Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Report di valutazione
Un report di valutazione riassume le prove selezionate che sono state raccolte per una valutazione. Contiene inoltre collegamenti a file PDF con dettagli su ogni elemento di prova. I contenuti specifici, l'organizzazione e la convenzione di denominazione di un report di valutazione dipendono dai parametri scelti al momento della generazione del report.
I report di valutazione aiutano l’utente a selezionare e compilare le prove pertinenti per l'audit. Tuttavia, non valutano la conformità delle prove stesse. Al contrario, Gestione audit fornisce semplicemente i dettagli delle prove selezionate come output che è possibile condividere con il revisore.
Indice
Comprensione della struttura delle cartelle del rapporto di valutazione
Quando si scarica un report di valutazione, Gestione audit produce una cartella zip. che contiene il report di valutazione e i relativi file di prove in sottocartelle annidate.
La cartella è strutturata come segue:
-
Cartella di valutazione (esempio:
myAssessmentName-a1b2c3d4): La cartella principale.-
Cartella del rapporto di valutazione (esempio:
reportName-a1b2c3d4e5f6g7): una sottocartella in cui è possibile trovare i AssessmentReportSummary file.pdf, digest.txt e README.txt.-
Cartella Prove per controllo (esempio:
controlName-a1b2c3d4e5f6g): Una sottocartella che raggruppa i file delle prove in base al controllo correlato.-
Prove per cartella di origine dati (esempio:
CloudTrail,Security Hub): Una sottocartella che raggruppa i file di prove in base al tipo di origine dati.-
Cartella Prove per data (esempio:
2022-07-01): Una sottocartella che raggruppa i file di prove in base alla data di raccolta.-
File di prove: i file che contengono dettagli sui singoli elementi di prova.
-
-
-
-
-
Navigazione in un rapporto di valutazione
Inizia aprendo la cartella zip e navigando di un livello verso il basso fino alla cartella del report di valutazione. Qui puoi trovare il report di valutazione in PDF e il file README.txt.
È possibile esaminare il file README.txt per comprendere la struttura e il contenuto della cartella zip. Fornisce inoltre informazioni di riferimento sulle convenzioni di denominazione per ogni file. Queste informazioni possono aiutarti ad accedere direttamente a una sottocartella o a un file di prove se stai cercando un elemento specifico.
Altrimenti, per sfogliare le prove e individuare le informazioni di cui hai bisogno, apri il PDF del report di valutazione. Questo ti offre una panoramica di alto livello del report e un riepilogo della valutazione da cui è stato creato il report.
Successivamente, utilizza il sommario (TOC, table of contents) per esplorare il report. Puoi scegliere qualsiasi controllo con collegamento ipertestuale nel sommario per passare direttamente a un riepilogo di quel controllo.
Quando si è pronti a esaminare i dettagli delle prove per un controllo, è possibile farlo scegliendo il nome della prova con collegamento ipertestuale. Per le prove automatizzate, il collegamento ipertestuale apre un nuovo file PDF con i dettagli relativi a tali prove. Per le prove manuali, il collegamento ipertestuale ti porta al bucket S3 che contiene le prove.
Suggerimento
Il percorso di navigazione nella parte superiore di ogni pagina mostra la tua posizione attuale nel report di valutazione mentre sfogli i controlli e le prove. Seleziona il relativo collegamento ipertestuale per tornare al sommario in qualsiasi momento.
Revisione delle sezioni di un rapporto di valutazione
Utilizza le seguenti informazioni per saperne di più su ciascuna sezione di un report di valutazione.
Nota
Il trattino (-) accanto a uno qualsiasi degli attributi nelle sezioni seguenti indica che il valore di quell'attributo è nullo o che non esiste.
Frontespizio
Il frontespizio include il nome del report di valutazione. Visualizza anche la data e l'ora in cui è stato generato il report, insieme all'ID account dell'utente che lo ha generato.
Il frontespizio è formattato come segue. Gestione audit sostituisce i segnaposto con le informazioni pertinenti al report.
Assessment report nameReport generated onMM/DD/YYYYatHH:MM:SS AM/PM UCTbyAccountID
Pagina di panoramica
La pagina di panoramica è composta da due parti: un riepilogo del report stesso e un riepilogo della valutazione oggetto del report.
Riepilogo del report
Questa sezione riepiloga il report di valutazione.
| Nome | Descrizione |
|---|---|
|
Nome del rapporto |
Il nome del report. |
|
Descrizione |
La descrizione inserita dal titolare dell'audit quando genera il rapporto. |
| Data di generazione |
La data in cui è stato generato il rapporto. L’ora è presentata in formato UTC (Universal Time Code, codice orario universale). |
| Controlli totali inclusi |
Il numero di controlli inclusi nel rapporto e che hanno raccolto prove. Si tratta di un sottoinsieme del numero totale di controlli inclusi nella valutazione. |
| Account AWS incluso |
Il numero Account AWS di questi sono inclusi nel rapporto e hanno raccolto prove. Si tratta di un sottoinsieme del numero totale di partecipanti Account AWS alla valutazione. |
| Selezione del rapporto di valutazione |
Il numero di elementi probatori selezionati per l'inclusione nel rapporto. Ciò include il numero totale di problemi di controllo della conformità rilevati nel report. |
Riepilogo della valutazione
Questa sezione riepiloga la valutazione a cui si riferisce il report.
| Nome | Descrizione |
|---|---|
|
Nome della valutazione |
Il nome della valutazione da cui è stato generato il rapporto. |
|
Stato |
Lo stato della valutazione nel momento in cui è stato generato il rapporto. |
| Regione di valutazione |
La in Regione AWS cui è stata creata la valutazione. |
| Account AWS nell'ambito |
L'elenco Account AWS di questi elementi rientra nell'ambito della valutazione. |
| Nome del framework |
Il nome del framework da cui è stata creata la valutazione. |
| Proprietari dell'audit |
L'utente o il ruolo dei titolari dell'audit della valutazione. |
| Ultimo aggiornamento |
La data dell'ultimo aggiornamento della valutazione. L'ora è rappresentata in UTC. |
Pagina del sommario
Il sommario mostra il contenuto completo del report di valutazione. I contenuti sono raggruppati e organizzati in base ai set di controllo inclusi nella valutazione. I controlli sono elencati sotto il rispettivo set di controlli.
Scegli qualsiasi elemento nel sommario per accedere direttamente a quella sezione del report. È possibile scegliere un set di controlli o passare direttamente a un controllo.
Pagina di controllo
La pagina di controllo è composta da due parti: un riepilogo del controllo stesso e un riepilogo delle prove raccolte per il controllo.
Riepilogo del controllo
Questa sezione include le seguenti informazioni.
| Nome | Descrizione |
|---|---|
|
Nome del controllo |
Il nome del controllo. |
|
Descrizione |
Descrizione del controllo. |
| Set di controllo |
Il nome del set di controlli a cui appartiene il controllo. |
| Informazioni sul test |
Le procedure di test consigliate per questo controllo. |
| Piano d'azione |
Le azioni consigliate da eseguire se il controllo non viene soddisfatto. |
| Selezione del rapporto di valutazione |
Il numero di elementi probatori relativi a questo controllo che sono stati inclusi nel rapporto di valutazione. Ciò include il numero di problemi di verifica della conformità riscontrati riferiti alle prove relative a questo controllo. |
Prove raccolte
Questa sezione mostra le prove raccolte per il controllo. Le prove sono raggruppate in cartelle, organizzate e denominate in base alla data di raccolta. Accanto al nome di ogni cartella di prove è riportato il numero totale di problemi di controllo della conformità per quella cartella.
Sotto il nome di ogni cartella di prove è presente un elenco di nomi di prove con collegamenti ipertestuali.
-
I nomi automatici delle prove iniziano con un timestamp di raccolta delle prove, seguito da codice di servizio, nome dell'evento (fino a 20 caratteri), ID dell'account e da un ID univoco di 12 caratteri.
Ad esempio:
21-30-24_IAM_CreateUser_111122223333_a1b2c3d4e5f6Per le prove automatiche, il nome con collegamento ipertestuale apre un nuovo file PDF con un riepilogo e ulteriori dettagli.
-
I nomi delle prove manuali iniziano con un timestamp di caricamento delle prove, seguito dall'etichetta, dall'ID dell'account e da un ID univoco di 12 caratteri di
manual. Includono inoltre i primi 10 caratteri del nome del file e la sua estensione (fino a 10 caratteri).Ad esempio:
00-00-00_manual_111122223333_a1b2c3d4e5f6_myimage.pngPer le prove manuali, il collegamento ipertestuale porta al bucket S3 che contiene le prove.
Accanto a ciascuna prova è riportato il nome del risultato del controllo di conformità relativo a quell'elemento.
-
Per le prove automatizzate raccolte da AWS Security Hub o AWS Config, viene riportato un risultato conforme, non conforme o non conclusivo.
-
Per le prove automatiche raccolte da chiamate API AWS CloudTrail e per tutte le prove manuali, viene mostrato un risultato non conclusivo.
Pagina di riepilogo delle prove
La pagina di riepilogo delle prove include le seguenti informazioni.
| Nome | Descrizione |
|---|---|
|
ID |
L'identificatore univoco delle prove. |
|
Data raccolta |
La data in cui le prove sono state create o caricate. |
| Descrizione |
Una descrizione delle prove, inclusi l'ID dell'account e il tipo di fonte dei dati. |
| Nome della valutazione |
Il nome della valutazione da cui è stato generato il rapporto. |
| Nome del framework |
Il nome del framework da cui è stata creata la valutazione. |
| Nome del controllo |
Il nome del controllo supportato dalle prove. |
| Nome del set di controlli |
Il nome del set di controlli a cui appartiene il controllo correlato. |
| Descrizione del controllo |
La descrizione del controllo supportata dalle prove. |
| Informazioni sui test |
Le procedure di test consigliate per il controllo. |
| Piano d'azione |
Le azioni consigliate da eseguire in caso di mancato rispetto del controllo. |
| Regione AWS |
Il nome della regione associata alle prove. |
| ID IAM |
L'ARN dell'utente o del ruolo associato alle prove. |
| Account AWS |
L' Account AWS ID associato alle prove. |
| Servizio AWS |
Il nome della Servizio AWS persona associata alla prova. |
| Nome evento |
Il nome dell'evento probatorio. |
| Event time (Ora evento) |
L'ora in cui si è verificato l'evento probatorio. |
| Origine dati |
Da dove sono state raccolte o caricate le prove. Il tipo di origine dati può essere AWS Config Security Hub CloudTrail, chiamate AWS API o Manuale. |
| Prove per tipo |
La categoria delle prove
|
| Stato del controllo di conformità |
Lo stato di valutazione delle prove che rientrano nella categoria del controllo di conformità.
|
Pagina dei dettagli delle prove
La pagina dei dettagli delle prove mostra il nome delle prove e una tabella dei dettagli delle prove. Questa tabella fornisce una suddivisione dettagliata di ogni elemento probatorio in modo da poter comprendere i dati e verificarne la correttezza. A seconda dell’origine dati delle prove, il contenuto della pagina di dettaglio varia.
Suggerimento
Il percorso di navigazione nella parte superiore di ogni pagina mostra la posizione attuale dell’utente mentre sfoglia i dettagli delle prove. Seleziona Riepilogo delle prove per tornare al riepilogo delle prove in qualsiasi momento.
Convalida di un rapporto di valutazione
Quando si genera un report di valutazione, Gestione audit produce un checksum del file di report denominatodigest.txt. Questo file può essere utilizzato per convalidare l'integrità del report e garantire che nessuna prova sia stata modificata dopo la sua creazione. Contiene un oggetto JSON con firme e hash che vengono invalidati se una qualsiasi parte dell'archivio del report viene alterata.
Per convalidare l'integrità di un rapporto di valutazione, utilizza l'ValidateAssessmentReportIntegrityAPI fornita da Audit Manager.
Risorse aggiuntive
Per trovare le risposte alle domande e ai problemi più comuni, consulta Risoluzione dei problemi relativi ai report di valutazione la sezione Risoluzione dei problemi di questa guida.
