Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di AWS Audit Manager controlli

Puoi consultare gli esempi in questa pagina per saperne di più su come funzionano i controlli in AWS Audit Manager.

In Audit Manager, i controlli possono raccogliere automaticamente prove da quattro tipi di fonti di dati:

Tieni presente che alcuni controlli raccolgono prove utilizzando raggruppamenti predefiniti di queste fonti di dati. Questi raggruppamenti di fonti di dati sono noti come AWS fonti gestite. Ciascuno AWS l'origine gestita rappresenta un controllo comune o un controllo principale. Queste fonti gestite offrono un modo efficiente per mappare i requisiti di conformità a un gruppo pertinente di fonti di dati sottostanti, convalidate e gestite da valutatori certificati del settore in AWS.

Gli esempi in questa pagina mostrano come i controlli raccolgono prove da ciascuno dei singoli tipi di fonti di dati. Descrivono l'aspetto di un controllo, il modo in cui l'Audit Manager raccoglie le prove dalla fonte dei dati e i passaggi successivi che è possibile intraprendere per dimostrare la conformità.

Sono disponibili esempi per ciascuno dei seguenti tipi di controlli:

Controlli automatici che utilizzano AWS Security Hub come tipo di fonte di dati

Questo esempio mostra un controllo che utilizza AWS Security Hub come tipo di origine dati. Si tratta di un controllo standard tratto dal AWS Framework Foundational Security Best Practices (FSBP). Audit Manager utilizza questo controllo per generare prove che possono aiutare a portare AWS ambiente in linea con FSBP i requisiti.

Nell'esempio seguente, questo controllo appare in una valutazione Audit Manager creata dal FSBP framework.

La valutazione mostra lo stato del controllo. Mostra anche quante prove sono state raccolte finora per questo controllo. Da qui, puoi delegare il set di controlli alla revisione o completare tu stesso la revisione. Scegliendo il nome del controllo si apre una pagina di dettaglio con ulteriori informazioni, incluse le prove relative al controllo.

A cosa serve questo controllo

Questo controllo richiede che AWS Config è abilitato in tutto Regioni AWS dove usi Security Hub. Audit Manager può utilizzare questo controllo per verificare se è stato abilitato AWS Config.

In che modo Gestione audit raccoglie le prove per questo controllo

Gestione audit adotta le seguenti misure per raccogliere prove per questo controllo:

Come utilizzare Gestione audit per dimostrare la conformità a questo controllo

Dopo aver allegato le prove al controllo, tu o un delegato di tua scelta potete esaminarle per vedere se è necessaria una correzione.

In questo esempio, Gestione audit potrebbe visualizzare una regola Fail di Security Hub. Questo può succedere se non lo hai abilitato AWS Config. In questo caso, puoi intraprendere l'azione correttiva di abilitare AWS Config, che aiuta a portare il tuo AWS ambiente in linea con FSBP i requisiti.

Quando il tuo AWS Config le impostazioni sono in linea con il controllo, contrassegna il controllo come Revisionato e aggiungi le prove al rapporto di valutazione. Puoi quindi condividere il report con i revisori per dimostrare che il controllo funziona come previsto.

Controlli automatici che utilizzano AWS Config come tipo di fonte di dati

Questo esempio mostra un controllo che utilizza AWS Config come tipo di origine dati. Si tratta di un controllo standard tratto dal AWS Control Tower Struttura Guardrails. Audit Manager utilizza questo controllo per generare prove che aiutano a portare AWS ambiente in linea con AWS Control Tower Guardrail.

Nell'esempio seguente, questo controllo appare in una valutazione Audit Manager creata dal AWS Control Tower Framework Guardrails.

La valutazione mostra lo stato del controllo. Mostra anche quante prove sono state raccolte finora per questo controllo. Da qui, puoi delegare il set di controlli alla revisione o completare tu stesso la revisione. Scegliendo il nome del controllo si apre una pagina di dettaglio con ulteriori informazioni, incluse le prove relative al controllo.

A cosa serve questo controllo

Audit Manager può utilizzare questo controllo per verificare se i livelli di accesso delle policy dei bucket S3 sono troppo indulgenti per essere soddisfatti. AWS Control Tower requisiti. Più specificamente, può controllare le impostazioni di Block Public Access, le policy dei bucket e le liste di controllo degli accessi ai bucket (ACL) per confermare che i bucket non consentano l'accesso pubblico in scrittura.

In che modo Gestione audit raccoglie le prove per questo controllo

Gestione audit adotta le seguenti misure per raccogliere prove per questo controllo:

Come utilizzare Gestione audit per dimostrare la conformità a questo controllo

Dopo aver allegato le prove al controllo, tu o un delegato di tua scelta potete esaminarle per vedere se è necessaria una correzione.

In questo esempio, Audit Manager potrebbe visualizzare una sentenza di AWS Config affermando che un bucket S3 non è conforme. Ciò potrebbe accadere se uno dei bucket S3 avesse un’impostazione Blocca accesso pubblico che non limita le policy pubbliche e la policy in uso consente l’accesso pubblico in scrittura. Per rimediare a questo problema, è possibile aggiornare l’impostazione Blocca accesso pubblico per limitare le policy pubbliche. In alternativa, è possibile utilizzare una policy bucket diversa che non consenta l’accesso pubblico in scrittura. Questa azione correttiva aiuta a portare AWS ambiente in linea con AWS Control Tower requisiti.

Quando si ritiene che i livelli di accesso al bucket S3 siano in linea con il controllo, è possibile contrassegnare il controllo come Rivisto e aggiungere le prove al report di valutazione. Puoi quindi condividere il report con i revisori per dimostrare che il controllo funziona come previsto.

Controlli automatici che utilizzano AWS APIchiamate come tipo di origine dati

Questo esempio mostra un controllo personalizzato che utilizza AWS APIchiamate come tipo di origine dati. Audit Manager utilizza questo controllo per generare prove che possono aiutare a portare AWS ambiente in linea con le vostre esigenze specifiche.

Nell'esempio seguente, questo controllo appare in una valutazione Audit Manager creata da un framework personalizzato.

La valutazione mostra lo stato del controllo. Mostra anche quante prove sono state raccolte finora per questo controllo. Da qui, puoi delegare il set di controlli alla revisione o completare tu stesso la revisione. Scegliendo il nome del controllo si apre una pagina di dettaglio con ulteriori informazioni, incluse le prove relative al controllo.

A cosa serve questo controllo

Gestione audit può utilizzare questo controllo personalizzato per contribuire a garantire l’esistenza di un numero sufficiente di policy di controllo degli accessi. Questo controllo richiede l’adozione di buone pratiche di sicurezza nella selezione e nell’uso delle password. Audit Manager può aiutarvi a convalidarlo recuperando un elenco di tutte le politiche relative alle password per IAM i principali che rientrano nell'ambito della valutazione.

In che modo Gestione audit raccoglie le prove per questo controllo

Gestione audit adotta le seguenti misure per raccogliere prove per questo controllo personalizzato:

Come utilizzare Gestione audit per dimostrare la conformità a questo controllo

Dopo aver allegato le prove al controllo, tu o un delegato di tua scelta potete esaminarle per vedere se è sufficiente o se è necessaria una correzione.

In questo esempio, puoi esaminare le prove per vedere la risposta della API chiamata. La GetAccountPasswordPolicyrisposta descrive i requisiti di complessità e i periodi di rotazione obbligatori per le password degli utenti nel tuo account. Puoi utilizzare questa API risposta come prova per dimostrare che disponi di politiche di controllo dell'accesso tramite password sufficienti per il Account AWS che rientrano nell'ambito della tua valutazione. Se lo desideri, puoi anche fornire ulteriori commenti su queste policy aggiungendo un commento al controllo.

Quando IAM ritieni che le politiche in materia di password dei tuoi responsabili siano in linea con il controllo personalizzato, puoi contrassegnare il controllo come Esaminato e aggiungere le prove al tuo rapporto di valutazione. Puoi quindi condividere il report con i revisori per dimostrare che il controllo funziona come previsto.

Controlli automatici che utilizzano AWS CloudTrail come tipo di fonte di dati

Questo esempio mostra un controllo che utilizza AWS CloudTrail come tipo di origine dati. Si tratta di un controllo standard tratto dal framework HIPAA Security Rule 2003. Audit Manager utilizza questo controllo per generare prove che possono aiutare a portare AWS ambiente in linea con HIPAA i requisiti.

Ecco questo controllo mostrato all'interno di una valutazione di Audit Manager creata dal HIPAA framework:

La valutazione mostra lo stato del controllo. Mostra anche quante prove sono state raccolte finora per questo controllo. Da qui, puoi delegare il set di controlli alla revisione o completare tu stesso la revisione. Scegliendo il nome del controllo si apre una pagina di dettaglio con ulteriori informazioni, incluse le prove relative al controllo.

A cosa serve questo controllo

Questo controllo richiede l'adozione di procedure di monitoraggio per rilevare accessi non autorizzati. Un esempio di accesso non autorizzato si verifica quando qualcuno accede alla console senza abilitare l'autenticazione a più fattori (). MFA Audit Manager ti aiuta a convalidare questo controllo dimostrando che hai configurato Amazon per monitorare le richieste di accesso CloudWatch alla console di gestione laddove non MFA è abilitato.

In che modo Gestione audit raccoglie le prove per questo controllo

Gestione audit adotta le seguenti misure per raccogliere prove per questo controllo:

Come utilizzare Gestione audit per dimostrare la conformità a questo controllo

Dopo aver allegato le prove al controllo, tu o un delegato di tua scelta potete esaminarle per vedere se è necessaria una correzione.

In questo esempio, puoi esaminare le prove per vedere gli eventi di attivazione degli allarmi registrati da. CloudTrail Puoi utilizzare questo registro come prova per dimostrare che disponi di procedure di monitoraggio sufficienti per rilevare quando gli accessi alla console avvengono senza essere abilitati. MFA Se lo desideri, puoi anche fornire ulteriori commenti su queste policy aggiungendo un commento al controllo. Ad esempio, se il registro mostra più accessi senzaMFA, puoi aggiungere un commento che descrive come hai risolto il problema. Il monitoraggio regolare degli accessi alla console consente di prevenire i problemi di sicurezza che potrebbero derivare da discrepanze e tentativi di accesso inappropriati. A sua volta, questa best practice aiuta a migliorare AWS ambiente in linea con HIPAA i requisiti.

Quando si ritiene che la procedura di monitoraggio sia in linea con il controllo, è possibile contrassegnare il controllo come Rivisto e aggiungere le prove al report di valutazione. Puoi quindi condividere il report con i revisori per dimostrare che il controllo funziona come previsto.

Controlli manuali

Alcuni controlli non supportano la raccolta automatica delle prove. Tra questi vi sono i controlli che si basano sulla fornitura di registrazioni e firme fisiche, oltre a osservazioni, interviste e altri eventi che non vengono generati nel cloud. In questi casi, è possibile caricare manualmente le prove per dimostrare che si stanno soddisfacendo i requisiti del controllo.

Questo esempio mostra un controllo manuale tratto dal framework NIST800-53 (Rev. 5). È possibile utilizzare Gestione audit per caricare e memorizzare le prove che dimostrano la conformità per questo controllo.

Ecco questo controllo mostrato all'interno di una valutazione Audit Manager creata dal framework NIST 800-53 (Rev. 5) Low-Moderate-High:

La valutazione mostra lo stato del controllo. Mostra anche quante prove sono state raccolte finora per questo controllo. Da qui, puoi delegare il set di controlli alla revisione o completare tu stesso la revisione. Scegliendo il nome del controllo si apre una pagina di dettaglio con ulteriori informazioni, incluse le prove relative al controllo.

A cosa serve questo controllo

È possibile utilizzare questo controllo per garantire che il personale riceva il livello appropriato di formazione in materia di sicurezza e privacy. In particolare, puoi dimostrare di aver svolto attività di formazione documentate sulla sicurezza e sulla privacy per tutto il personale, in base al ruolo ricoperto. Puoi anche dimostrare che i registri di formazione vengono conservati per ogni individuo.

Come caricare manualmente le prove per questo controllo

Per caricare prove manuali che integrano le prove automatiche, vedi Caricamento delle prove manuali in AWS Audit Manager. Audit Manager allega le prove caricate al controllo denominato AT-4: Training Records nella valutazione.

Come utilizzare Gestione audit per dimostrare la conformità a questo controllo

Se si dispone di documentazione che supporta questo controllo, è possibile caricarla come prova manuale. Ad esempio, puoi caricare la copia più recente dei materiali di formazione obbligatori basati sui ruoli che il reparto Risorse umane fornisce ai dipendenti.

Analogamente ai controlli automatici, è possibile delegare i controlli manuali alle parti interessate che possono aiutare a esaminare le prove (o, in questo caso, a fornirle). Ad esempio, esaminando questo controllo, potresti renderti conto di soddisfarne solo parzialmente i requisiti. Questo potrebbe accadere se non disponi di una copia del tracciamento delle presenze per i corsi di formazione in presenza. Potresti delegare il controllo a uno stakeholder delle risorse umane, che può quindi caricare un elenco del personale che ha partecipato alla formazione.

Quando ritieni che la procedura di monitoraggio sia in linea con il controllo, puoi contrassegnare il controllo come Rivisto e aggiungere le prove al report di valutazione. Puoi quindi condividere il report con i revisori per dimostrare che il controllo funziona come previsto.

Controlli con tipi di origini dati misti (automatici e manuali)

In molti casi, è necessaria una combinazione di prove automatiche e manuali per soddisfare un controllo. Sebbene Gestione audit sia in grado di fornire prove automatiche pertinenti al controllo, potrebbe essere necessario integrare questi dati con prove manuali che l’utente identifica e carica personalmente.

Questo esempio mostra un controllo che utilizza una combinazione di prove manuali e prove automatiche. Si tratta di un controllo standard tratto dal framework NIST800-53 (Rev. 5). Audit Manager utilizza questo controllo per generare prove che possono aiutare a portare AWS ambiente in linea con NIST i requisiti.

Ecco questo controllo mostrato all'interno di una valutazione Audit Manager creata dal framework NIST 800-53 (Rev. 5):

La valutazione mostra lo stato del controllo. Mostra anche quante prove sono state raccolte finora per questo controllo. Da qui, puoi delegare il set di controlli alla revisione o completare tu stesso la revisione. Scegliendo il nome del controllo si apre una pagina di dettaglio con ulteriori informazioni, incluse le prove relative al controllo.

A cosa serve questo controllo

Puoi utilizzare questo controllo per confermare che stai proteggendo le informazioni organizzative in caso di licenziamento di un dipendente. In particolare, puoi dimostrare di aver disabilitato l'accesso al sistema e di aver revocato le credenziali dell'individuo. Inoltre, potete dimostrare che tutte le persone licenziate hanno partecipato a un colloquio di uscita che includeva una discussione sui protocolli di sicurezza pertinenti per la vostra organizzazione.

In che modo Gestione audit raccoglie le prove per questo controllo

Gestione audit adotta le seguenti misure per raccogliere prove per questo controllo:

Come caricare manualmente le prove per questo controllo

Per caricare prove manuali che integrano le prove automatizzate, consulta Caricamento di prove manuali in AWS Audit Manager. Audit Manager allega le prove caricate al controllo denominato Personnel Termination nella valutazione.

Come utilizzare Gestione audit per dimostrare la conformità a questo controllo

Dopo aver allegato le prove al controllo, tu o un delegato di tua scelta potete esaminarle per vedere se è sufficiente o se è necessaria una correzione. Ad esempio, esaminando questo controllo, potresti renderti conto di soddisfarne solo parzialmente i requisiti. Questo potrebbe accadere se hai la prova che l'accesso è stato revocato, ma non hai una copia dei colloqui di uscita. Potresti delegare il controllo a uno stakeholder delle risorse umane, che può quindi caricare una copia dei documenti del colloquio di uscita. Oppure, se nessun dipendente è stato licenziato durante il periodo di audit, puoi lasciare un commento che spieghi perché al controllo non è allegato alcun documento firmato.

Quando si ritiene che la procedura di monitoraggio sia in linea con il controllo, è possibile contrassegnare il controllo come Rivisto e aggiungere le prove al report di valutazione. Puoi quindi condividere il report con i revisori per dimostrare che il controllo funziona come previsto.