了解 AWS Audit Manager 概念和術語

您可以使用 Audit Manager 評估來自動收集與稽核相關的證據。

評估是以架構為基礎，架構是與稽核相關的一組控制項。您可以從標準架構或自訂架構建立評估。標準架構包含支援特定合規標準或法規的預建控制集。相反地，自訂架構包含的控制項可讓您根據特定稽核需求自訂和分組。使用架構作為起點，您可以建立指定 AWS 帳戶 您想要包含在稽核範圍內的項目。

當您建立評估時，Audit Manager 會自動開始評估 AWS 帳戶 基於框架中定義的控件。接著，收集相關證據並將其轉換為易於稽核的格式。執行此操作後，它會將證據附加到評估中的控制項中。當需要進行稽核時，您或您選擇的委派代表可以檢閱收集的證據，然後將其新增至評估報告中。此評估報告可協助您證明您的控制項如期運作。

證據收集程序為持續過程，會在您建立評估時開始。您可以將評估狀態變更為非作用中，以停止證據收集。或者，您可以在控制層級停止證據收集。您可以將評估中的特定控制項狀態變更為非作用中來執行此操作。

如需有關建立與管理評估的說明，請參閱 在 中管理評估 AWS Audit Manager。

評估報告是由 Audit Manager 評估產生的最終文件。這些報告為您總結稽核收集的相關證據。它們連結到相關證據文件夾。資料夾會根據評估中所指定的控制項來命名和組織。對於每項評估，您可以檢閱 Audit Manager 收集的證據，並決定要在評估報告中包含哪些證據。

如需進一步了解評估報告，請參閱 評估報告。如需了解如何產生評估報告，請參閱 在 中準備評估報告 AWS Audit Manager。

評估報告目的地是 Audit Manager 儲存您的評估報告的預設 S3 儲存貯體。如需進一步了解，請參閱 設定您的預設評估報告目標。

稽核是對您組織的資產、營運或業務完整性進行獨立檢查。資訊技術 (IT) 稽核會特別檢查組織資訊系統內的控制項。IT 稽核的目標是判斷資訊系統是否保護資產並有效運作，以及維護資料完整性。所有這些對於滿足合規標準或法規規定的監管要求至關重要。

稽核擁有者一詞會根據前後關聯性而有兩種不同的意義。

在 Audit Manager 的前後關聯性中，稽核擁有者是管理評估及其相關資源的使用者或角色。此 Audit Manager 角色的職責包括建立評估、檢閱證據以及產生評估報告。Audit Manager 是一項協作服務，當其他利益關係者參與其評估時，稽核擁有者將受益匪淺。例如，您可以將其他稽核擁有者新增至您的評估，以共享管理任務。或者，如果您是稽核擁有者，且需要協助解譯為控制項所收集的證據，您可以將該控制集委派給在該領域擁有專業知識的利益關係者。這樣的人被稱為委派代表角色。

在商業術語中，稽核擁有者是協調和監督其公司的稽核準備工作，並向稽核人員提供證據的人。通常，這是一名治理、風險和法規遵循 (GRC) 專業人員，例如合規官或GDPR資料保護官。GRC專業人士擁有管理審計準備的專業知識和權力。具體來說，他們了解合規需求，並可以分析、解譯和準備報告資料。不過，其他業務角色也可以假設稽核擁有者的稽核管理員角色，不僅GRC專業人員會擔任此角色。例如，您可以選擇由以下團隊之一的技術專家進行設定和管理 Audit Manager 評估：

您在 Audit Manager 評估中，選擇指定誰作為稽核擁有者，這很大程度上取決於您的組織。這同時取決於您如何架構安全性作業，以及其稽核細節。在 Audit Manager 中，同一個人可以在一項評估中擔任稽核擁有者角色，在另一個評估中擔任委派代表角色。

無論您選擇如何使用 Audit Manager，都可以使用稽核擁有者/委派人物角色管理整個組織的職責分離，並將特定IAM策略授與每位使用者。透過這兩個步驟的方法，Audit Manager 可確保您完全掌控個別評估的所有細節。如需詳細資訊，請參閱 中的使用者角色建議政策 AWS Audit Manager。

同時 AWS 託管來源是證據來源 AWS 為您維護。

每個 AWS Managed source 是預先定義的資料來源群組，可對應至特定的通用控制項或核心控制項。當您使用通用控制項做為證據來源時，您會自動收集支援該通用控制項的所有核心控制項的證據。您也可以使用個別核心控制項做為證據來源。

每當一個 AWS 受管理的來源已更新，相同的更新會自動套用至使用該控制項的所有自訂控制項 AWS 受管理的來源。這表示您的自訂控制項會針對該證據來源的最新定義收集證據。這可協助您確保在雲端合規環境變更時持續遵循法規遵循。

另請參閱：customer managed source、evidence source。

Audit Manager 會針對評估中的每個控制項追蹤該控制項的使用者活動。您可以檢閱與特定控制項相關之活動的稽核記錄。如需有關在變更記錄檔中擷取哪些使用者活動的詳細資訊，請參閱Changelog 索引標籤。

雲端合規是雲端交付的系統必須符合雲端客戶所面臨的標準的一般原則。

請參閱 control。

合規監管是由當局規定的法律、規則或其他命令，通常用於規範行為。其中一個例子是GDPR。

合規標準是一套結構化的準則，詳細說明組織維持與既定法規、規範或立法一致的過程。範例包括PCIDSS和HIPAA。

控制項是為資訊系統或組織規定的保護或對策。控制項旨在保護您資訊的機密性、完整性和可用性，並符合一組定義的要求。它們可確保您的資源如預期運作、資料可靠，而且您的組織遵守適用的法律和法規。

在 Audit Manager 中，控制項還可以代表供應商風險評估問卷中的一個問題。在這種情況下，控制項是一個特定的問題，詢問有關組織的安全性和合規性狀況的資訊。

控制項會在 Audit Manager 評估中處於有效狀態時持續收集證據。您也可以手動將證據新增至任何控制項。每個證據都是一條記錄，可幫助您證明是否符合控制項的要求。

Audit Manager 提供下列類型的控制項：

您可以將控制網域視為控制項類別，這些控制項並非特定於任何規範標準。控制網域的一個範例是資料保護。

出於簡單的組織目的，控制項通常依網域分組。每個網域都有多個目標。

控制項網域群組是 Audit Manager 儀表板最強大的功能之一。Audit Manager 會強調顯示評估中具有不合規證據的控制項，並依控制項網域進行分組。這可讓您在準備稽核時，將修復工作集中在特定主題領域上。

控制目標描述了落在其下方的共同控制項的目標。每個目標都可以有多個共同的控制項。如果這些通用控制項已成功實作，它們會協助您達成目標。

每個控制目標都屬於控制域之下。例如，資料保護控制網域可能具有名為「資料分類和處理」的控制目標。若要支援此控制目標，您可以使用稱為「存取控制」的通用控制項來監控和偵測資源的未經授權存取。

請參閱 control。

請參閱 control。

客戶管理來源是您定義的證據來源。

在 Audit Manager 中建立自訂控制項時，您可以使用此選項建立您自己的個別資料來源。這使您可以靈活地從特定業務資源（例如自定義）收集自動證據 AWS Config 規則。如果您想要將手動證據新增至自訂控制項，也可以使用此選項。

當您使用客戶管理的來源時，您必須負責維護您建立的所有資料來源。

另請參閱：AWS managed source、evidence source。

Audit Manager 會使用資料來源收集控制項的證據。資料來源具有下列屬性：

單一控制項可以有多個資料來源類型和多個映射項目。例如，一個控制項可能會從資料來源類型的混合中收集證據 (例如 AWS Config 和 Security Hub）。另一個控件可能有 AWS Config 作為其唯一的數據源類型，具有多個 AWS Config 規則作為映射。

下表列出自動化資料來源類型，並顯示一些映射項目的範例。

代表是一個 AWS Audit Manager 權限有限的使用者。委派代表通常在多個不同領域具備專業的業務或技術專長。例如，這些專業知識可能涵蓋資料保留政策、培訓計劃、網路基礎結構或身分管理等領域。委派代表可幫助稽核擁有者檢閱其專業領域內的控制項所收集到的證據。委派代表可以檢閱控制集及其相關證據，以及新增評論、上傳其他證據，並更新您指派給他們檢閱的各控制項狀態。

稽核擁有者會指派特定控制集給委派代表，而非整個評估。因此，委派代表對評估的存取權限有限。如需關於委派控制集的說明，請參閱 中的代表團 AWS Audit Manager。

證據是包含證明是否符合控制項要求所需資訊的記錄。證據的範例包括使用者調用的變更活動，以及系統組態快照集。

Audit Manager 中主要分為兩種證據類型：自動化證據和手動證據。

自動化證據收集會在您建立評估時啟動。這是一個持續的程序，Audit Manager 會根據證據類型和基礎資料來源，以不同的頻率收集證據。如需詳細資訊，請參閱了解如何 AWS Audit Manager 收集證據。

如需關於檢閱評估中證據的說明，請參閱在 中檢閱證據 AWS Audit Manager。

證據來源定義控制項從何處收集證據。它可以是個別資料來源，也可以是對應至通用控制項或核心控制項的預先定義資料來源群組。

建立自訂控制項時，您可以從中收集證據 AWS 受管理來源、客戶管理來源，或兩者兼而有之。

另請參閱：AWS managed source、customer managed source。

控制項可以透過兩種方式收集證據。

匯出目的地是預設 S3 儲存貯體，Audit Manager 會儲存您從證據搜尋工具匯出的檔案。如需詳細資訊，請參閱設定證據搜尋器的預設匯出目的地。

Audit Manager 架構會針對特定標準或風險治理原則，建構並自動化評估。這些框架包括一系列預先構建或客戶定義的控件，它們可以幫助您映射 AWS 這些控制項需求的資源。

Audit Manager 中有兩種類型的架構。

如需有關建立與管理架構的說明，請參閱 使用框架庫來管理框架 AWS Audit Manager。

您可以使用該共享自定義框架 AWS Audit Manager功能快速共享您的自定義框架 AWS 帳戶 和地區。如果共享自訂架構，您可以建立共享要求。接著收件者有 120 天的時間接受或拒絕要求。當他們接受時，Audit Manager 會將共享的自訂架構複寫到其架構程式庫中。除了複寫自訂架構之外，Audit Manager 也會複寫該架構中包含的所有自訂控制集和控制項。這些自訂控制項會新增至收件者的控制項程式庫。Audit Manager 不會複寫標準架構或控制項。這是因為這些資源在每個帳戶和區域中，已預設為可用。

資源是在稽核中評估的實體或資訊資產。的例子 AWS 資源包括 Amazon EC2 實例，Amazon RDS 實例，Amazon S3 存儲桶和 Amazon VPC 子網。

資源評估是評估個別資源的程序。此評估基於控制項的需求。當評估處於有效狀態時，Audit Manager 會針對評估範圍內的每個獨立資源執行資源評估。資源評估會執行下列任務：

資源合規性是指在收集合規檢查證據時，對資源進行評估的狀態。

Audit Manager 會針對使用的控制項收集符合性檢查 AWS Config 和 Security Hub 作為數據源類型。證據收集期間，可能會評估多個資源。因此，單一合規檢查證據可以包含一或多個資源。

您可以使用證據搜尋工具中的資源合規性篩選器來搜索資源層級的合規狀態。搜尋完成後，您就可以預覽符合搜尋條件的資源。

在證據搜尋工具中，資源合規有三種可能的值：

稽核管理員管理哪些 AWS 服務 在您的評估範圍內。如果您有較舊的評估，可能是您過去手動指定範圍內的服務。在 2024 年 6 月 4 日之後，您無法手動指定或編輯範圍內的服務。

範圍內的服務是 AWS 服務 您的評估會收集有關的證據。當服務包含在評估範圍內時，Audit Manager 會評估該服務的資源。一些範例資源包括如下：

例如，如果 Amazon S3 是範圍內的服務，Audit Manager 可以收集有關 S3 儲存貯體的證據。收集的確切證據由控件確定data source。例如，如果資料來源類型為 AWS Config，而資料來源對映為 AWS Config 規則 (例如s3-bucket-public-write-prohibited)，Audit Manager 會收集該規則評估的結果作為證據。

請參閱 control。