Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Lorsque les exigences de conformité de votre organisation ne correspondent pas aux contrôles standard prédéfinis disponibles dans AWS Audit Manager, vous pouvez créer votre propre contrôle personnalisé à partir de zéro.
Cette page décrit les étapes à suivre pour créer un contrôle personnalisé adapté à vos besoins spécifiques.
Prérequis
Assurez-vous que votre identité IAM dispose des autorisations appropriées pour créer un contrôle personnalisé dans AWS Audit Manager. Les deux politiques suggérées pour accorder ces autorisations sont AWSAuditManagerAdministratorAccessetAutoriser l’accès de gestion des utilisateurs à AWS Audit Manager.
Pour collecter des preuves avec succès auprès de AWS Config Security Hub, assurez-vous de suivre les étapes suivantes :
-
Activez AWS Config, puis appliquez les paramètres requis pour une utilisation AWS Config avec Audit Manager
-
Activez Security Hub, puis appliquez les paramètres requis pour utiliser Security Hub avec Audit Manager
Audit Manager peut ensuite collecter des preuves chaque fois qu'une évaluation a lieu pour une AWS Config règle ou un contrôle Security Hub donné.
Procédure
Tâches
Étape 1 : définir les détails du contrôle
Commencez par définir les détails de votre contrôle personnalisé.
Important
Nous vous recommandons vivement de ne jamais saisir d'informations d'identification sensibles dans des champs de forme libre tels que les informations de contrôle ou les informations de test. Si vous créez des contrôles personnalisés contenant des informations sensibles, vous ne pouvez partager aucun de vos frameworks personnalisés contenant ces contrôles.
Pour définir les détails du contrôle
Ouvrez la console AWS Audit Manager à la https://console.aws.amazon.com/auditmanager/maison
. -
Dans le volet de navigation, choisissez Bibliothèque de contrôles, puis Création d’un contrôle personnalisé.
-
Sous Détails du contrôle, saisissez les informations suivantes concernant le contrôle.
-
Contrôle : saisissez un nom convivial, un titre ou une question d’évaluation des risques. Cette valeur vous permet d’identifier votre contrôle dans la bibliothèque de contrôles.
-
Description (facultatif) : saisissez les détails pour aider les autres à comprendre l’objectif du contrôle. Cette description apparaît sur la page des détails du contrôle.
-
-
Sous Informations de test, saisissez les étapes recommandées pour tester le contrôle.
-
Sous Balises, choisissez Ajouter une nouvelle balise pour associer une balise au contrôle. Vous pouvez spécifier une clé pour chaque balise qui décrit le mieux le cadre de conformité pris en charge par ce contrôle. La clé de balise est obligatoire et peut être utilisée comme critère de recherche pour rechercher ce contrôle dans la bibliothèque de contrôles.
-
Choisissez Suivant.
Étape 2 : Spécifier les sources de preuves
Ensuite, spécifiez certaines sources de preuves. Une source de preuves détermine l'endroit d'où votre contrôle personnalisé collecte les preuves. Vous pouvez utiliser des sources AWS gérées, des sources gérées par le client ou les deux.
Astuce
Nous vous recommandons d'utiliser des sources AWS gérées. Chaque fois qu'une source AWS gérée est mise à jour, les mêmes mises à jour sont automatiquement appliquées à tous les contrôles personnalisés qui utilisent ces sources. Cela signifie que vos contrôles personnalisés collectent des preuves par rapport aux dernières définitions de cette source de preuves.
Si vous n'êtes pas sûr des options à choisir, consultez les exemples suivants et nos recommandations.
| Votre rôle | Votre objectif | Source de preuves recommandée |
|---|---|---|
|
Professionnel de la GRC |
Je souhaite recueillir des preuves pour un domaine ou un objectif en particulier |
AWS géré (common control) Utilisez un groupe prédéfini de sources de données mappées à un contrôle commun spécifique. |
| Expert technique |
Je souhaite recueillir des preuves concernant les AWS ressources dont je suis responsable |
AWS géré (core control) Utilisez un groupe prédéfini de sources de données correspondant à une AWS exigence. |
| Expert technique |
Je souhaite utiliser une AWS Config règle personnalisée pour collecter des preuves |
Géré par le client (automatisédata source) Utilisez une source de données personnalisée pour collecter des preuves automatisées spécifiques. |
|
Professionnel de la GRC |
Je souhaite recueillir des preuves, telles que des documents et des réponses textuelles |
Géré par le client (manueldata source) Utilisez une source de données personnalisée pour télécharger vos propres preuves manuelles. |
Nous vous recommandons de commencer par choisir une ou plusieurs commandes courantes. Lorsque vous choisissez le contrôle commun qui représente votre objectif, Audit Manager collecte les preuves pertinentes pour tous les contrôles de base sous-jacents. Vous pouvez également choisir des contrôles de base individuels si vous souhaitez collecter des preuves ciblées sur votre AWS environnement.
Pour spécifier une source AWS gérée
-
Accédez à la section des sources AWS gérées de la page.
-
Pour ajouter un contrôle commun, procédez comme suit :
-
Sélectionnez Utiliser un contrôle commun correspondant à votre objectif de conformité.
-
Choisissez un contrôle commun dans la liste déroulante.
-
(Facultatif) Répétez l'étape 2 si nécessaire. Vous pouvez ajouter jusqu'à cinq contrôles courants.
-
-
Pour supprimer un contrôle commun, cliquez sur le X à côté du nom du contrôle.
-
Pour ajouter un contrôle de base, procédez comme suit :
-
Sélectionnez Utiliser un contrôle de base correspondant à une directive prescriptive. AWS
-
Choisissez un contrôle commun dans la liste déroulante.
-
(Facultatif) Répétez l'étape 4 si nécessaire. Vous pouvez ajouter jusqu'à 50 contrôles principaux.
-
-
Pour supprimer un contrôle principal, choisissez le X à côté du nom du contrôle.
-
Pour ajouter des sources de données gérées par le client, procédez comme suit. Sinon, choisissez Next (Suivant).
Pour collecter des preuves automatisées à partir d'une source de données, vous devez choisir un type de source de données et un mappage de source de données. Ces informations correspondent à votre AWS utilisation et indiquent à l'Audit Manager où collecter les preuves. Si vous souhaitez fournir vos propres preuves, vous choisirez plutôt une source de données manuelle.
Note
Vous êtes responsable de la gestion des mappages de sources de données que vous créez au cours de cette étape.
Pour spécifier une source gérée par le client
-
Accédez à la section Sources gérées par le client de la page.
-
Sélectionnez Utiliser une source de données pour collecter des preuves manuellement ou automatiquement.
-
Choisissez Ajouter.
-
Choisissez l’une des options suivantes :
-
Choisissez des appels AWS d'API, puis choisissez un appel d'API et une fréquence de collecte de preuves.
-
Choisissez un AWS CloudTrail événement, puis un nom d'événement.
-
Choisissez une règle AWS Config gérée, puis un identifiant de règle.
-
Choisissez une règle AWS Config personnalisée, puis un identifiant de règle.
-
Choisissez un AWS Security Hub contrôle, puis un contrôle Security Hub.
-
Choisissez Source de données manuelle, puis choisissez une option :
-
Téléchargement de fichiers : utilisez cette option si le contrôle nécessite de la documentation comme preuve.
-
Réponse textuelle — Utilisez cette option si le contrôle nécessite une réponse à une question d'évaluation des risques.
-
Astuce
Pour plus d'informations sur les types de sources de données automatisées et pour obtenir des conseils de résolution des problèmes, consultezTypes de sources de données pris en charge pour les preuves automatisées.
Si vous devez valider la configuration de votre source de données auprès d'un expert, choisissez pour le moment la source de données manuelle. Ainsi, vous pouvez créer le contrôle et l’ajouter à un framework dès maintenant, puis le modifier ultérieurement selon vos besoins.
-
-
Sous Nom de la source de données, entrez un nom descriptif.
-
(Facultatif) Sous Détails supplémentaires, saisissez une description de la source de données et une description du dépannage.
-
Choisissez Add data source.
-
(Facultatif) Pour ajouter une autre source de données, choisissez Ajouter et répétez les étapes 1 à 7. Vous pouvez ajouter jusqu'à 100 sources de données.
-
Pour supprimer une source de données, sélectionnez-la dans le tableau, puis choisissez Supprimer.
-
Lorsque vous avez terminé, choisissez Suivant.
Étape 3 (facultatif) : Définir le plan d'action
Indiquez ensuite les actions à entreprendre si ce contrôle doit être corrigé.
Important
Nous vous recommandons vivement de ne jamais saisir d'informations d'identification sensibles dans des champs de forme libre tels que le plan d'action. Si vous créez des contrôles personnalisés contenant des informations sensibles, vous ne pouvez partager aucun de vos frameworks personnalisés contenant ces contrôles.
Pour définir un plan d'action
-
Sous Titre, saisissez un titre descriptif pour le plan d’action.
-
Sous Instructions, entrez des instructions détaillées pour le plan d'action.
-
Choisissez Suivant.
Étape 4 : vérifier et créer le contrôle
Vérifiez les informations pour le contrôle Pour modifier les informations d’une étape, choisissez Modifier.
Lorsque vous avez terminé, choisissez Créer un contrôle personnalisé.
Étapes suivantes
Après avoir créé un nouveau contrôle personnalisé, vous pouvez l’ajouter à un framework personnalisé. Pour en savoir plus, veuillez consulter les sections Création d'un framework personnalisé dans AWS Audit Manager et Modification d'un framework personnalisé dans AWS Audit Manager.
Après avoir ajouté le contrôle personnalisé à un cadre personnalisé, vous pouvez créer une évaluation et commencer à recueillir des preuves. Pour en savoir plus, consultez Création d'une évaluation dans AWS Audit Manager.
Pour revoir votre contrôle personnalisé ultérieurement, consultezTrouver les commandes disponibles dans AWS Audit Manager. Vous pouvez suivre ces étapes pour localiser votre contrôle personnalisé afin de pouvoir l'afficher, le modifier ou le supprimer.
Ressources supplémentaires
Pour des solutions aux problèmes de contrôle dans Audit Manager, consultezRésolution des problèmes liés aux contrôles et aux ensembles de contrôles.
