Memahami AWS Audit Manager konsep dan terminologi

Anda dapat menggunakan penilaian Manajer Audit untuk secara otomatis mengumpulkan bukti yang relevan untuk audit.

Penilaian didasarkan pada kerangka kerja, yang merupakan pengelompokan kontrol yang terkait dengan audit Anda. Anda dapat membuat penilaian dari kerangka standar atau kerangka kerja khusus. Kerangka kerja standar berisi kumpulan kontrol bawaan yang mendukung standar kepatuhan atau peraturan tertentu. Sebaliknya, kerangka kerja khusus berisi kontrol yang dapat Anda sesuaikan dan dikelompokkan sesuai dengan persyaratan audit spesifik Anda. Menggunakan kerangka kerja sebagai titik awal, Anda dapat membuat penilaian yang menentukan Akun AWS yang ingin Anda sertakan dalam ruang lingkup audit Anda.

Saat Anda membuat penilaian, Manajer Audit secara otomatis mulai menilai sumber daya di Anda Akun AWS berdasarkan kontrol yang ditentukan dalam kerangka kerja. Selanjutnya, ia mengumpulkan bukti yang relevan dan mengubahnya menjadi format yang ramah auditor. Setelah melakukan ini, ia kemudian melampirkan bukti ke kontrol dalam penilaian Anda. Ketika tiba waktunya untuk audit, Anda—atau delegasi pilihan Anda—dapat meninjau bukti yang dikumpulkan dan kemudian menambahkannya ke laporan penilaian. Laporan penilaian ini membantu Anda menunjukkan bahwa kontrol Anda berfungsi sebagaimana dimaksud.

Pengumpulan bukti adalah proses berkelanjutan yang dimulai ketika Anda membuat penilaian Anda. Anda dapat menghentikan pengumpulan bukti dengan mengubah status penilaian menjadi tidak aktif. Atau, Anda dapat menghentikan pengumpulan bukti di tingkat kontrol. Anda dapat melakukan ini dengan mengubah status kontrol tertentu dalam penilaian Anda menjadi tidak aktif.

Untuk petunjuk tentang cara membuat dan mengelola penilaian, lihatMengelola penilaian di AWS Audit Manager.

Laporan penilaian adalah dokumen akhir yang dihasilkan dari penilaian Manajer Audit. Laporan ini merangkum bukti relevan yang dikumpulkan untuk audit Anda. Mereka menautkan ke folder bukti yang relevan. Folder diberi nama dan diatur sesuai dengan kontrol yang ditentukan dalam penilaian Anda. Untuk setiap penilaian, Anda dapat meninjau bukti yang dikumpulkan oleh Manajer Audit, dan memutuskan bukti mana yang ingin Anda sertakan dalam laporan penilaian.

Untuk mempelajari lebih lanjut tentang laporan penilaian, lihatLaporan penilaian. Untuk mempelajari cara membuat laporan penilaian, lihatMenyiapkan laporan penilaian di AWS Audit Manager.

Tujuan laporan penilaian adalah bucket S3 default tempat Audit Manager menyimpan laporan penilaian Anda. Untuk mempelajari selengkapnya, lihat Mengkonfigurasi tujuan laporan penilaian default.

Audit adalah pemeriksaan independen terhadap aset, operasi, atau integritas bisnis organisasi Anda. Audit teknologi informasi (TI) secara khusus memeriksa kontrol dalam sistem informasi organisasi Anda. Tujuan dari audit TI adalah untuk menentukan apakah sistem informasi melindungi aset, beroperasi secara efektif, dan menjaga integritas data. Semua ini penting untuk memenuhi persyaratan peraturan yang diamanatkan oleh standar kepatuhan atau peraturan.

Istilah pemilik audit memiliki dua arti yang berbeda tergantung pada konteksnya.

Dalam konteks Manajer Audit, pemilik audit adalah pengguna atau peran yang mengelola penilaian dan sumber daya terkait. Tanggung jawab persona Manajer Audit ini termasuk membuat penilaian, meninjau bukti, dan menghasilkan laporan penilaian. Audit Manager adalah layanan kolaboratif, dan pemilik audit mendapat manfaat ketika pemangku kepentingan lain berpartisipasi dalam penilaian mereka. Misalnya, Anda dapat menambahkan pemilik audit lain ke penilaian Anda untuk berbagi tugas manajemen. Atau, jika Anda adalah pemilik audit dan Anda memerlukan bantuan untuk menafsirkan bukti yang dikumpulkan untuk suatu kontrol, Anda dapat mendelegasikan kumpulan kontrol tersebut kepada pemangku kepentingan yang memiliki keahlian materi pelajaran di bidang tersebut. Orang seperti itu dikenal sebagai persona delegasi.

Dalam istilah bisnis, pemilik audit adalah seseorang yang mengoordinasikan dan mengawasi upaya kesiapan audit perusahaan mereka, dan menyajikan bukti kepada auditor. Biasanya, ini adalah profesional tata kelola, risiko, dan kepatuhan (GRC), seperti Petugas Kepatuhan atau Petugas Perlindungan Data GDPR. Profesional GRC memiliki keahlian dan wewenang untuk mengelola persiapan audit. Lebih khusus lagi, mereka memahami persyaratan kepatuhan, dan dapat menganalisis, menafsirkan, dan menyiapkan data pelaporan. Namun, peran bisnis lain juga dapat mengambil persona Manajer Audit dari pemilik audit—tidak hanya profesional GRC yang mengambil peran ini. Misalnya, Anda dapat memilih agar penilaian Manajer Audit diatur dan dikelola oleh pakar teknis dari salah satu tim berikut:

Siapa yang Anda pilih untuk ditugaskan sebagai pemilik audit dalam penilaian Manajer Audit Anda sangat bergantung pada organisasi Anda. Itu juga tergantung pada bagaimana Anda menyusun operasi keamanan Anda dan spesifikasi audit. Dalam Audit Manager, individu yang sama dapat mengasumsikan persona pemilik audit dalam satu penilaian, dan persona delegasi dalam penilaian lain.

Tidak peduli bagaimana Anda memilih untuk menggunakan Audit Manager, Anda dapat mengelola pemisahan tugas di seluruh organisasi menggunakan owner/delegate persona audit dan memberikan kebijakan IAM tertentu kepada setiap pengguna. Melalui pendekatan dua langkah ini, Manajer Audit memastikan bahwa Anda memiliki kontrol penuh atas semua spesifikasi penilaian individu. Untuk informasi selengkapnya, lihat Kebijakan yang disarankan untuk persona pengguna di AWS Audit Manager.

Sumber AWS terkelola adalah sumber bukti yang AWS disimpan untuk Anda.

Setiap sumber AWS terkelola adalah pengelompokan sumber data yang telah ditentukan sebelumnya yang dipetakan ke kontrol umum atau kontrol inti tertentu. Ketika Anda menggunakan kontrol umum sebagai sumber bukti, Anda secara otomatis mengumpulkan bukti untuk semua kontrol inti yang mendukung kontrol umum itu. Anda juga dapat menggunakan kontrol inti individu sebagai sumber bukti.

Setiap kali sumber AWS terkelola diperbarui, pembaruan yang sama secara otomatis diterapkan ke semua kontrol kustom yang menggunakan sumber terkel AWS ola tersebut. Ini berarti bahwa kontrol khusus Anda mengumpulkan bukti terhadap definisi terbaru dari sumber bukti tersebut. Ini membantu Anda memastikan kepatuhan berkelanjutan saat lingkungan kepatuhan cloud berubah.

Lihat juga:customer managed source,evidence source.

Untuk setiap kontrol dalam penilaian, Audit Manager melacak aktivitas pengguna untuk kontrol tersebut. Anda kemudian dapat meninjau jejak audit aktivitas yang terkait dengan kontrol tertentu. Untuk informasi selengkapnya tentang aktivitas pengguna yang ditangkap di changelog, lihat. Tab Changelog

Kepatuhan cloud adalah prinsip umum bahwa sistem yang dikirimkan cloud harus sesuai dengan standar yang dihadapi oleh pelanggan cloud.

Lihat control.

Peraturan kepatuhan adalah hukum, aturan, atau perintah lain yang ditentukan oleh otoritas, biasanya untuk mengatur perilaku. Salah satu contohnya adalah GDPR.

Standar kepatuhan adalah seperangkat pedoman terstruktur yang merinci proses organisasi untuk mempertahankan sesuai dengan peraturan, spesifikasi, atau undang-undang yang ditetapkan. Contohnya termasuk PCI DSS dan HIPAA.

Kontrol adalah pengamanan atau penanggulangan yang ditentukan untuk sistem informasi atau organisasi. Kontrol dirancang untuk melindungi kerahasiaan, integritas, dan ketersediaan informasi Anda, dan untuk memenuhi serangkaian persyaratan yang ditentukan. Mereka memberikan jaminan bahwa sumber daya Anda beroperasi sebagaimana dimaksud, data Anda dapat diandalkan, dan organisasi Anda mematuhi hukum dan peraturan yang berlaku.

Dalam Audit Manager, kontrol juga dapat mewakili pertanyaan dalam kuesioner penilaian risiko vendor. Dalam hal ini, kontrol adalah pertanyaan spesifik yang menanyakan informasi tentang postur keamanan dan kepatuhan organisasi.

Kontrol mengumpulkan bukti secara terus-menerus saat mereka aktif dalam penilaian Manajer Audit Anda. Anda juga dapat menambahkan bukti secara manual ke kontrol apa pun. Setiap bukti adalah catatan yang membantu Anda menunjukkan kepatuhan terhadap persyaratan kontrol.

Audit Manager menyediakan jenis kontrol berikut:

Anda dapat menganggap domain kontrol sebagai kategori kontrol yang tidak spesifik untuk standar kepatuhan apa pun. Contoh domain kontrol adalah perlindungan data.

Kontrol sering dikelompokkan berdasarkan domain untuk tujuan organisasi yang sederhana. Setiap domain memiliki beberapa tujuan.

Pengelompokan domain kontrol adalah salah satu fitur paling kuat dari dasbor https://docs.aws.amazon.com/audit-manager/latest/userguide/dashboard.html Audit Manager. Audit Manager menyoroti kontrol dalam penilaian Anda yang memiliki bukti yang tidak sesuai, dan mengelompokkannya berdasarkan domain kontrol. Ini memungkinkan Anda untuk memfokuskan upaya remediasi Anda pada domain subjek tertentu saat Anda mempersiapkan audit.

Tujuan kontrol menggambarkan tujuan dari kontrol umum yang berada di bawahnya. Setiap tujuan dapat memiliki beberapa kontrol umum. Jika kontrol umum ini berhasil diterapkan, mereka akan membantu Anda memenuhi tujuan.

Setiap tujuan kontrol berada di bawah domain kontrol. Misalnya, domain kontrol perlindungan data mungkin memiliki tujuan kontrol bernama Klasifikasi dan penanganan Data. Untuk mendukung tujuan kontrol ini, Anda dapat menggunakan kontrol umum yang disebut kontrol akses untuk memantau dan mendeteksi akses tidak sah ke sumber daya Anda.

Lihat control.

Lihat control.

Sumber yang dikelola pelanggan adalah sumber bukti yang Anda tentukan.

Saat Anda membuat kontrol kustom di Audit Manager, Anda dapat menggunakan opsi ini untuk membuat sumber data individual Anda sendiri. Ini memberi Anda fleksibilitas untuk mengumpulkan bukti otomatis dari sumber daya khusus bisnis, seperti AWS Config aturan khusus. Anda juga dapat menggunakan opsi ini jika ingin menambahkan bukti manual ke kontrol kustom Anda.

Saat Anda menggunakan sumber yang dikelola pelanggan, Anda bertanggung jawab untuk memelihara semua sumber data yang Anda buat.

Lihat juga:AWS managed source,evidence source.

Audit Manager menggunakan sumber data untuk mengumpulkan bukti untuk kontrol. Sumber data memiliki properti berikut:

Kontrol tunggal dapat memiliki beberapa jenis sumber data dan beberapa pemetaan. Misalnya, satu kontrol mungkin mengumpulkan bukti dari campuran jenis sumber data (seperti AWS Config dan Security Hub CSPM). Kontrol lain AWS Config mungkin memiliki satu-satunya jenis sumber data, dengan beberapa AWS Config aturan sebagai pemetaan.

Tabel berikut mencantumkan jenis sumber data otomatis dan menunjukkan contoh beberapa pemetaan yang sesuai.

Delegasi adalah AWS Audit Manager pengguna dengan izin terbatas. Delegasi biasanya memiliki keahlian bisnis atau teknis khusus. Misalnya, keahlian ini mungkin dalam kebijakan retensi data, rencana pelatihan, infrastruktur jaringan, atau manajemen identitas. Delegasi membantu pemilik audit meninjau bukti yang dikumpulkan untuk kontrol yang ada di bidang keahlian mereka. Delegasi dapat meninjau kumpulan kontrol dan bukti terkaitnya, menambahkan komentar, mengunggah bukti tambahan, dan memperbarui status masing-masing kontrol yang Anda tetapkan kepada mereka untuk ditinjau.

Pemilik audit menetapkan kumpulan kontrol tertentu untuk delegasi, bukan seluruh penilaian. Akibatnya, delegasi memiliki akses terbatas ke penilaian. Untuk petunjuk tentang cara mendelegasikan kumpulan kontrol, lihatDelegasi di AWS Audit Manager.

Bukti adalah catatan yang berisi informasi yang diperlukan untuk menunjukkan kepatuhan terhadap persyaratan kontrol. Contoh bukti termasuk aktivitas perubahan yang dipanggil oleh pengguna, dan snapshot konfigurasi sistem.

Ada dua jenis bukti utama dalam Audit Manager: bukti otomatis dan bukti manual.

Pengumpulan bukti otomatis dimulai saat Anda membuat penilaian. Ini adalah proses yang berkelanjutan, dan Manajer Audit mengumpulkan bukti pada frekuensi yang berbeda tergantung pada jenis bukti dan sumber data yang mendasarinya. Untuk informasi selengkapnya, lihat Memahami caranya AWS Audit Manager mengumpulkan bukti.

Untuk petunjuk tentang cara meninjau bukti dalam penilaian, lihatMeninjau bukti di AWS Audit Manager.

Sumber bukti mendefinisikan dari mana kontrol mengumpulkan bukti. Ini dapat berupa sumber data individu, atau pengelompokan sumber data yang telah ditentukan yang dipetakan ke kontrol umum atau kontrol inti.

Saat membuat kontrol kustom, Anda dapat mengumpulkan bukti dari sumber terkel AWS ola, sumber yang dikelola pelanggan, atau keduanya.

Lihat juga:AWS managed source,customer managed source.

Ada dua cara kontrol dapat mengumpulkan bukti.

Tujuan ekspor adalah bucket S3 default tempat Audit Manager menyimpan file yang Anda ekspor dari pencari bukti. Untuk informasi selengkapnya, lihat Mengkonfigurasi tujuan ekspor default Anda untuk pencari bukti.

Kerangka kerja Manajer Audit menyusun dan mengotomatiskan penilaian untuk standar atau prinsip tata kelola risiko tertentu. Kerangka kerja ini mencakup kumpulan kontrol bawaan atau yang ditentukan pelanggan, dan mereka membantu Anda memetakan AWS sumber daya Anda dengan persyaratan kontrol ini.

Ada dua jenis kerangka kerja dalam Audit Manager.

Untuk petunjuk tentang cara membuat dan mengelola kerangka kerja, lihatMenggunakan pustaka kerangka kerja untuk mengelola kerangka kerja di AWS Audit Manager.

Anda dapat menggunakan Berbagi kerangka kerja khusus di AWS Audit Manager fitur ini untuk dengan cepat membagikan kerangka kerja kustom Anda di seluruh Akun AWS dan Wilayah. Untuk berbagi kerangka kerja khusus, Anda membuat permintaan berbagi. Penerima kemudian memiliki 120 hari untuk menerima atau menolak permintaan. Ketika mereka menerima, Audit Manager mereplikasi kerangka kerja khusus bersama ke perpustakaan kerangka kerja mereka. Selain mereplikasi kerangka kerja khusus, Audit Manager juga mereplikasi kumpulan kontrol kustom dan kontrol yang terkandung dalam kerangka kerja tersebut. Kontrol kustom ini ditambahkan ke pustaka kontrol penerima. Audit Manager tidak mereplikasi kerangka kerja atau kontrol standar. Ini karena sumber daya ini sudah tersedia secara default di setiap akun dan Wilayah.

AWS Audit Manager Menandai bukti sebagai tidak meyakinkan ketika evaluasi kepatuhan otomatis tidak memungkinkan. Ini terjadi dalam situasi berikut:

Ketika tidak ada mekanisme untuk evaluasi otomatis bukti ini, tidak AWS Audit Manager dapat memberikan rincian evaluasi. Akibatnya, itu menandai bukti sebagai tidak meyakinkan.

Sumber daya adalah aset fisik atau informasi yang dinilai dalam audit. Contoh sumber AWS daya termasuk instans Amazon EC2, instans Amazon RDS, bucket Amazon S3, dan subnet Amazon VPC.

Penilaian sumber daya adalah proses menilai sumber daya individu. Penilaian ini didasarkan pada persyaratan kontrol. Sementara penilaian aktif, Manajer Audit menjalankan penilaian sumber daya untuk setiap sumber daya individu dalam lingkup penilaian. Penilaian sumber daya menjalankan serangkaian tugas berikut:

Kepatuhan sumber daya mengacu pada status evaluasi sumber daya yang dinilai saat mengumpulkan bukti pemeriksaan kepatuhan.

Audit Manager mengumpulkan bukti pemeriksaan kepatuhan untuk kontrol yang menggunakan AWS Config dan Security Hub CSPM sebagai jenis sumber data. Beberapa sumber daya dapat dinilai selama pengumpulan bukti ini. Akibatnya, satu bukti pemeriksaan kepatuhan dapat mencakup satu atau lebih sumber daya.

Anda dapat menggunakan filter kepatuhan sumber daya di pencari bukti untuk menjelajahi status kepatuhan di tingkat sumber daya. Setelah pencarian selesai, Anda dapat melihat pratinjau sumber daya yang cocok dengan permintaan pencarian Anda.

Dalam pencari bukti, ada tiga nilai yang mungkin untuk kepatuhan sumber daya:

Manajer Audit mengelola yang Layanan AWS berada dalam ruang lingkup penilaian Anda. Jika Anda memiliki penilaian yang lebih lama, mungkin saja Anda secara manual menentukan layanan dalam cakupan di masa lalu. Setelah 04 Juni 2024, Anda tidak dapat secara manual menentukan atau mengedit layanan dalam cakupan.

Layanan dalam ruang lingkup Layanan AWS adalah tempat penilaian Anda mengumpulkan buktinya. Ketika layanan disertakan dalam lingkup penilaian Anda, Manajer Audit menilai sumber daya layanan tersebut. Beberapa contoh sumber daya termasuk yang berikut:

Misalnya, jika Amazon S3 adalah layanan dalam cakupan, Audit Manager dapat mengumpulkan bukti tentang bucket S3 Anda. Bukti pasti yang dikumpulkan ditentukan oleh kontroldata source. Misalnya, jika tipe sumber data adalah AWS Config, dan pemetaan sumber data adalah AWS Config aturan (sepertis3-bucket-public-write-prohibited), Audit Manager mengumpulkan hasil evaluasi aturan tersebut sebagai bukti.

Lihat control.