本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
GxP 欧盟附件 11 操作最佳实践
一致性包提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。
下面提供了 GxP EU 附录 11 和 AWS 托管 Config 规则之间的映射示例。每条 Config 规则都适用于特定 AWS 资源，并与一项或多项 GxP EU 附录 11 控制措施相关。一个 GxP 欧盟附件 11 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。
| 控制 ID | 控制描述 | AWS Config 规则 | 指南 |
|---|---|---|---|
| 1. 风险管理 | 应在计算机化系统的整个生命周期中运用风险管理，同时考虑到患者安全、数据完整性和产品质量。作为风险管理系统的一部分，应基于对计算机化系统的合理和有据可查的风险评估，做出关于验证范围和数据完整性控制的决策。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 1. 风险管理 | 应在计算机化系统的整个生命周期中运用风险管理，同时考虑到患者安全、数据完整性和产品质量。作为风险管理系统的一部分，应基于对计算机化系统的合理和有据可查的风险评估，做出关于验证范围和数据完整性控制的决策。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 4.2。验证 - 文档变更控制 | 验证文档应包括变更控制记录（如果适用）和关于在验证过程中观察到的任何偏差的报告。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 4.3。验证 - 清单 | 应提供所有相关系统及其 GMP 功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流以及与其他系统或流程的接口、任何硬件和软件先决条件以及安全措施。 | 通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。 | |
| 4.3。验证 - 清单 | 应提供所有相关系统及其 GMP 功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流以及与其他系统或流程的接口、任何硬件和软件先决条件以及安全措施。 | 使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。 | |
| 4.3。验证 - 清单 | 应提供所有相关系统及其 GMP 功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流以及与其他系统或流程的接口、任何硬件和软件先决条件以及安全措施。 | 为了帮助管理资产清单，此规则检查安全组是否附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或弹性网络接口。如果您的安全组未附加到这些资源类型，则它们可能未被使用且不再需要。 | |
| 4.3。验证 - 清单 | 应提供所有相关系统及其 GMP 功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流以及与其他系统或流程的接口、任何硬件和软件先决条件以及安全措施。 | 根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。 | |
| 4.3。验证 - 清单 | 应提供所有相关系统及其 GMP 功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流以及与其他系统或流程的接口、任何硬件和软件先决条件以及安全措施。 | 此规则可确保分配给 Amazon Virtual Private Cloud (Amazon VPC) 的弹性 IP 附加到 Amazon Elastic Compute Cloud (Amazon EC2) 实例或正在使用的弹性网络接口。此规则有助于监控您环境中未使用的 EIP。 | |
| 4.3。验证 - 清单 | 应提供所有相关系统及其 GMP 功能（清单）的最新清单。对于关键系统，应提供最新的系统描述，详细说明物理和逻辑安排、数据流以及与其他系统或流程的接口、任何硬件和软件先决条件以及安全措施。 | 此规则可确保 Amazon Virtual Private Cloud (VPC) 网络访问控制列表正在使用中。监控未使用的网络访问控制列表有助于准确清点和管理您的环境。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 4.8。验证 - 数据传输 | 如果将数据传输到其他数据格式或系统，则验证应包括检查在此迁移过程中数据的值和/或含义是否没有改变。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 5. 数据 | 与其他系统以电子方式交换数据的计算机化系统应包括适当的内置检查，以正确、安全地输入和处理数据，从而最大限度地降低风险。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助保护静态数据，请确保为 API Gateway 阶段的缓存启用加密。由于可能会为 API 方法捕获敏感数据，因此应启用静态加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为帮助保护静态敏感数据，请确保您的 Amazon CloudWatch 日志组启用了加密。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail跟踪启用了加密。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 确保为 Amazon DynamoDB 表启用加密。由于这些表中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。默认情况下，DynamoDB 表使用自有的客户主密钥 ( AWS CMK) 进行加密。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store (Amazon EBS) 卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System (EFS) 启用加密。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 确保为 Amazon Relational Database Service (Amazon RDS) 快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助保护静态数据，请确保您的 Amazon Relational Database Service (Amazon RDS) 实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 确保您的 Amazon Simple Storage Service (Amazon S3) 存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。 | |
| 7.1。数据存储 - 损坏保护 | 应通过物理和电子手段保护数据免受损坏。应检查存储的数据的可访问性、可读性和准确性。应确保在整个保留期内都能访问数据。 | 为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 7.2。数据存储 - 备份 | 应定期备份所有相关数据。在验证期间，应检查备份数据的完整性和准确性以及恢复数据的能力，并定期对其进行监控。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| 9. 审计跟踪记录 | 应考虑在风险评估的基础上，在系统中创建所有与 GMP 相关的更改和删除的记录（系统生成的“审计跟踪记录”）。对于 GMP 相关数据的更改或删除，应记录原因。审计跟踪记录需要可用，可转换为普遍可理解的形式，并定期进行审查。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| 10. 变更和配置管理 | 对计算机化系统的任何更改（包括系统配置）只能按照规定的程序以受控方式进行。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| 10. 变更和配置管理 | 对计算机化系统的任何更改（包括系统配置）只能按照规定的程序以受控方式进行。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| 10. 变更和配置管理 | 对计算机化系统的任何更改（包括系统配置）只能按照规定的程序以受控方式进行。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| 11. 评估期 | 应定期对计算机化系统进行评估，确认其保持有效状态并符合 GMP 要求。适当时，此类评估应包括当前的功能范围、偏差记录、事件、问题、升级历史记录、性能、可靠性、安全性和验证状态报告。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 要帮助实施最低权限原则，请确保您的 Amazon CodeBuild 项目环境未启用特权模式。应禁用此设置，以防止意外访问 Docker API 及容器的底层硬件。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 为了帮助实施最低权限原则，Amazon Elastic Container Service (Amazon ECS) 任务定义不应启用提升权限。在该参数为 true 时，将为该容器提供提升的主机容器实例权限（类似于根用户）。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 启用对 Amazon Elastic Container Service (ECS) 容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 为了帮助实施最低权限原则，请确保指定非根用户来访问您的 Amazon Elastic Container Service (Amazon ECS) 任务定义。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 为 Amazon Elastic File System (Amazon EFS) 接入点强制使用根目录可确保接入点的用户只能访问指定子目录的文件，从而帮助限制数据访问。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 为了帮助实施最低权限原则，请确保为您的 Amazon Elastic File System (Amazon EFS) 启用用户强制执行。启用后，Amazon EFS 会将 NFS 客户端的用户和组 ID 替换为接入点上为所有文件系统操作配置的身份，并只向此强制用户身份授予访问权限。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 确保在您的 Amazon OpenSearch 服务域上启用了精细的访问控制。精细的访问控制提供了增强的授权机制，以实现对 Amazon Service 域的最低权限访问。 OpenSearch 它允许基于角色的域访问控制，以及索引、文档和字段级安全，支持 OpenSearch 服务仪表板多租户，以及对 Service 和 Kibana 的 HTTP 基本身份验证。 OpenSearch | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 确保在亚马逊关系数据库服务 (Amazon RDS) 实例上启用 AWS 身份和访问管理 (IAM) 身份验证，以控制对系统和资产的访问。这会强制进出数据库的网络流量使用安全套接字层 (SSL) 进行加密。您无需将用户凭证存储在数据库中，因为身份验证在外部进行管理。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 此规则检查访问控制列表 (ACL) 是否用于对 Amazon S3 存储桶进行访问控制。ACL 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management。最佳实践是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限，而不是使用 ACL。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心 (KDC)。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns参数。（AWS 基础安全最佳实践值：kms: decrypt，kms：From）。ReEncrypt实际值应反映贵组织的策略。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“*” 而不是 “资源”：“*”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户 方法来帮助整合功能最少的原则。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。 | |
| 12.1。安全 - 授权人员 | 应采取物理和/或逻辑控制措施，仅允许授权人员访问计算机化系统。防止未经授权进入系统的适当方法可能包括使用钥匙、通行卡、带密码的个人代码、生物识别、限制进入计算机设备和数据存储区域。 | 通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。 | |
| 12.3。安全 - 授权审计跟踪记录 | 应记录访问授权的创建、更改和取消。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 收集 Simple Storage Service (Amazon S3) 数据事件有助于检测任何异常活动。详细信息包括访问 Amazon S3 存储桶的 AWS 账户信息、IP 地址和事件时间。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户 调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 确保启用 AWS CodeBuild 项目日志记录，以便将您的构建输出日志发送到亚马逊 CloudWatch 或亚马逊简单存储服务 (Amazon S3) Simple Storage Service。构建输出日志提供有关您的构建项目的详细信息。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 确保在您的 Amazon OpenSearch 服务域上启用审核日志。审核日志允许您跟踪 OpenSearch 网域上的用户活动，包括身份验证成功和失败、对域名的请求 OpenSearch、索引更改以及传入的搜索查询。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 要捕获有关您的 Amazon Redshift 集群上的连接和用户活动的信息，请确保已启用审计日志记录。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service (Amazon RDS) 日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | 要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。 | |
| 12.4。安全 - 审计跟踪记录 | 数据和文档管理系统应设计为记录输入、更改、确认或删除数据的操作员的身份（包括日期和时间）。 | Amazon Simple Storage Service (Amazon S3) 服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。 | |
| 13. 事件管理 | 应报告和评估所有事件，而不仅仅是系统故障和数据错误。应查明重大事件的根本原因，并据此采取纠正和预防行动。 | AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS | |
| 13. 事件管理 | 应报告和评估所有事件，而不仅仅是系统故障和数据错误。应查明重大事件的根本原因，并据此采取纠正和预防行动。 | Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IP 列表和机器学习，用于识别 AWS 云环境中意外、未经授权和恶意的活动。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 弹性负载均衡 (ELB) 在一个可用区中的多个目标（如 EC2 实例、容器和 IP 地址）之间自动分配传入的流量。为保障高可用性，请确保您的 ELB 已注册来自多个可用区的实例。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为您的 Elastic Load Balancers (ELB) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 如果您的 AWS Lambda 函数配置为连接到您账户中的虚拟私有云 (VPC)，请在至少两个不同的可用区中部署 AWS Lambda 函数，以确保在单个区域发生服务中断的情况下，您的函数可用于处理事件。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了实现高可用性和容错能力，Amazon OpenSearch OpenSearch 服务（服务）至少需要三个数据节点。部署具有至少三个数据节点的 OpenSearch 服务域可确保在节点出现故障时集群运行。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 确保 Amazon Relational Database Service (Amazon RDS) 实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | Amazon Relational Database Service (Amazon RDS) 集群应启用多可用区复制，以帮助确保所存储数据的可用性。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | Amazon Relational Database Service (Amazon RDS) 中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。 | |
| 16. 业务连续性 | 为了提供支持关键流程的计算机化系统，应作出规定，确保在系统出现故障（例如手动系统或替代系统）时继续为这些程序提供支持。实施替代安排所需的时间应以风险为依据，并适合特定系统及其所支持的业务流程。应充分记录和检验这些安排。 | 可实施冗余站点到站点 VPN 隧道来实现弹性需求。它使用两条隧道来帮助确保连接性，以防其中一个站点到站点 VPN 连接不可用。为防止在客户网关不可用的情况下断开连接，您可以使用第二个客户网关为您的 Amazon Virtual Private Cloud (Amazon VPC) 和虚拟私有网关建立第二个站点到站点 VPN 连接。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays（配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据 AWS 备份流程，请确保您的 Backup 恢复点设置了最短保留期。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredRetentionDays （配置默认值：35）参数。实际值应反映贵组织的需求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time 恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | Amazon Elastic Block Store (Amazon EBS) 中的优化实例为 Amazon EBS I/O 操作提供了额外的专用容量。这种优化通过最大限度减少 Amazon EBS I/O 操作与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon FSx 文件系统。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | 为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 每八小时或每 5 GB 为每个数据更改节点（或以先到者为准）拍摄一次快照。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | Amazon Simple Storage Service (Amazon S3) 跨区域复制 (CRR) 支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。 | |
| 17. 存档 | 数据可能会被存档。应检查这些数据的可访问性、可读性和完整性。如果要对系统（例如计算机设备或程序）进行相关更改，则应确保并测试检索数据的能力。 | Amazon Simple Storage Service (Amazon S3) 存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。 |
模板
该模板可在以下网址获得 GitHub：GxP 运营最佳实践欧盟附录 11
