이해 AWS Audit Manager 개념 및 용어

Audit Manager 평가를 사용하여 감사와 관련된 증거를 자동으로 수집할 수 있습니다.

평가는 감사와 관련된 제어 체계를 그룹화한 프레임워크를 기반으로 합니다. 표준 프레임워크 또는 사용자 지정 프레임워크에서 평가를 생성할 수 있습니다. 표준 프레임워크에는 특정 규정 준수 표준 또는 규정을 지원하는 사전 구축된 컨트롤 세트가 포함되어 있습니다. 반면, 사용자 지정 프레임워크에는 특정 감사 요구 사항에 따라 사용자 지정하고 그룹화할 수 있는 제어 기능이 포함되어 있습니다. 프레임워크를 출발점으로 사용하여 다음을 지정하는 평가를 생성할 수 있습니다. AWS 계정 감사 범위에 포함시키고 싶은 내용.

평가를 생성하면 Audit Manager가 자동으로 조직의 리소스를 평가하기 시작합니다. AWS 계정 프레임워크에 정의된 제어를 기반으로 합니다. 그런 다음 관련 증거를 수집하여 감사자 친화적인 형식으로 변환합니다. 이를 수행한 이후, 평가 내 제어에 증거를 첨부합니다. 감사 시기가 되면 사용자 또는 사용자가 선택한 대리인이 수집한 증거를 검토한 다음 평가 보고서에 추가할 수 있습니다. 이 평가 보고서는 제어가 의도한 대로 작동하고 있음을 입증하는 데 도움이 됩니다.

증거 수집은 평가를 생성할 때 시작되는 지속적인 프로세스입니다. 귀하는 평가 상태를 비활성으로 변경하여 증거 수집을 중지할 수 있습니다. 또는 제어 수준에서 증거 수집을 중지할 수 있습니다. 평가 내의 특정 제어 상태를 비활성으로 변경하여 이 작업을 수행할 수 있습니다.

평가 생성 및 관리 방법에 대한 지침은 에서 평가 관리 AWS Audit Manager 섹션을 참조하세요.

평가 보고서는 Audit Manager 평가를 통해 생성된 최종 문서입니다. 이 보고서에는 감사를 위해 수집된 관련 증거가 요약되어 있습니다. 이 보고서는 관련 증거 폴더로 연결됩니다. 귀하의 평가에 지정된 제어 항목에 따라 폴더의 이름과 구성이 지정됩니다. 각 평가에 대해 귀하는 Audit Manager가 수집하는 증거를 검토하고 평가 보고서에 포함할 증거를 결정할 수 있습니다.

평가 보고서에 대한 보다 상세한 내용은 평가 보고서 섹션을 참조하세요. 평가 보고서를 생성하는 방법을 알아보려면 에서 평가 보고서 준비하기 AWS Audit Manager 섹션을 참조하세요.

평가 보고서 대상은 Audit Manager가 평가 보고서를 저장하는 기본 S3 버킷입니다. 자세한 내용은 기본 평가 보고서 대상 구성 섹션을 참조하세요.

감사는 조직의 자산, 운영 또는 비즈니스 무결성을 독립적으로 검사하는 것입니다. 정보 기술 (IT) 감사는 특히 조직의 정보 시스템 내에 있는 제어를 검사합니다. IT 감사의 목표는 정보 시스템이 자산을 보호하고, 효과적으로 운영되며, 데이터 무결성을 유지하는지 확인하는 것입니다. 이러한 모든 사항은 규정 준수 표준 또는 규정에서 요구하는 규제 요구 사항을 충족하는 데 중요합니다.

감사 소유자라는 용어는 상황에 따라 두 가지 다른 의미를 갖습니다.

Audit Manager의 맥락에서 감사 소유자는 평가 및 관련 리소스를 관리하는 사용자 또는 역할입니다. 이 Audit Manager 인격체의 책임에는 평가 작성, 증거 검토 및 평가 보고서 생성이 포함됩니다. Audit Manager는 협업 서비스이며, 다른 이해 관계자가 평가에 참여하면 감사 소유자가 혜택을 누릴 수 있습니다. 예를 들어 평가에 다른 감사 소유자를 추가하여 관리 작업을 공유할 수 있습니다. 또는 감사 담당자로서 제어를 위해 수집된 증거를 해석하는 데 도움이 필요한 경우 해당 분야에 대한 주제 전문 지식을 갖춘 이해 관계자에게 제어 세트를 위임할 수 있습니다. 이러한 사람을 대리인 인격체라고 합니다.

비즈니스 측면에서 감사 소유자는 회사의 감사 준비 노력을 조정 및 감독하고 감사자에게 증거를 제시하는 사람입니다. 일반적으로 이 직원은 규정 준수 책임자 또는 GDPR 데이터 보호 책임자와 같은 거버넌스, 위험 및 규정 준수 (GRC) 전문가입니다. GRC전문가는 감사 준비를 관리할 수 있는 전문 지식과 권한을 가지고 있습니다. 보다 구체적으로 말하자면, 이들은 규정 준수 요구 사항을 이해하고 보고 데이터를 분석, 해석 및 준비할 수 있습니다. 그러나 다른 비즈니스 역할에서도 Audit Manager를 감사 소유자로 사용할 수 있습니다. GRC 전문가만 이 역할을 맡는 것이 아닙니다. 예를 들어, 아래 나열한 팀 중 한 곳의 기술 전문가가 Audit Manager 평가를 설정하고 관리하도록 선택할 수 있습니다.

Audit Manager 평가에서 누구를 감사 소유자로 선택하여 지정할 것인지는 귀하의 조직에 따라 크게 달라집니다. 또한 보안 운영 구조 및 감사 세부 사항에 따라서도 달라집니다. Audit Manager에서는 동일한 개인이 한 평가에서는 감사 소유자 인격체를, 다른 평가에서는 대리인 인격체를 떠맡을 수 있습니다.

Audit Manager를 어떻게 사용하든 감사 소유자/대리인 페르소나를 사용하고 각 사용자에게 특정 IAM 정책을 부여하여 조직 전체의 업무 분리를 관리할 수 있습니다. Audit Manager는 이 2단계 접근 방식을 통해 귀하가 개별 평가의 모든 세부 사항을 완벽하게 제어할 수 있도록 합니다. 자세한 내용은 의 사용자 페르소나에 권장되는 정책 AWS Audit Manager 단원을 참조하십시오.

원래 요청 ping에 대한 AWS 관리 소스는 다음과 같은 증거 출처입니다. AWS 당신을 위해 관리해 줍니다.

각각 AWS 관리 소스는 특정 공통 컨트롤 또는 핵심 컨트롤에 매핑되는 사전 정의된 데이터 소스 그룹입니다. 공통 컨트롤을 증거 소스로 사용하면 해당 공통 컨트롤을 지원하는 모든 핵심 컨트롤에 대한 증거를 자동으로 수집하게 됩니다. 개별 핵심 통제를 증거 자료로 사용할 수도 있습니다.

언제라도 AWS 관리 소스가 업데이트되면 해당 소스를 사용하는 모든 사용자 지정 컨트롤에 동일한 업데이트가 자동으로 적용됩니다. AWS 관리 소스. 즉, 사용자 지정 컨트롤이 해당 증거 출처의 최신 정의에 대한 증거를 수집한다는 뜻입니다. 이를 통해 클라우드 규정 준수 환경이 변화하더라도 지속적으로 규정을 준수할 수 있습니다.

참조:customer managed source,evidence source.

평가의 각 컨트롤에 대해 Audit Manager는 해당 컨트롤에 대한 사용자 활동을 추적합니다. 그런 다음 특정 제어와 관련된 활동의 감사 기록을 검토할 수 있습니다. 변경 로그에 캡처되는 사용자 활동에 대한 자세한 내용은 을 참조하십시오. Changelog 탭

클라우드 규정 준수는 클라우드 제공 시스템이 클라우드 고객이 직면한 표준을 준수해야 한다는 일반 원칙입니다.

control을 참조하세요.

규정 준수 규정은 일반적으로 행위를 규제하기 위해 기관에서 규정하는 법률, 규칙 또는 기타 명령입니다. 한 가지 예가 GDPR 있습니다.

규정 준수 표준은 확립된 규정, 사양 또는 법률에 따라 조직을 유지하기 위한 조직의 프로세스를 자세히 설명하는 일련의 구조화된 지침입니다. 예로는 PCI DSS 및 이 HIPAA 있습니다.

제어는 정보 시스템 또는 조직을 위해 규정된 보호 장치 또는 대응책입니다. 통제는 정보의 기밀성, 무결성 및 가용성을 보호하고 정의된 일련의 요구 사항을 충족하도록 설계되었습니다. 이를 통해 리소스가 의도한 대로 운영되고, 데이터가 신뢰할 수 있으며, 조직이 관련 법률 및 규정을 준수하고 있음을 확인할 수 있습니다.

Audit Manager에서 제어는 공급업체 위험 평가 설문지의 질문을 나타낼 수도 있습니다. 이 경우 제어는 조직의 보안 및 규정 준수 태세에 대한 정보를 묻는 특정 질문입니다.

제어는 Audit Manager 평가에서 활성화될 때 지속적으로 증거를 수집합니다. 모든 제어에 증거를 수동으로 추가할 수도 있습니다. 각 증거는 통제 요구 사항 준수를 입증하는 데 도움이 되는 기록입니다.

Audit Manager는 다음과 같은 유형의 제어를 제공합니다.

제어 도메인은 특정 규정 준수 표준과 관련이 없는 제어 범주로 생각할 수 있습니다. 제어 도메인의 예로는 데이터 보호가 있습니다.

컨트롤은 단순한 조직적 목적을 위해 도메인별로 그룹화되는 경우가 많습니다. 각 도메인에는 여러 목표가 있습니다.

제어 도메인 그룹화는 Audit Manager 대시보드의 가장 강력한 기능 중 하나입니다. Audit Manager는 평가에서 규정을 준수하지 않는 증거가 있는 제어 항목을 강조 표시하고 제어 도메인별로 그룹화합니다. 이를 통해 귀하는 감사를 준비하면서 특정 주제 영역에 대응 노력을 집중할 수 있습니다.

통제 목표는 그 기반이 되는 공통 통제 수단의 목표를 설명합니다. 각 목표에는 여러 개의 공통 통제가 있을 수 있습니다. 이러한 공통 제어가 성공적으로 구현되면 목표를 달성하는 데 도움이 될 것입니다.

각 통제 목표는 통제 영역에 속합니다. 예를 들어 데이터 보호 제어 도메인에는 데이터 분류 및 처리라는 제어 목표가 있을 수 있습니다. 이러한 규제 목표를 지원하기 위해 액세스 제어라는 공통 제어를 사용하여 리소스에 대한 무단 액세스를 모니터링하고 탐지할 수 있습니다.

control을 참조하세요.

control을 참조하세요.

고객 관리 소스는 사용자가 정의하는 증거 출처입니다.

Audit Manager에서 사용자 지정 컨트롤을 만들 때 이 옵션을 사용하여 고유한 개별 데이터 원본을 만들 수 있습니다. 이를 통해 사용자 지정 리소스와 같은 비즈니스별 리소스에서 자동화된 증거를 유연하게 수집할 수 있습니다. AWS Config 규칙. 사용자 지정 컨트롤에 수동 증거를 추가하려는 경우에도 이 옵션을 사용할 수 있습니다.

고객 관리형 소스를 사용할 때는 생성한 모든 데이터 원본을 유지 관리할 책임이 있습니다.

참조:AWS managed source,evidence source.

Audit Manager는 데이터 소스를 사용하여 통제에 대한 증거를 수집합니다. 데이터 소스에는 다음과 같은 속성이 있습니다.

단일 제어에 여러 데이터 소스 유형과 여러 매핑이 있을 수 있습니다. 예를 들어, 한 컨트롤은 다양한 데이터 소스 유형 (예: AWS Config 및 Security Hub). 다른 컨트롤이 있을 수 있습니다. AWS Config 유일한 데이터 소스 유형으로, 여러 개를 포함합니다. AWS Config 규칙을 매핑으로

다음 표에는 자동화된 데이터 소스 유형이 나열되어 있으며 일부 해당 매핑의 예가 나와 있습니다.

대리인은 AWS Audit Manager 권한이 제한된 사용자. 대리인은 일반적으로 전문적인 비즈니스 또는 기술 전문 지식을 갖추고 있습니다. 예를 들어, 이러한 전문 지식은 데이터 보존 정책, 교육 계획, 네트워크 인프라 또는 ID 관리 등에 관한 것일 수 있습니다. 대리인은 감사 담당자가 수집된 증거를 검토하여 자신의 전문 분야에 적용되는 규제 항목을 검토할 수 있도록 지원합니다. 대리인은 제어 세트 및 관련 증거를 검토하고, 의견을 추가하고, 추가 증거를 업로드하고, 검토를 위해 할당한 각 규제 항목의 상태를 업데이트할 수 있습니다.

감사 소유자는 전체 평가가 아닌 특정 제어 세트를 대리인에게 할당합니다. 따라서 대리인은 평가에 대한 제한된 액세스 권한을 가집니다. 제어 세트를 위임하는 방법에 대한 지침은 주재 대표단 AWS Audit Manager 섹션을 참조하세요.

증거는 제어 요건 준수를 입증하는 데 필요한 정보가 들어 있는 기록입니다. 증거의 예로는 사용자가 호출한 변경 활동, 시스템 구성 스냅샷 등이 있습니다.

Audit Manager에는 자동 증거와 수동 증거의 두 가지 주요 유형이 있습니다.

평가를 생성하면 자동 증거 수집이 시작됩니다. 이는 진행 중인 프로세스이며, Audit Manager는 증거 유형 및 기본 데이터 소스에 따라 다양한 빈도로 증거를 수집합니다. 자세한 내용은 방법 이해 AWS Audit Manager 증거 수집 단원을 참조하십시오.

평가에서 증거를 검토하는 방법에 대한 지침은 증거 검토: AWS Audit Manager 섹션을 참조하세요.

증거 출처는 통제 기관이 증거를 수집하는 위치를 정의합니다. 개별 데이터 원본일 수도 있고 공통 통제 또는 핵심 통제에 매핑되는 사전 정의된 데이터 원본 그룹일 수도 있습니다.

사용자 지정 컨트롤을 만들면 다음에서 증거를 수집할 수 있습니다. AWS 관리형 소스, 고객 관리형 소스 또는 둘 다

참조:AWS managed source,customer managed source.

제어가 증거를 수집할 수 있는 두 가지 방법이 있습니다.

내보내기 대상은 증거 찾기에서 귀하가 내보낸 파일을 Audit Manager가 저장하는 기본 S3 버킷입니다. 자세한 내용은 증거 찾기를 위한 기본 내보내기 목적지 설정 단원을 참조하십시오.

Audit Manager 프레임워크는 특정 표준 또는 위험 관리 원칙에 대한 평가를 구조화하고 자동화합니다. 이러한 프레임워크에는 사전 구축되거나 고객이 정의한 제어 항목 모음이 포함되며, 이를 통해 다음을 매핑할 수 있습니다. AWS 이러한 컨트롤의 요구 사항에 맞는 리소스

Audit Manager에는 두 가지 유형의 프레임워크가 있습니다.

프레임워크 생성 설치 및 관리 방법에 대한 지침은 프레임워크 라이브러리를 사용하여 프레임워크 관리 AWS Audit Manager 섹션을 참조하세요.

이 에서 사용자 지정 프레임워크 공유 AWS Audit Manager 기능을 사용하여 사용자 지정 프레임워크를 다른 사용자와 빠르게 공유할 수 있습니다. AWS 계정 및 지역. 사용자 지정 프레임워크를 공유하려면 공유 요청을 생성합니다. 그러면 수신자는 120일 이내에 요청을 수락하거나 거부해야 합니다. 승인하면 Audit Manager는 공유된 사용자 지정 프레임워크를 해당 프레임워크 라이브러리에 복제합니다. Audit Manager는 사용자 지정 프레임워크를 복제하는 것 외에도 해당 프레임워크에 포함된 모든 사용자 지정 제어 집합 및 제어를 복제합니다. 이러한 사용자 지정 제어는 수신자의 제어 라이브러리에 추가됩니다. Audit Manager는 표준 프레임워크 또는 컨트롤을 복제하지 않습니다. 이러한 리소스는 기본적으로 각 계정 및 지역에서 이미 사용 가능하기 때문입니다.

리소스는 감사를 통해 평가되는 물리적 또는 정보 자산입니다. 다음 예시 AWS EC2리소스에는 Amazon 인스턴스, Amazon RDS 인스턴스, Amazon S3 버킷 및 Amazon VPC 서브넷이 포함됩니다.

자원 평가는 개별 자원을 평가하는 프로세스입니다. 이 평가는 제어 요구 사항을 기반으로 합니다. 평가가 활성화되어 있는 동안 Audit Manager는 평가 범위 내의 각 개별 자원에 대해 자원 평가를 실행합니다. 리소스 평가는 다음과 같은 과업 세트를 실행합니다.

리소스 규정 준수란 규정 준수 확인 증거를 수집할 때 평가된 리소스의 평가 상태를 말합니다.

Audit Manager는 다음을 사용하는 제어 기능에 대한 규정 준수 검사 증거를 수집합니다. AWS Config 및 Security Hub를 데이터 소스 유형으로 사용합니다. 이 증거 수집 과정에서 여러 리소스가 평가될 수 있습니다. 따라서 단일 규정 준수 검사 증거에는 하나 이상의 리소스가 포함될 수 있습니다.

증거 찾기의 리소스 규정 준수 필터를 사용하여 리소스 수준에서 규정 준수 상태를 탐색할 수 있습니다. 검색이 완료되면 검색 쿼리와 일치하는 리소스를 미리 볼 수 있습니다.

증거 찾기에서 리소스 규정 준수에 사용할 수 있는 값은 세 가지입니다.

Audit Manager는 어떤 것을 관리합니다 AWS 서비스 평가 범위 내에 포함됩니다. 이전 평가의 경우 과거에 서비스 범위를 수동으로 지정했을 수 있습니다. 2024년 6월 4일 이후에는 범위 내에서 서비스를 수동으로 지정하거나 편집할 수 없습니다.

범위 내 서비스는 AWS 서비스 평가에서 수집하는 증거는 다음과 같습니다. 서비스가 평가 범위에 포함되면 Audit Manager는 해당 서비스의 리소스를 평가합니다. 리소스의 예로서는 다음과 같은 항목들이 있습니다.

예를 들어 Amazon S3가 범위 내 서비스인 경우 Audit Manager는 S3 버킷에 대한 증거를 수집할 수 있습니다. 수집되는 정확한 증거는 컨트롤에 data source 의해 결정됩니다. 예를 들어, 데이터 원본 유형이 다음과 같은 경우 AWS Config그리고 데이터 소스 매핑은 AWS Config 규칙 (예:s3-bucket-public-write-prohibited) 에서 Audit Manager는 해당 규칙 평가 결과를 증거로 수집합니다.

control을 참조하세요.