les preuves manuelles, AWS APIappels, ou CloudTrail).

Service inclus

Audit Manager gère lequel Services AWS sont concernés par vos évaluations. Si vous avez une évaluation plus ancienne, il est possible que vous ayez spécifié manuellement les services concernés par le passé. Après le 4 juin 2024, vous ne pourrez plus spécifier ou modifier manuellement les services concernés.

Un service inclus dans le champ d'application est un Service AWS sur lesquels votre évaluation recueille des preuves. Lorsqu'un service est inclus dans le périmètre de votre évaluation, Audit Manager évalue les ressources de ce service. Quelques exemples de ressources possibles :

Une EC2 instance Amazon
Compartiment S3
Un IAM utilisateur ou un rôle
Table DynamoDB
Un composant réseau tel qu'un Amazon Virtual Private Cloud (VPC), un groupe de sécurité ou une table de liste de contrôle d'accès réseau (ACL)

Par exemple, si Amazon S3 est un service concerné, Audit Manager peut collecter des preuves concernant vos compartiments S3. Les preuves exactes collectées sont déterminées par celles d'un contrôledata source. Par exemple, si le type de source de données est AWS Config, et le mappage des sources de données est un AWS Config règle (telle ques3-bucket-public-write-prohibited), Audit Manager collecte le résultat de cette évaluation des règles à titre de preuve.

Note

N'oubliez pas qu'un service concerné est différent d'un type de source de données, qui peut également être un Service AWS ou autre chose. Pour plus d'informations, consultez Quelle est la différence entre un service concerné et un type de source de données ? la section Dépannage de ce guide.

Contrôle standard

Consultez control.