AWS Audit Manager n'est plus ouvert aux nouveaux clients. Les clients existants peuvent continuer à utiliser le service normalement. Pour plus d'informations, consultez AWS Audit Manager la section Modification de disponibilité.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Résolution des problèmes liés aux évaluations et à la collecte d’éléments probants

Vous pouvez utiliser les informations de cette page pour résoudre les problèmes courants d’évaluation et de collecte d’éléments probants dans Audit Manager.

J’ai créé une évaluation, mais je ne vois aucun élément probant pour le moment

Si vous ne trouvez aucun élément probant, il est probable que vous n’ayez pas attendu au moins 24 heures après avoir créé l’évaluation ou qu’il y ait une erreur de configuration.

Nous vous recommandons de contrôler les éléments suivants :

Si vous n’observez toujours aucun élément probant dans votre évaluation et que cela n’est pas dû à l’un de ces problèmes, vérifiez les autres causes potentielles décrites sur cette page.

Mon évaluation ne collecte pas de preuves de conformité auprès de AWS Security Hub CSPM

Si vous ne voyez aucune preuve de conformité pour un AWS Security Hub CSPM contrôle, cela peut être dû à l'un des problèmes suivants.

J'ai désactivé un contrôle de sécurité dans Security Hub CSPM. Audit Manager collecte-t-il des preuves de conformité pour ce contrôle de sécurité ?

Audit Manager ne collecte aucune preuve de la désactivation des contrôles de sécurité.

Si vous définissez le statut d'un contrôle de sécurité sur désactivé dans Security Hub CSPM, aucun contrôle de sécurité n'est effectué pour ce contrôle dans le compte et la région actuels. Par conséquent, aucun résultat de sécurité n'est disponible dans Security Hub CSPM, et aucune preuve connexe n'est collectée par Audit Manager.

En respectant le statut de désactivation que vous avez défini dans Security Hub CSPM, Audit Manager s'assure que votre évaluation reflète avec précision les contrôles de sécurité actifs et les résultats pertinents pour votre environnement, à l'exclusion des contrôles que vous avez intentionnellement désactivés.

J'ai défini le statut d'une découverte sur Supprimé dans Security Hub CSPM. Audit Manager collecte-t-il des preuves de conformité concernant cette constatation ?

Audit Manager collecte des preuves pour les contrôles de sécurité qui ont supprimé des résultats.

Si vous définissez l'état du flux de travail d'une découverte sur Supprimé dans Security Hub CSPM, cela signifie que vous avez examiné la découverte et que vous ne pensez pas qu'aucune action soit nécessaire. Dans Audit Manager, ces résultats supprimés sont collectés à titre de preuve et joints à votre évaluation. Les détails des preuves montrent l'état de l'évaluation des informations SUPPRESSED communiquées directement par Security Hub CSPM.

Cette approche garantit que votre évaluation d'Audit Manager représente avec précision les résultats de Security Hub CSPM, tout en fournissant une visibilité sur tous les résultats supprimés qui pourraient nécessiter un examen ou un examen plus approfondi dans le cadre d'un audit.

Mon évaluation ne collecte pas de preuves de conformité auprès de AWS Config

Si vous ne trouvez aucune preuve de conformité pour une AWS Config règle, cela peut être dû à l'un des problèmes suivants.

Mon évaluation ne collecte pas de preuves de l'activité des utilisateurs auprès de AWS CloudTrail

Lorsque vous utilisez l'API Audit Manager pour créer un contrôle personnalisé, vous pouvez spécifier un nom d' CloudTrail événement en tant que mappage de source de données pour la collecte de preuves. Pour ce faire, vous devez saisir le nom de l’événement en tant que keywordValue.

Si vous ne voyez aucune preuve de l'activité des utilisateurs pour un CloudTrail événement, il se peut que celui-ci n'ait pas keywordValue été saisi correctement dans votreControlMappingSource. La keywordValue est sensible à la casse. Si vous ne la saisissez pas correctement, Audit Manager risque de ne pas reconnaître le nom de l’événement. Par conséquent, vous risqueriez de ne pas collecter les éléments probants de l’activité des utilisateurs pour cet événement comme prévu.

Pour résoudre ce problème, mettez à jour le contrôle personnalisé et modifiez la keywordValue. Assurez-vous que l’événement est écrit sous la forme serviceprefix_ActionName. Par exemple, cloudtrail_StartLogging. Pour plus de précision, vérifiez le préfixe Service AWS et les noms des actions dans la Référence de l’autorisation de service.

Mon évaluation ne collecte pas de preuves de données de configuration pour un AWS Appel d'API

Lorsque vous utilisez l'API Audit Manager pour créer un contrôle personnalisé, vous pouvez spécifier un appel d' AWS API en tant que mappage de source de données pour la collecte de preuves. Pour ce faire, vous devez saisir l’appel d’API en tant que keywordValue.

Si vous ne voyez aucune preuve de données de configuration pour un appel d' AWS API, il se peut que celui-ci n'ait pas keywordValue été saisi correctement dans votreControlMappingSource. La keywordValue est sensible à la casse. Si vous ne la saisissez pas correctement, Audit Manager risque de ne pas reconnaître l’appel d’API. Par conséquent, vous risqueriez de ne pas collecter les éléments probants des données de configuration pour cet appel d’API comme prévu.

Pour résoudre ce problème, mettez à jour le contrôle personnalisé et modifiez la keywordValue. Assurez-vous que l’appel d’API est écrit sous la forme serviceprefix_ActionName. Par exemple, iam_ListGroups. Pour plus de précision, reportez-vous à la liste desAWS Appels d'API pris en charge par AWS Audit Manager.

Un contrôle courant consiste à ne pas collecter de preuves automatisées

Lorsque vous examinez un contrôle commun, le message suivant peut s'afficher : Ce contrôle commun ne collecte pas de preuves automatisées à partir des contrôles principaux.

Cela signifie qu'aucune source de preuves AWS gérée ne peut actuellement étayer ce contrôle commun. Par conséquent, l'onglet Sources de preuves est vide et aucun contrôle de base n'est affiché.

Lorsqu'un contrôle commun ne collecte pas de preuves automatisées, on parle de contrôle commun manuel. Les contrôles manuels courants nécessitent généralement la fourniture d'enregistrements physiques et de signatures, ou de détails sur des événements qui se produisent en dehors de votre AWS environnement. Pour cette raison, il n'existe souvent aucune source de AWS données pouvant fournir des preuves à l'appui des exigences du contrôle.

Si un contrôle courant est manuel, vous pouvez toujours l'utiliser comme source de preuves pour un contrôle personnalisé. La seule différence est que le contrôle commun ne collectera aucune preuve automatiquement. Vous devrez plutôt télécharger manuellement vos propres preuves pour répondre aux exigences du contrôle commun.

Mes éléments probants sont générés à différents intervalles et je ne sais pas à quelle fréquence ils sont collectés

Les contrôles des évaluations d’Audit Manager sont mappés à différentes sources de données. Chaque source de données possède une fréquence de collecte d’éléments probants différente. Par conséquent, il n’existe pas de réponse universelle quant à la fréquence à laquelle les éléments probants sont collectés. Certaines sources de données évaluent la conformité, tandis que d’autres ne capturent que le statut des ressources et les données de modification sans détermination de la conformité.

Vous trouverez ci-dessous un résumé des différents types de sources de données et de la fréquence à laquelle elles collectent des éléments probants.

Quelle que soit la fréquence de collecte des éléments probants, les nouveaux éléments probants sont collectés automatiquement tant que l’évaluation est active. Pour de plus amples informations, veuillez consulter Fréquence de collecte des éléments probants.

Pour en savoir plus, consultez Types de sources de données pris en charge pour les preuves automatisées et Modifier la fréquence à laquelle un contrôle collecte des preuves.

J’ai désactivé puis réactivé Audit Manager, et à présent, mes évaluations préexistantes ne collectent plus d’éléments probants

Lorsque vous désactivez Audit Manager et que vous choisissez de ne pas supprimer vos données, vos évaluations existantes passent au statut inactif et cessent de collecter des éléments probants. Cela signifie que lorsque vous réactivez Audit Manager, les évaluations que vous avez créées précédemment restent disponibles. Cependant, elles ne reprennent pas automatiquement la collecte d’éléments probants.

Pour qu’une évaluation préexistante recommence à collecter des éléments probants, modifiez l’évaluation et choisissez Enregistrer sans apporter de modifications.

Sur la page des détails de mon évaluation, je suis invité à recréer mon évaluation

Si le message «  Créer une nouvelle évaluation pour collecter des preuves plus complètes » s'affiche, cela indique qu'Audit Manager fournit désormais une nouvelle définition du cadre standard à partir duquel votre évaluation a été créée.

Dans la nouvelle définition du cadre, tous les contrôles standard du cadre peuvent désormais collecter des preuves à partir de sources AWS gérées. Cela signifie que chaque fois qu'il y a une mise à jour des sources de données sous-jacentes pour un contrôle commun ou de base, Audit Manager applique automatiquement la même mise à jour à tous les contrôles standard associés.

Pour bénéficier de ces sources AWS gérées, nous vous recommandons de créer une nouvelle évaluation à partir du framework mis à jour. Après cela, vous pouvez modifier l'ancien statut d'évaluation en inactif. Cette action permet de garantir que votre nouvelle évaluation collecte les preuves les plus précises et les plus complètes disponibles auprès de sources AWS gérées. Si vous ne prenez aucune mesure, votre évaluation continue d'utiliser l'ancien cadre et les définitions de contrôle pour recueillir des preuves exactement comme elle le faisait auparavant.

Quelle est la différence entre une source de données et une source de preuves ?

Une source de preuves détermine d'où proviennent les preuves. Il peut s'agir d'une source de données individuelle ou d'un groupe prédéfini de sources de données qui correspond à un contrôle principal ou à un contrôle commun.

Une source de données est le type de source de preuves le plus granulaire. Une source de données inclut les informations suivantes qui indiquent à Audit Manager où exactement collecter les données probantes :

Mon évaluation n’a pas pu être créée

Si la création de votre évaluation échoue, cela peut être dû à l'un des problèmes suivants.

Que se passe-t-il si je supprime un compte concerné de mon organisation ?

Lorsqu'un compte concerné est supprimé de votre organisation, Audit Manager ne collecte plus de preuves pour ce compte et celui-ci sera retiré de toutes les évaluations où le compte est concerné. La suppression d'un compte membre de toutes les évaluations réduira également le nombre total de comptes uniques concernés, ce qui vous permettra d'ajouter un nouveau compte depuis votre organisation.

Je ne vois pas les services concernés par mon évaluation

Si vous ne voyez pas l'Services AWSonglet, cela signifie que les services concernés sont gérés pour vous par Audit Manager. Lorsque vous créez une nouvelle évaluation, Audit Manager gère les services concernés pour vous à partir de ce moment.

Si votre évaluation est plus ancienne, il est possible que vous ayez déjà vu cet onglet dans votre évaluation. Toutefois, Audit Manager supprime automatiquement cet onglet de votre évaluation et prend en charge la gestion des services concernés lorsque l'un des événements suivants se produit :

Audit Manager déduit les services concernés en examinant vos contrôles d'évaluation et leurs sources de données, puis en mappant ces informations avec les informations correspondantes Services AWS. Si une source de données sous-jacente change pour votre évaluation, nous mettons automatiquement à jour la portée selon les besoins pour refléter les services appropriés. Cela garantit que votre évaluation recueille des preuves précises et complètes sur tous les services pertinents de votre AWS environnement.

Je ne parviens pas à modifier les services concernés par mon évaluation

Le Modifier une évaluation dans AWS Audit Manager flux de travail ne comporte plus d'étape Modifier les services. En effet, Audit Manager gère désormais ceux qui Services AWS sont concernés par votre évaluation.

Si vous disposez d'une évaluation plus ancienne, il est possible que vous ayez défini manuellement les services concernés lors de la création de cette évaluation. Cependant, vous ne pourrez plus modifier ces services à l'avenir. Audit Manager prend automatiquement en charge la gestion des services concernés par votre évaluation lorsque l'un des événements suivants se produit :

Audit Manager déduit les services concernés en examinant vos contrôles d'évaluation et leurs sources de données, puis en mappant ces informations avec les informations correspondantes Services AWS. Si une source de données sous-jacente change pour votre évaluation, nous mettons automatiquement à jour la portée selon les besoins pour refléter les services appropriés. Cela garantit que votre évaluation recueille des preuves précises et complètes sur tous les services pertinents de votre AWS environnement.

Quelle est la différence entre un service concerné et un type de source de données ?

A service in scope est un Service AWS qui est inclus dans la portée de votre évaluation. Lorsqu’un service est concerné, Audit Manager collecte des éléments probants concernant votre utilisation de ce service et de ses ressources.

Un type de source de données indique d’où proviennent exactement les éléments probants. Si vous chargez vos propres éléments probants, le type de source de données est Manuel. Si Audit Manager collecte les éléments probants, la source de données peut être de quatre types.

Voici deux exemples illustrant la différence entre un service concerné et le type de source de données.

Exemple 1

Supposons que vous souhaitiez collecter des éléments probants pour un contrôle nommé 4.1.2 - Interdire l’accès en écriture public aux compartiments S3. Ce contrôle vérifie les niveaux d’accès de vos politiques de compartiment S3. Pour ce contrôle, Audit Manager utilise une AWS Config règle spécifique (s3-bucket-public-write-prohibited) pour rechercher une évaluation de vos compartiments S3. Dans cet exemple, les conditions suivantes sont remplies :

Exemple 2

Supposons que vous souhaitiez collecter des éléments probants pour un contrôle HIPAA nommé 164.308(a)(5)(ii)(C). Ce contrôle nécessite une procédure de surveillance pour détecter les connexions inappropriées. Pour ce contrôle, Audit Manager utilise des CloudTrail journaux pour rechercher tous les événements de connexion à la console de AWS gestion. Dans cet exemple, les conditions suivantes sont remplies :