SEC01-BP05 缩小安全管理范围 - AWS Well-Architected 框架
实施指导资源

SEC01-BP05 缩小安全管理范围

确定是否可以使用 AWS 服务，将某些控制措施的管理工作转移给 AWS（托管服务），从而缩小安全管理范围。这些服务有助于减少安全维护任务，例如基础设施预置、软件设置、修补或备份。

期望结果：在为工作负载选择 AWS 服务时考虑到安全管理工作的范围。在应该考虑的其他 Well-Architected 注意事项之外，将管理开销和维护任务的成本（总拥有成本，简称 TCO）与您所选择服务的成本进行权衡。在控制措施评估和验证流程中，可以结合考虑 AWS 的控制和合规性文档。

常见反模式：

  • 在部署工作负载时，未充分了解所选服务的责任共担模式。

  • 在虚拟机上托管数据库和其他技术，但没有评估具备相同功能的托管服务。

  • 在与托管服务方案对比时，虚拟机上托管技术的总拥有成本中没有包括安全管理任务。

建立此最佳实践的好处：使用托管服务可以减轻管理运营安全控制措施的整体负担，从而降低您的安全风险和总拥有成本。原本会用在某些安全任务上的时间，可以重新投入到能够为业务创造更多价值的任务上。托管服务还可以将一些控制要求转移给 AWS，从而减少您为满足合规性要求的工作范围。

在未建立这种最佳实践的情况下暴露的风险等级：中

实施指导

您可以通过多种方式将工作负载的组件集成到 AWS 上。如果您在 Amazon EC2 实例上安装和运行各种技术服务，那么在总体安全责任中，通常需要承担更大的份额。为了减轻运营某些控制措施的负担，请找出可以减少您在责任共担模式中所承担责任范围的 AWS 托管服务，并了解如何在现有架构中使用这些服务。例如，使用 Amazon Relational Database Service（Amazon RDS）部署数据库，使用 Amazon Elastic Kubernetes Service（Amazon EKS）或 Amazon Elastic Container Service（Amazon ECS）编排容器，或者使用无服务器方案。在构建新应用程序时，请仔细考虑哪些服务有助于减少实施和管理安全控制措施的时间及成本。

在选择服务时，合规性要求也可能是需要考虑的因素之一。托管服务可以将一些合规性要求转移给 AWS。请与合规团队讨论，了解他们对审核您所运营和管理的服务各个方面的满意程度，以及接受相关 AWS 审核报告中控制声明的满意程度。您可以将AWS Artifact 中的审核构件提供给审核人员或监管机构，作为 AWS 安全控制措施的证据。您还可以使用一些 AWS 审核构件提供的责任指导，并结合 AWS Customer Compliance Guides 来设计架构。这些指导可以让您了解到，为了支持系统的具体应用场景，您还应落实的其他安全控制措施。

使用托管服务时，您需要熟悉将这些服务的资源更新到新版本的过程（例如，更新 Amazon RDS 管理的数据库版本，或者更新 AWS Lambda 函数的编程语言运行时）。尽管托管服务可能会为您执行此操作，但配置更新时间以及了解这些更新会对您的运营产生何种影响，仍然是您的责任。您可以利用 AWS Health 等工具在整个环境中跟踪和管理这些更新。

实施步骤

  1. 评估工作负载中可以用托管服务取代的组件。

    1. 如果您将工作负载迁移到 AWS，则在评测是要重新托管、重构、更换平台、重新构建还是更换工作负载时，请考虑减少的管理工作（时间和开支）和降低的风险。从长远来看，在迁移开始时进行额外的投入，有时可以节省大量资金。

  2. 请考虑实施 Amazon RDS 等托管服务，而不是安装和管理自己的技术部署。

  3. 使用 AWS Artifact 中的责任指导来帮助确定应针对工作负载采取的安全控制措施。

  4. 记录所使用资源的清单，及时了解新的服务和方法，以便发现减少责任范围的新机会。

资源

相关最佳实践：

相关文档：

相关工具：

相关视频：