的操作最佳實務 BNM RMiT

合規套件提供一般用途的合規架構，旨在讓您使用受管或自訂 AWS Config 規則和 AWS Config 修補動作來建立安全、操作或成本最佳化控管檢查。一致性套件 (作為範例範本) 並不是為了完全確保符合特定控管或合規標準而設計。您有責任自行評估服務的使用情形是否符合適用的法律和法規要求。  

以下提供 Bank Negara Malaysia (BNM) Risk Management in Technology (RMiT) 和 AWS 受管 Config 規則之間的範例映射。每個 Config 規則都適用於特定 AWS 資源，並與一或多個BNMRMiT控制項相關。BNM RMiT 控制項可以與多個 Config 規則相關。如需與這些映射相關的詳細資訊和指引，請參閱下方資料表。

控制 ID	控制描述	AWS 組態規則	指引
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	alb-http-to-https-重新導向-檢查	為了協助保護傳輸中的資料，請確定 Application Load Balancer 會自動將未加密的HTTP請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	api-gw-cache-enabled- 和加密	為了協助保護靜態資料，請確定閘道API階段快取已啟用加密。由於可以擷取該API方法的敏感資料，因此請啟用靜態加密，以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	api-gw-ssl-enabled	確保 Amazon API Gateway RESTAPI階段已使用SSL憑證設定，以允許後端系統驗證來自 API Gateway 的請求。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	backup-recovery-point-encrypted	確定已為您的 AWS 備份復原點啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。其中包括使用日誌加密、日誌驗證，以及在 AWS CloudTrail 多個區域中啟用。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	cloudwatch-log-group-encrypted	為了協助保護靜態敏感資料，請確定已為您的 Amazon CloudWatch Log Groups 啟用加密。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	cmk-backing-key-rotation已啟用	啟用金鑰輪換，以確保金鑰在加密期間結束後輪換。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	dynamodb-table-encrypted-kms	確保已針對 Amazon DynamoDB 資料表啟用加密功能。由於這些資料表中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。根據預設，DynamoDB 資料表會使用 AWS 擁有的客戶主金鑰 () 加密CMK。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確定已為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	efs-encrypted-check	由於可能存在敏感資料，且為了協助保護靜態資料，請確保為您的 Amazon Elastic File System () 啟用加密EFS。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	elbv2-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 AWS Certificate Manager 來管理、佈建和部署具有 AWS 服務和內部資源的公有和私有SSL/TLS憑證。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	encrypted-volumes	由於敏感資料可能存在，並有助於保護靜態資料，因此請確保為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	kms-cmk-not-scheduled-for-deletion	為了協助保護靜態資料，請確保不會在 AWS Key Management Service (CMKs) 中排定刪除必要的客戶主金鑰 ()AWS KMS。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	opensearch-encrypted-at-rest	由於敏感資料可能存在，並協助保護靜態資料，因此請確定已為您的 Amazon OpenSearch Service 網域啟用加密。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	opensearch-https-required	由於敏感資料可能存在，並協助保護傳輸中的資料，因此請確保 HTTPS 已啟用連線至 Amazon OpenSearch Service 網域。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	opensearch-node-to-node-加密-檢查	確保 node-to-node已啟用 Amazon OpenSearch Service 的加密。 Node-to-node加密會啟用 TLS Amazon Virtual Private Cloud (Amazon) 內所有通訊的 1.2 加密VPC。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	rds-snapshot-encrypted	請確定您的 Amazon Relational Database Service (Amazon RDS) 快照已啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	rds-storage-encrypted	為了協助保護靜態資料，請確定已為您的 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密。由於 Amazon RDS執行個體中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則需要為 clusterDbEncrypted （組態預設：TRUE) 和 loggingEnabled （組態預設：) 設定值TRUE。實際值應反映貴組織的政策。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	redshift-cluster-kms-enabled	為了協助保護靜態資料，請確定您的 Amazon Redshift 叢集已啟用 AWS Key Management Service (AWS KMS) 加密。由於 Redshift 叢集中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	redshift-require-tls-ssl	確保您的 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線至SQL用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	bucket-server-side-encryption啟用 s3	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	s3-bucket-ssl-requests-only	為了協助保護傳輸中的資料，請確保您的 Amazon Simple Storage Service (Amazon S3) 儲存貯體需要請求才能使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	s3-default-encryption-kms	確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	sagemaker-endpoint-configuration-kms-key-configed	為了協助保護靜態資料，請確保已為您的 SageMaker 端點啟用使用 AWS Key Management Service (AWS KMS) 加密。由於 SageMaker 端點中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	sagemaker-notebook-instance-kms-key-configed	為了協助保護靜態資料，請確保已為您的 SageMaker 筆記本啟用使用 AWS Key Management Service (AWS KMS) 加密。由於 SageMaker 筆記本中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	secretsmanager-using-cmk	為了協助保護靜態資料，請確定已啟用 AWS Secrets Manager 秘密的 AWS 金鑰管理服務 (AWS KMS) 加密。由於 Secrets Manager 密碼中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.18	金融機構必須進行盡職調查，並評估與所用技術相關聯的密碼編譯控制，以便保護資訊的機密性、完整性、驗證、授權和不可否認性。如果金融機構未產生自己的加密金鑰，則金融機構應採取適當的措施，以確保具備管理加密金鑰的可靠控制和流程。如果這涉及對第三方評估的依賴，金融機構應考慮這種依賴是否符合金融機構的風險偏好和承受能力。金融機構還必須適當考慮支援密碼編譯控制所需的系統資源，以及降低已加密資料網路流量可見性的風險。	sns-encrypted-kms	為了協助保護靜態資料，請確定您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用 AWS Key Management Service () 進行加密AWS KMS。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.20	金融機構應根據適當的風險層級，將公有密碼編譯金鑰儲存在由憑證授權機構發行的憑證中。與客戶相關聯的憑證須由認可的憑證授權機構發行。金融機構必須確保使用此憑證的驗證和簽章通訊協定實作受到強大保護，以確保所使用對應至使用者憑證的私有密碼編譯金鑰具有法律約束力且不可否認。此憑證的首次發行和後續續約必須與業界最佳實務和適用的法律/法規規範一致。	acm-certificate-expiration-check	確保 X509 憑證由發出，以確保網路完整性受到保護 AWS ACM。這些憑證必須有效且未過期。此規則需要 daysToExpiration (AWS 基本安全最佳實務值：90) 的值。實際值應反映貴組織的政策。
10.20	金融機構應根據適當的風險層級，將公有密碼編譯金鑰儲存在由憑證授權機構發行的憑證中。與客戶相關聯的憑證須由認可的憑證授權機構發行。金融機構必須確保使用此憑證的驗證和簽章通訊協定實作受到強大保護，以確保所使用對應至使用者憑證的私有密碼編譯金鑰具有法律約束力且不可否認。此憑證的首次發行和後續續約必須與業界最佳實務和適用的法律/法規規範一致。	elbv2-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 AWS Certificate Manager 來管理、佈建和部署具有 AWS 服務和內部資源的公有和私有SSL/TLS憑證。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	autoscaling-group-elb-healthcheck-必要	Amazon Elastic Compute Cloud (AmazonELB) Auto Scaling 群組的 Elastic Load Balancer (EC2) 運作狀態檢查可支援維護足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試自動擴展群組中的 Amazon EC2執行個體運作狀態。如果執行個體未回報，流量會傳送至新的 Amazon EC2執行個體。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	beanstalk-enhanced-health-reporting已啟用	AWS Elastic Beanstalk 增強型運作狀態報告可更快速回應基礎基礎設施運作狀態的變化。這些變更可能會導致應用程式缺乏可用性。Elastic Beanstalk 增強型運作狀態報告提供狀態描述項，以評估已識別問題的嚴重性，並找出可能的調查原因。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	cloudwatch-alarm-action-check	當指標違反指定數量的評估期間閾值時，Amazon CloudWatch 警示會發出警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired （組態預設值：True) insufficientDataAction、必要（組態預設值：True)、 okActionRequired （組態預設值：False) 的值。實際值應反映您環境的警示動作。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	cloud-trail-cloud-watch啟用日誌	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供內API通話活動的詳細資訊 AWS 帳戶。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定accountRCUThreshold百分比（組態預設值：80) 和accountWCUThreshold百分比（組態預設值：80) 參數。實際值應反映貴組織的政策。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	ec2-instance-detailed-monitoring-enabled	啟用此規則，以協助改善 Amazon EC2主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，此主控台會顯示具有 1 分鐘執行個體期間的監控圖表。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	lambda-concurrency-check	此規則可確保建立 Lambda 函數的並行上限和下限。這可為函數在任何指定時間服務的請求數設定基準。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	opensearch-logs-to-cloudwatch	確保 Amazon OpenSearch Service 網域已啟用錯誤日誌，並串流至 Amazon CloudWatch Logs 以進行保留和回應。 OpenSearch 服務錯誤日誌可協助安全性和存取稽核，並可協助診斷可用性問題。
10.27	金融機構必須建立即時監控機制，以追蹤關鍵流程和服務的容量使用率和效能。這些監控機制應該能夠為管理員提供及時可行的警示。	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 以協助監控 Amazon RDS可用性。這可讓您詳細了解 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS儲存體使用多個基礎實體裝置時，增強型監控會收集每個裝置的資料。此外，當 Amazon RDS 資料庫執行個體在異地同步備份部署中執行時，會收集次要主機上每個裝置的資料，以及次要主機指標。
10.34	金融機構必須確保其關鍵系統的網路服務是可靠的，並且沒有，SPOF以保護關鍵系統免受潛在的網路故障和網路威脅。	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
10.34	金融機構必須確保其關鍵系統的網路服務是可靠的，並且沒有，SPOF以保護關鍵系統免受潛在的網路故障和網路威脅。	vpc-vpn-2-tunnels-up	可以實作備援 Site-to-SiteVPN通道，以達到彈性需求。它使用兩個通道，以協助確保連線，以防其中一個 Site-to-SiteVPN連線無法使用。為了防止連線中斷，如果您的客戶閘道無法使用，您可以使用第二個 Site-to-Site客戶閘道設定與 Amazon Virtual Private Cloud (AmazonVPC) 和虛擬私有閘道的第二個VPN連線。
10.35	金融機構必須建立即時網路頻寬監控流程和對應的網路服務恢復能力指標，以標記由於頻寬擁塞和網路故障所造成的任何頻寬過度使用和系統中斷情況。這包括用於偵測趨勢和異常的流量分析。	api-gw-xray-enabled	AWS X-Ray 會收集您應用程式提供的請求相關資料，並提供工具供您用來檢視、篩選和深入了解該資料，以識別問題和最佳化的機會。確保 X-Ray 已啟用，以便您不僅可以查看請求和回應的詳細資訊，還可以查看應用程式對下游 AWS 資源、微服務、資料庫和 HTTP Web 進行的呼叫的詳細資訊APIs。
10.35	金融機構必須建立即時網路頻寬監控流程和對應的網路服務恢復能力指標，以標記由於頻寬擁塞和網路故障所造成的任何頻寬過度使用和系統中斷情況。這包括用於偵測趨勢和異常的流量分析。	cloudwatch-alarm-action-check	當指標違反指定數量的評估期間閾值時，Amazon CloudWatch 警示會發出警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired （組態預設值：True) insufficientDataAction、必要（組態預設值：True)、 okActionRequired （組態預設值：False) 的值。實際值應反映您環境的警示動作。
10.35	金融機構必須建立即時網路頻寬監控流程和對應的網路服務恢復能力指標，以標記由於頻寬擁塞和網路故障所造成的任何頻寬過度使用和系統中斷情況。這包括用於偵測趨勢和異常的流量分析。	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。確保已啟用ELB記錄。收集的資料提供有關傳送至之請求的詳細資訊ELB。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
10.35	金融機構必須建立即時網路頻寬監控流程和對應的網路服務恢復能力指標，以標記由於頻寬擁塞和網路故障所造成的任何頻寬過度使用和系統中斷情況。這包括用於偵測趨勢和異常的流量分析。	vpc-flow-logs-enabled	VPC 流程日誌提供往返 Amazon Virtual Private Cloud (Amazon ) 中網路介面之 IP 流量的詳細資訊記錄VPC。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
10.36	金融機構必須確保設計和實作支援關鍵系統的網路服務，以確保資料的機密性、完整性和可用性。	alb-http-to-https-重新導向-檢查	為了協助保護傳輸中的資料，請確定 Application Load Balancer 會自動將未加密的HTTP請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.36	金融機構必須確保設計和實作支援關鍵系統的網路服務，以確保資料的機密性、完整性和可用性。	api-gw-ssl-enabled	確保 Amazon API Gateway RESTAPI階段已使用SSL憑證設定，以允許後端系統驗證來自 API Gateway 的請求。
10.36	金融機構必須確保設計和實作支援關鍵系統的網路服務，以確保資料的機密性、完整性和可用性。	elbv2-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 AWS Certificate Manager 來管理、佈建和部署具有 AWS 服務和內部資源的公有和私有SSL/TLS憑證。
10.36	金融機構必須確保設計和實作支援關鍵系統的網路服務，以確保資料的機密性、完整性和可用性。	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
10.36	金融機構必須確保設計和實作支援關鍵系統的網路服務，以確保資料的機密性、完整性和可用性。	nlb-cross-zone-load啟用平衡功能	啟用 Network Load Balancer (NLBs) 的跨區域負載平衡，以協助維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理一或多個執行個體遺失的能力。
10.38	金融機構必須確保保留足夠且相關的網路裝置日誌至少三年，以供調查和鑑識之用。	cw-loggroup-retention-period-檢查	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	access-keys-rotated	系統會針對授權的裝置、使用者和程序稽核登入資料，確保依組織政策指定輪換IAM存取金鑰。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	account-part-of-organizations	AWS Organizations AWS 帳戶內的集中式管理有助於確保帳戶合規。缺乏集中式帳戶控管可能會導致帳戶組態不一致，這可能會公開資源和敏感資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	alb-http-to-https-重新導向-檢查	為了協助保護傳輸中的資料，請確定 Application Load Balancer 會自動將未加密的HTTP請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	api-gw-cache-enabled- 和加密	為了協助保護靜態資料，請確定已針對API閘道階段的快取啟用加密。由於可以擷取 API方法的敏感資料，因此請啟用靜態加密，以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	api-gw-ssl-enabled	確保 Amazon API Gateway RESTAPI階段已使用SSL憑證設定，以允許後端系統驗證來自 API Gateway 的請求。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	autoscaling-launch-config-public-ip-disabled	如果您使用公有 IP 地址設定網路介面，則這些網路介面的相關資源可從網際網路存取。 EC2 資源不應公開存取，因為這可能會允許意外存取您的應用程式或伺服器。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	backup-recovery-point-encrypted	確定已為您的 AWS 備份復原點啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。這包括在 AWS CloudTrail 多個區域中使用日誌加密、日誌驗證和啟用。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	cloudwatch-log-group-encrypted	為了協助保護靜態敏感資料，請確定已為您的 Amazon CloudWatch Log Groups 啟用加密。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	cmk-backing-key-rotation已啟用	啟用金鑰輪換，以確保金鑰在加密期間結束後輪換。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	dms-replication-not-public	確保複DMS寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS複寫執行個體可以包含敏感資訊，且此類帳戶需要存取控制。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	dynamodb-table-encrypted-kms	確保已針對 Amazon DynamoDB 資料表啟用加密功能。由於這些資料表中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。根據預設，DynamoDB 資料表會使用 AWS 擁有的客戶主金鑰 () 加密CMK。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	ebs-snapshot-public-restorable-檢查	透過確保EBS快照不可公開還原來管理對 AWS 雲端的存取。 EBS 磁碟區快照可能包含敏感資訊，且此類帳戶需要存取控制。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確定已為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	ec2-instance-no-public-ip	確保無法公開存取 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，藉此管理 AWS 對雲端的存取。Amazon EC2執行個體可以包含敏感資訊，且此類帳戶需要存取控制。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	efs-encrypted-check	因為敏感資料可能存在，並協助保護靜態資料，所以請確定已為您的 Amazon Elastic File System () 啟用加密EFS。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	elbv2-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 AWS Certificate Manager 來管理、佈建和部署具有 AWS 服務和內部資源的公有和私有SSL/TLS憑證。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	emr-kerberos-enabled	存取許可和授權可以透過啟用 Amazon EMR叢集的 Kerberos 來管理和納入最低權限和職責分離原則。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在領域中，Kerberos 伺服器稱為金鑰分發中心 (KDC)。其為主體提供驗證的方法。透過發出身分KDC驗證票證進行身分驗證。會在其領域內KDC維護主體的資料庫、其密碼，以及每個主體的其他管理資訊。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	emr-master-no-public-ip	確保 Amazon EMR叢集主節點無法公開存取，藉此管理對 AWS Cloud 的存取。Amazon EMR叢集主節點可以包含敏感資訊，且此類帳戶需要存取控制。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	encrypted-volumes	因為敏感資料可以存在，並協助保護靜態資料，所以請確定已為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策在所有 AWS Key Management Service 金鑰上包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。(AWS 基礎安全最佳實務值： kms:Decrypt， kms:ReEncryptFrom)。實際值應反映貴組織的政策
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-no-inline-policy-檢查	確保 AWS Identity and Access Management (IAM) 使用者、IAM角色或IAM群組沒有控制系統和資產存取的內嵌政策。 AWS 建議使用受管政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-password-policy	身分和登入資料會根據組織IAM密碼政策發出、管理和驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 的基礎安全最佳實務標準中所述的要求。此規則可讓您選擇設定IAM密碼政策AWS 的 RequireUppercaseCharacters （基本安全最佳實務值： true) RequireLowercaseCharacters 、(AWS 基本安全最佳實務值： true)、 RequireSymbols (AWS 基本安全最佳實務值： true)、 RequireNumbers (AWS 基本安全最佳實務值： true)、 MinimumPasswordLength (AWS 基本安全最佳實務值： 14)、 PasswordReusePrevention (AWS 基本安全最佳實務值： 24) 和AWS MaxPasswordAge （基本安全最佳實務值： 90)。實際值應反映貴組織的政策。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策包含「效果」：「允許」與「動作」：「」與「資源」：「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-root-access-key-檢查	檢查根使用者是否未將存取金鑰連接至其 AWS Identity and Access Management (IAM) 角色，即可控制系統和資產的存取。請確保已刪除根存取金鑰。反之，請建立和使用以角色為基礎的 AWS 帳戶，以協助整合功能最少的原則。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-user-group-membership-檢查	AWS Identity and Access Management (IAM) 可協助您限制存取許可和授權，方法是確保IAM使用者至少是一個群組的成員。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-user-mfa-enabled	啟用此規則以限制對 AWS 雲端中資源的存取。此規則可確保為IAM所有使用者啟用多重要素驗證 (MFA)。在使用者名稱和密碼之上MFA新增額外的保護層。MFA 要求 IAM使用者減少遭盜用帳戶的事件。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-user-no-policies-檢查	此規則可確保 AWS Identity and Access Management (IAM) 政策僅連接到群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	iam-user-unused-credentials-檢查	AWS Identity and Access Management (IAM) 可以透過檢查未在指定期間內使用IAM的密碼和存取金鑰，來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則需要您將值設定為 maxCredentialUsageAge (Config Default： 90)。實際值應反映貴組織的政策。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	internet-gateway-authorized-vpc僅限。	確保網際網路閘道僅連接至授權的 Amazon Virtual Private Cloud (Amazon VPC)，以管理 AWS 對雲端資源的存取。網際網路閘道允許雙向網際網路存取往返 AmazonVPC，這可能會導致對 Amazon VPC 資源的未經授權存取。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	kms-cmk-not-scheduled-for-deletion	為了協助保護靜態資料，請確保在 AWS Key Management Service (CMKs) 中未排定刪除必要的客戶主金鑰 ()AWS KMS。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	lambda-function-public-access-禁止	確保 AWS Lambda 函數無法公開存取，以管理對 AWS 雲端中資源的存取。公開存取可能會導致資源可用性降低。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	lambda-inside-vpc	在 Amazon Virtual Private Cloud (Amazon VPC) 內部署 AWS Lambda 函數，以在 Amazon 內的函數和其他服務之間進行安全通訊VPC。使用此組態時，不需要網際網路閘道、NAT裝置或VPN連線。所有流量都會安全地保留在 AWS 雲端內。由於其邏輯隔離，與使用公有端點的網域相比，位於 Amazon 內的網域VPC具有額外的安全層。若要正確管理存取，應將 AWS Lambda 函數指派給 VPC。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	no-unrestricted-route-to-igw	確保 Amazon EC2路由表沒有無限制的網際網路閘道路由。移除或限制 Amazon 內工作負載對網際網路的存取，VPCs可以減少您環境內的意外存取。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	opensearch-encrypted-at-rest	因為敏感資料可以存在，並協助保護靜態資料，所以請確定已為您的 Amazon OpenSearch Service 網域啟用加密。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	opensearch-https-required	由於敏感資料可能存在，並協助保護傳輸中的資料，因此請確保 HTTPS 已啟用與您的 Amazon OpenSearch Service 網域的連線。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	opensearch-in-vpc-only	確保 Amazon OpenSearch Service 網域位於 Amazon Virtual Private AWS Cloud (Amazon VPC) 內，以管理對雲端的存取。 Amazon Virtual Private Cloud Amazon 內的 Amazon OpenSearch Service 網域VPC可讓 Amazon OpenSearch Service 與 Amazon 內的其他服務之間進行安全通訊，VPC而不需要網際網路閘道、NAT裝置或VPN連線。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	opensearch-node-to-node-加密-檢查	確保 node-to-node已啟用 Amazon OpenSearch Service 的加密。 Node-to-node加密會啟用 TLS Amazon Virtual Private Cloud (Amazon) 內所有通訊的 1.2 加密VPC。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	rds-instance-public-access-檢查	確保 Amazon Relational Database Service (Amazon RDS) 執行個體不公開，以管理對 AWS 雲端資源的存取。Amazon RDS 資料庫執行個體可以包含敏感資訊，且此類帳戶需要原則和存取控制。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	rds-snapshots-public-prohibited	確保 Amazon Relational Database Service (Amazon RDS) 執行個體不公開，以管理對 AWS 雲端資源的存取。Amazon RDS 資料庫執行個體可以包含敏感資訊和原則，且此類帳戶需要存取控制。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	rds-snapshot-encrypted	請確定已為您的 Amazon Relational Database Service (Amazon RDS) 快照啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	rds-storage-encrypted	為了協助保護靜態資料，請確定已為您的 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密。由於 Amazon RDS執行個體中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則需要為 clusterDbEncrypted （組態預設值：TRUE) 和 loggingEnabled （組態預設值：) 設定值TRUE。實際值應反映貴組織的政策。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	redshift-cluster-kms-enabled	為了協助保護靜態資料，請確定已為您的 Amazon Redshift 叢集啟用使用 AWS Key Management Service (AWS KMS) 的加密。由於 Redshift 叢集中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	redshift-cluster-public-access-檢查	確保 Amazon Redshift 叢集不公開，以管理對 AWS 雲端資源的存取。Amazon Redshift 叢集可能包含敏感資訊和原則，此類帳戶需要原則和存取控制。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	redshift-enhanced-vpc-routing已啟用	增強型VPC路由會強制叢集COPY和資料儲存庫之間的所有和UNLOAD流量通過您的 Amazon VPC。然後，您可以使用安全群組和網路存取控制清單等VPC功能來保護網路流量。您也可以使用VPC流程日誌來監控網路流量。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	redshift-require-tls-ssl	確保您的 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線至SQL用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	root-account-hardware-mfa已啟用	確保為根使用者MFA啟用硬體，以管理對 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	root-account-mfa-enabled	確保 MFA 已為根使用者啟用，以管理對 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	s3-account-level-public-access-blocks-periodic	確保無法公開存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理對 AWS 雲端資源的存取。此規則可透過防止公開存取，避免未經授權的遠端使用者存取敏感資料。此規則可讓您選擇性地設定 ignorePublicAcls （組態預設值：True)、 blockPublicPolicy （組態預設值：True)、 blockPublicAcls （組態預設值：True) 和 restrictPublicBuckets 參數（組態預設值：True)。實際值應反映貴組織的政策。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	s3-bucket-public-read-prohibited	僅允許授權使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理對 AWS 雲端資源的存取。存取管理應與資料的分類一致。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	s3-bucket-public-write-prohibited	僅允許授權使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理對 AWS 雲端資源的存取。存取管理應與資料的分類一致。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	bucket-server-side-encryption啟用 s3	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	s3-bucket-ssl-requests-only	為了協助保護傳輸中的資料，請確保您的 Amazon Simple Storage Service (Amazon S3) 儲存貯體需要請求才能使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	s3-default-encryption-kms	確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	sagemaker-endpoint-configuration-kms-key-configed	為了協助保護靜態資料，請確保已為您的 SageMaker 端點啟用使用 AWS Key Management Service (AWS KMS) 加密。由於 SageMaker 端點中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	sagemaker-notebook-instance-kms-key-configed	為了協助保護靜態資料，請確保已為您的 SageMaker 筆記本啟用使用 AWS Key Management Service (AWS KMS) 的加密。由於 SageMaker 筆記本中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	sagemaker-notebook-no-direct- 網際網路存取	確保 Amazon SageMaker 筆記本不允許直接網際網路存取，以管理對 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	sns-encrypted-kms	為了協助保護靜態資料，請確定您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用 AWS Key Management Service () 進行加密AWS KMS。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	ssm-document-not-public	確保 AWS Systems Manager (SSM) 文件不公開，因為這可能會允許意外存取您的SSM文件。公有SSM文件可能會公開您的帳戶、資源和內部程序的相關資訊。
10.51	金融機構在使用雲端服務時，必須為客戶和交易對手資訊和專屬資料實作適當的保護措施，以防止未經授權的洩漏和存取。這應該包括保留託管在雲端上之所有客戶專屬資料以及交易對手資訊、專屬資料和服務的擁有權、控制權和管理權，包括相關的密碼編譯金鑰管理。	subnet-auto-assign-public-ip-disabled	確保不會自動指派公有 IP 地址給 Amazon Virtual Private Cloud (VPC) 子網路，藉此管理 AWS 對雲端的存取。在已啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，其主要網路介面會獲指派公有 IP 地址。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	access-keys-rotated	系統會針對授權的裝置、使用者和程序稽核登入資料，確保依組織政策指定輪換IAM存取金鑰。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	account-part-of-organizations	AWS Organizations AWS 帳戶內的集中式管理有助於確保帳戶合規。缺乏集中式帳戶控管可能會導致帳戶組態不一致，這可能會公開資源和敏感資料。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	ec2-instance-profile-attached	EC2 執行個體描述檔會將 IAM角色傳遞至 EC2執行個體。將執行個體設定檔連接到執行個體可協助管理最低權限和許可。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	emr-kerberos-enabled	存取許可和授權可以透過啟用 Amazon EMR叢集的 Kerberos 來管理和納入最低權限和職責分離原則。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在領域中，Kerberos 伺服器稱為金鑰分發中心 (KDC)。其為主體提供驗證的方法。透過發出身分KDC驗證票證進行身分驗證。會在其領域內KDC維護主體的資料庫、其密碼，以及有關每個主體的其他管理資訊。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策在所有 AWS Key Management Service 金鑰上包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。(AWS 基礎安全最佳實務值： kms:Decrypt， kms:ReEncryptFrom)。實際值應反映貴組織的政策
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-no-inline-policy-檢查	確保 AWS Identity and Access Management (IAM) 使用者、IAM角色或IAM群組沒有控制系統和資產存取的內嵌政策。 AWS 建議使用受管政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-password-policy	身分和登入資料會根據組織IAM密碼政策發出、管理和驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 的基礎安全最佳實務標準中所述的要求。此規則可讓您選擇設定IAM密碼政策AWS 的 RequireUppercaseCharacters （基本安全最佳實務值： true) RequireLowercaseCharacters 、(AWS 基本安全最佳實務值： true)、 RequireSymbols (AWS 基本安全最佳實務值： true)、 RequireNumbers (AWS 基本安全最佳實務值： true)、 MinimumPasswordLength (AWS 基本安全最佳實務值： 14)、 PasswordReusePrevention (AWS 基本安全最佳實務值： 24) 和AWS MaxPasswordAge （基本安全最佳實務值： 90)。實際值應反映貴組織的政策。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策包含「效果」：「允許」與「動作」：「」與「資源」：「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-root-access-key-檢查	檢查根使用者是否未將存取金鑰連接至其 AWS Identity and Access Management (IAM) 角色，即可控制系統和資產的存取。請確保已刪除根存取金鑰。反之，請建立和使用以角色為基礎的 AWS 帳戶，以協助整合功能最少的原則。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-user-group-membership-檢查	AWS Identity and Access Management (IAM) 可確保IAM使用者至少為一個群組的成員，以協助您限制存取許可和授權。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-user-mfa-enabled	啟用此規則以限制對 AWS 雲端中資源的存取。此規則可確保為IAM所有使用者啟用多重要素驗證 (MFA)。在使用者名稱和密碼之上MFA新增額外的保護層。MFA 要求 IAM使用者減少遭盜用帳戶的事件。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	iam-user-no-policies-檢查	此規則可確保 AWS Identity and Access Management (IAM) 政策僅連接到群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題。	iam-user-unused-credentials-檢查	AWS Identity and Access Management (IAM) 可以透過檢查未在指定期間內使用IAM的密碼和存取金鑰，來協助您取得存取許可和授權。如果識別出這些未使用的憑證，建議您停用和/或移除憑證，因為這可能會違反最低權限的原則。此規則需要您將值設定為 maxCredentialUsageAge (Config Default： 90)。實際值應反映貴組織的政策。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	root-account-hardware-mfa已啟用	確保為根使用者MFA啟用硬體，以管理對 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.52	金融機構必須實作適當的存取控制政策，以識別、身分驗證和授權使用者（第三方服務供應商等內部和外部使用者）。這必須同時解決與未經授權存取其技術系統之風險層級相符的邏輯和實體技術存取控制問題	root-account-mfa-enabled	確保 MFA 已為根使用者啟用，以管理對 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.53(b)(h)(i)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權限，或只授予合法使用者執行其角色的最低足夠許可的 'need-to-have'；(h) 限制和控制跨多個使用者共用使用者 ID 和密碼；以及 (i) 控制一般使用者 ID 命名慣例的使用，以更有利個人識別IDs。	iam-root-access-key-檢查	檢查根使用者是否未將存取金鑰連接至其 AWS Identity and Access Management (IAM) 角色，即可控制系統和資產的存取。請確保已刪除根存取金鑰。反之，請建立和使用以角色為基礎的 AWS 帳戶，以協助整合功能最少的原則。
10.53(b)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權，或根據「need-to-have」，其中只授予合法使用者執行其角色的最低足夠許可；	ec2-instance-profile-attached	EC2 執行個體描述檔會將 IAM角色傳遞至 EC2執行個體。將執行個體設定檔連接到執行個體可協助管理最低權限和許可。
10.53(b)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權，或根據「need-to-have」，其中只授予合法使用者執行其角色的最低足夠許可；	emr-kerberos-enabled	存取許可和授權可以透過啟用 Amazon EMR叢集的 Kerberos 來管理和納入最低權限和職責分離原則。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在領域中，Kerberos 伺服器稱為金鑰分發中心 (KDC)。其為主體提供驗證的方法。透過發出身分KDC驗證票證進行身分驗證。會在其領域內KDC維護主體的資料庫、其密碼，以及有關每個主體的其他管理資訊。
10.53(b)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權，或根據「need-to-have」，其中只授予合法使用者執行其角色的最低足夠許可；	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策在所有 AWS Key Management Service 金鑰上包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。(AWS 基礎安全最佳實務值： kms:Decrypt， kms:ReEncryptFrom)。實際值應反映貴組織的政策
10.53(b)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權，或根據「need-to-have」，其中只授予合法使用者執行其角色的最低足夠許可；	iam-no-inline-policy-檢查	確保 AWS Identity and Access Management (IAM) 使用者、IAM角色或IAM群組沒有控制系統和資產存取的內嵌政策。 AWS 建議使用受管政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。
10.53(b)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權，或根據「need-to-have」，其中只授予合法使用者執行其角色的最低足夠許可；	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策包含「效果」：「允許」與「動作」：「」與「資源」：「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.53(b)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權，或根據「need-to-have」，其中只授予合法使用者執行其角色的最低足夠許可；	iam-user-group-membership-檢查	AWS Identity and Access Management (IAM) 可確保IAM使用者至少為一個群組的成員，以協助您限制存取許可和授權。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.53(b)	在觀察第 10.52 段時，金融機構應考慮其存取控制政策中的下列原則：(b) 使用「最低權限」存取權，或根據「need-to-have」，其中只授予合法使用者執行其角色的最低足夠許可；	iam-user-no-policies-檢查	此規則可確保 AWS Identity and Access Management (IAM) 政策僅連接到群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
10.53(c)(f)	在遵守第 10.52 項時，金融機構應考慮將以下原則納入其存取控制政策：(c) 採用有時限的存取權限，限制在特定時段內進行存取 (包括授予服務供應商的存取權限)；(f) 對關鍵活動 (包括遠端存取) 採用更強大的驗證	iam-password-policy	身分和登入資料會根據組織IAM密碼政策發出、管理和驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 的基礎安全最佳實務標準中所述的要求。此規則可讓您選擇設定IAM密碼政策AWS 的 RequireUppercaseCharacters （基本安全最佳實務值： true) RequireLowercaseCharacters 、(AWS 基本安全最佳實務值： true)、 RequireSymbols (AWS 基本安全最佳實務值： true)、 RequireNumbers (AWS 基本安全最佳實務值： true)、 MinimumPasswordLength (AWS 基本安全最佳實務值： 14)、 PasswordReusePrevention (AWS 基本安全最佳實務值： 24) 和AWS MaxPasswordAge （基本安全最佳實務值： 90)。實際值應反映貴組織的政策。
10.53(f)(h)	在遵守第 10.52 項時，金融機構應考慮將以下原則納入其存取控制政策：(f) 對關鍵活動 (包括遠端存取) 採用更強大的驗證；(h) 限制及控制多位使用者共用使用者 ID 和密碼	iam-user-mfa-enabled	啟用此規則以限制對 AWS 雲端中資源的存取。此規則可確保為IAM所有使用者啟用多重要素驗證 (MFA)。在使用者名稱和密碼之上MFA新增額外的保護層。MFA 要求 IAM使用者減少遭盜用帳戶的事件。
10.53(f)(h)	在遵守第 10.54 項時，金融機構應考慮將以下原則納入其存取控制政策：(f) 對關鍵活動 (包括遠端存取) 採用更強大的驗證；(h) 限制及控制多位使用者共用使用者 ID 和密碼	root-account-hardware-mfa已啟用	確保為根使用者MFA啟用硬體，以管理對 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.53(f)(h)	在遵守第 10.54 項時，金融機構應考慮將以下原則納入其存取控制政策：(f) 對關鍵活動 (包括遠端存取) 採用更強大的驗證；(h) 限制及控制多位使用者共用使用者 ID 和密碼	root-account-mfa-enabled	確保 MFA 已為根使用者啟用，以管理對 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.54	金融機構必須採用強大的驗證程序，以確保使用中身分的真確性。身分驗證機制應與函數的嚴重性相符，並至少採用這三個基本身分驗證因素中的一或多個，即使用者知道的事物（例如密碼、PIN)、使用者擁有的事物（例如智慧卡、安全裝置）和使用者所擁有的事物（例如生物特徵，例如指紋或視網膜模式）。	iam-user-mfa-enabled	啟用此規則以限制對 AWS 雲端中資源的存取。此規則可確保為IAM所有使用者啟用多重要素驗證 (MFA)。在使用者名稱和密碼之上MFA新增額外的保護層。MFA 要求 IAM使用者減少遭盜用帳戶的事件。
10.54	金融機構必須採用強大的驗證程序，以確保使用中身分的真確性。身分驗證機制應與函數的嚴重性相符，並至少採用這三個基本身分驗證因素中的一或多個，即使用者知道的事物（例如密碼、PIN)、使用者擁有的事物（例如智慧卡、安全裝置）和使用者所擁有的事物（例如生物特徵，例如指紋或視網膜模式）。	root-account-hardware-mfa已啟用	確保為根使用者MFA啟用硬體，以管理對 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.54	金融機構必須採用強大的驗證程序，以確保使用中身分的真確性。身分驗證機制應與函數的嚴重性相符，並至少採用這三個基本身分驗證因素中的一或多個，即使用者知道的事物（例如密碼、PIN)、使用者擁有的事物（例如智慧卡、安全裝置）和使用者所擁有的事物（例如生物特徵，例如指紋或視網膜模式）。	root-account-mfa-enabled	確保 MFA 已為根使用者啟用，以管理對 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.55	金融機構應定期審查和調整其密碼實務，以更有彈性地應對不斷進化的攻擊。這包括有效且安全地產生密碼。必須有適當的控制措施來檢查所建立密碼的強度。	iam-password-policy	身分和登入資料會根據組織IAM密碼政策發出、管理和驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 的基礎安全最佳實務標準中所述的要求。此規則可讓您選擇設定IAM密碼政策AWS 的 RequireUppercaseCharacters （基本安全最佳實務值： true) RequireLowercaseCharacters 、(AWS 基本安全最佳實務值： true)、 RequireSymbols (AWS 基本安全最佳實務值： true)、 RequireNumbers (AWS 基本安全最佳實務值： true)、 MinimumPasswordLength (AWS 基本安全最佳實務值： 14)、 PasswordReusePrevention (AWS 基本安全最佳實務值： 24) 和AWS MaxPasswordAge （基本安全最佳實務值： 90)。實際值應反映貴組織的政策。
10.56	依賴多個要素的驗證方法通常比單一要素系統更難入侵。有鑑於此，我們鼓勵金融機構正確設計和實作（特別是在高風險或「單一登入」系統中）多因素身分驗證 (MFA)，這些驗證更可靠，並提供更強大的詐騙手段	iam-user-mfa-enabled	啟用此規則以限制對 AWS 雲端中資源的存取。此規則可確保為IAM所有使用者啟用多重要素驗證 (MFA)。在使用者名稱和密碼之上MFA新增額外的保護層。MFA 要求 IAM使用者減少遭盜用帳戶的事件。
10.56	依賴多個要素的驗證方法通常比單一要素系統更難入侵。有鑑於此，我們鼓勵金融機構正確設計和實作（特別是在高風險或「單一登入」系統中）多因素身分驗證 (MFA)，這些驗證更可靠，並提供更強大的詐騙手段	root-account-hardware-mfa已啟用的	確保為根使用者MFA啟用硬體，以管理對 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.56	依賴多個要素的驗證方法通常比單一要素系統更難入侵。有鑑於此，我們鼓勵金融機構正確設計和實作（特別是在高風險或「單一登入」系統中）多因素身分驗證 (MFA)，這些驗證更可靠，並提供更強大的詐騙手段	root-account-mfa-enabled	確保 MFA 已為根使用者啟用，以管理對 AWS 雲端中資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	access-keys-rotated	系統會針對授權的裝置、使用者和程序稽核登入資料，確保依組織政策指定輪換IAM存取金鑰。定期變更存取金鑰是安全最佳實務。這可縮短存取金鑰的作用中時間，並在金鑰洩漏時降低業務影響。此規則需要存取金鑰輪換值 (Config 預設值：90)。實際值應反映貴組織的政策。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	account-part-of-organizations	AWS Organizations AWS 帳戶內的集中式管理有助於確保帳戶合規。缺乏集中式帳戶控管可能會導致帳戶組態不一致，這可能會公開資源和敏感資料。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	api-gw-execution-logging已啟用	API 閘道記錄會顯示存取的使用者詳細檢視，API以及存取的方式API。此洞察功能可讓您掌握使用者活動。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體、IP 地址和事件時間 AWS 帳戶的資訊。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。這包括在 AWS CloudTrail 多個區域中使用日誌加密、日誌驗證和啟用。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	cloud-trail-cloud-watch啟用日誌	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供內API通話活動的詳細資訊 AWS 帳戶。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	cw-loggroup-retention-period-檢查	確保為日誌群組保留最短的事件日誌資料持續時間，以利故障診斷和鑑識調查。如果缺少可用的過去事件日誌資料，就很難重建和識別潛在的惡意事件。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	ec2-instance-profile-attached	EC2 執行個體描述檔會將 IAM角色傳遞至 EC2執行個體。將執行個體設定檔連接到執行個體可協助管理最低權限和許可。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。確保已啟用ELB記錄。收集的資料提供有關傳送至之請求的詳細資訊ELB。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策在所有 AWS Key Management Service 金鑰上包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。(AWS 基礎安全最佳實務值： kms:Decrypt， kms:ReEncryptFrom)。實際值應反映貴組織的政策
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	iam-password-policy	身分和登入資料會根據組織IAM密碼政策發出、管理和驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 的基礎安全最佳實務標準中所述的要求。此規則可讓您選擇設定IAM密碼政策AWS 的 RequireUppercaseCharacters （基本安全最佳實務值： true) RequireLowercaseCharacters 、(AWS 基本安全最佳實務值： true)、 RequireSymbols (AWS 基本安全最佳實務值： true)、 RequireNumbers (AWS 基本安全最佳實務值： true)、 MinimumPasswordLength (AWS 基本安全最佳實務值： 14)、 PasswordReusePrevention (AWS 基本安全最佳實務值： 24) 和AWS MaxPasswordAge （基本安全最佳實務值： 90)。實際值應反映貴組織的政策。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策包含「效果」：「允許」與「動作」：「」與「資源」：「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	iam-root-access-key-檢查	檢查根使用者是否未將存取金鑰連接至其 AWS Identity and Access Management (IAM) 角色，即可控制系統和資產的存取。請確保已刪除根存取金鑰。反之，請建立和使用以角色為基礎的 AWS 帳戶，以協助整合功能最少的原則。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	iam-user-group-membership-檢查	AWS Identity and Access Management (IAM) 可確保IAM使用者至少為一個群組的成員，以協助您限制存取許可和授權。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	iam-user-no-policies-檢查	此規則可確保 AWS Identity and Access Management (IAM) 政策僅連接到群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	opensearch-logs-to-cloudwatch	確保 Amazon OpenSearch Service 網域已啟用錯誤日誌，並串流至 Amazon CloudWatch Logs 以進行保留和回應。 OpenSearch 服務錯誤日誌可協助安全性和存取稽核，並可協助診斷可用性問題。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	rds-logging-enabled	為了協助您在環境中記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 記錄。透過 Amazon RDS記錄，您可以擷取連線、中斷連線、查詢或查詢資料表等事件。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則需要為 clusterDbEncrypted （組態預設值：TRUE) 和 loggingEnabled （組態預設值：) 設定值TRUE。實際值應反映貴組織的政策。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
10.59	金融機構必須確保 (a) 有效管理和監控整個企業系統的存取控制；以及 (b) 記錄關鍵系統中的使用者活動，以供稽核與調查。活動日誌必須及時維護至少三年並定期審查。	wafv2-logging-enabled	為了協助您在環境中記錄和監控，請在區域和全域 Web 上啟用 AWS WAF (V2) 記錄ACLs。 AWS WAF 記錄提供 Web 分析流量的詳細資訊ACL。日誌會 AWS WAF記錄從您的 AWS 資源收到請求的時間、請求的相關資訊，以及每個請求相符規則的動作。
10.60	為了滿足第 10.59 項的要求，大型金融機構必須 (a) 部署身分存取管理系統，以有效管理和監控使用者對整個企業系統的存取；以及 (b) 部署自動化稽核工具來標記任何異常。	cloud-trail-cloud-watch啟用日誌	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供內API通話活動的詳細資訊 AWS 帳戶。
10.60	為了滿足第 10.61 項的要求，大型金融機構必須 (a) 部署身分存取管理系統，以有效管理和監控使用者對整個企業系統的存取；以及 (b) 部署自動化稽核工具來標記任何異常。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意IPs和機器學習的清單，用於識別您 AWS 雲端環境中的意外、未經授權和惡意活動。
10.60	為了滿足第 10.61 項的要求，大型金融機構必須 (a) 部署身分存取管理系統，以有效管理和監控使用者對整個企業系統的存取；以及 (b) 部署自動化稽核工具來標記任何異常。	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員、連線、裝置和軟體。 AWS Security Hub 會從多個 AWS 服務彙總、組織和排定安全提醒或問題清單的優先順序。這類服務包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer 和 AWS Firewall Manager，以及 AWS 合作夥伴解決方案。
10.61	金融機構必須確保關鍵系統不會在具有已知安全漏洞或 end-of-life (EOL) 技術系統的過時系統上執行。在這方面，金融機構必須明確指派責任給已識別的函數：(a) 及時持續監控和實作最新的修補程式版本；以及 (b) 識別即將採取EOL進一步補救措施的關鍵技術系統。	ec2-instance-managed-by-systems-manager	使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 提供詳細的系統組態、作業系統修補程式層級、服務名稱和類型、軟體安裝、應用程式名稱、發佈者和版本，以及有關您環境的其他詳細資訊。
10.61	金融機構必須確保關鍵系統不會在具有已知安全漏洞或 end-of-life (EOL) 技術系統的過時系統上執行。在這方面，金融機構必須明確指派責任給已識別的函數：(a) 及時持續監控和實作最新的修補程式版本；以及 (b) 識別即將採取EOL進一步補救措施的關鍵技術系統。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會將組態狀態指派給受管執行個體，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態的基準，以及環境的其他詳細資訊。
10.61	金融機構必須確保關鍵系統不會在具有已知安全漏洞或 end-of-life (EOL) 技術系統的過時系統上執行。在這方面，金融機構必須明確指派責任給已識別的函數：(a) 及時持續監控和實作最新的修補程式版本；以及 (b) 識別即將採取EOL進一步補救措施的關鍵技術系統。	ec2-managedinstance-patch-compliance-status-check	啟用此規則，以協助識別和記錄 Amazon Elastic Compute Cloud (Amazon EC2) 漏洞。此規則會檢查 AWS Systems Manager 中是否有您組織的政策和程序要求的 Amazon EC2執行個體修補程式合規。
10.61	金融機構必須確保關鍵系統不會在具有已知安全漏洞或 end-of-life (EOL) 技術系統的過時系統上執行。在這方面，金融機構必須明確指派責任給已識別的函數：(a) 及時持續監控和實作最新的修補程式版本；以及 (b) 識別即將採取EOL進一步補救措施的關鍵技術系統。	elastic-beanstalk-managed-updates已啟用	針對 Amazon Elastic Beanstalk 環境啟用受管平台更新，可確保已安裝適用於環境的最新可用平台修正、更新和功能。安裝最新的修補程式是保護系統安全的最佳實務。
10.61	金融機構必須確保關鍵系統不會在具有已知安全漏洞或 end-of-life (EOL) 技術系統的過時系統上執行。在這方面，金融機構必須明確指派責任給已識別的函數：(a) 及時持續監控和實作最新的修補程式版本；以及 (b) 識別即將採取EOL進一步補救措施的關鍵技術系統。	redshift-cluster-maintenancesettings-check	此規則可確保 Amazon Redshift 叢集使用貴組織的偏好設定。具體而言，即具有資料庫偏好的維護時段和自動快照保留期。此規則需要您設定 allowVersionUpgrade。預設值為 true。它也可讓您選擇性地設定 preferredMaintenanceWindow （預設值為 sat：16：00-sat：16：30)，以及 automatedSnapshotRetention期間（預設值為 1)。實際值應反映貴組織的政策。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	alb-http-to-https-重新導向-檢查	為了協助保護傳輸中的資料，請確定 Application Load Balancer 會自動將未加密的HTTP請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	api-gw-cache-enabled- 和加密	為了協助保護靜態資料，請確定已針對API閘道階段的快取啟用加密。由於可以擷取 API方法的敏感資料，因此請啟用靜態加密，以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	api-gw-ssl-enabled	確保 Amazon API Gateway RESTAPI階段已使用SSL憑證設定，以允許後端系統驗證來自 API Gateway 的請求。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	backup-recovery-point-encrypted	確定已為您的 AWS 備份復原點啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。這包括在 AWS CloudTrail 多個區域中使用日誌加密、日誌驗證和啟用。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	cloudwatch-log-group-encrypted	為了協助保護靜態敏感資料，請確定已為您的 Amazon CloudWatch Log Groups 啟用加密。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	dynamodb-table-encrypted-kms	確保已針對 Amazon DynamoDB 資料表啟用加密功能。由於這些資料表中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。根據預設，DynamoDB 資料表會使用 AWS 擁有的客戶主金鑰 () 加密CMK。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確定已為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	efs-encrypted-check	因為敏感資料可能存在，並協助保護靜態資料，所以請確定已為您的 Amazon Elastic File System () 啟用加密EFS。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	elbv2-acm-certificate-required	由於可能存在敏感資料並為了協助保護傳輸中資料，因此請確保您的 Elastic Load Balancing 已啟用加密功能。使用 AWS Certificate Manager 來管理、佈建和部署具有 AWS 服務和內部資源的公有和私有SSL/TLS憑證。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	encrypted-volumes	因為敏感資料可以存在，並協助保護靜態資料，所以請確定已為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	opensearch-encrypted-at-rest	因為敏感資料可以存在，並協助保護靜態資料，所以請確定已為您的 Amazon OpenSearch Service 網域啟用加密。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	opensearch-https-required	由於敏感資料可能存在，並協助保護傳輸中的資料，因此請確保 HTTPS 已啟用與您的 Amazon OpenSearch Service 網域的連線。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	opensearch-node-to-node-加密檢查	確保 node-to-node已啟用 Amazon OpenSearch Service 的加密。 Node-to-node加密會啟用 TLS Amazon Virtual Private Cloud (Amazon) 內所有通訊的 1.2 加密VPC。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	rds-snapshot-encrypted	請確定已為您的 Amazon Relational Database Service (Amazon RDS) 快照啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	rds-storage-encrypted	為了協助保護靜態資料，請確定已為您的 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密。由於 Amazon RDS執行個體中可能存在靜態敏感資料，因此請啟用靜態加密，以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則需要為 clusterDbEncrypted （組態預設值：TRUE) 和 loggingEnabled （組態預設值：) 設定值TRUE。實際值應反映貴組織的政策。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	redshift-cluster-kms-enabled	為了協助保護靜態資料，請確定已為您的 Amazon Redshift 叢集啟用 AWS Key Management Service (AWS KMS) 加密。由於 Redshift 叢集中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	redshift-require-tls-ssl	確保您的 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線至SQL用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	bucket-server-side-encryption已啟用 s3	為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	s3-bucket-ssl-requests-only	為了協助保護傳輸中的資料，請確保您的 Amazon Simple Storage Service (Amazon S3) 儲存貯體需要請求才能使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	sagemaker-endpoint-configuration-kms-key-configed	為了協助保護靜態資料，請確保已為您的 SageMaker 端點啟用使用 AWS Key Management Service (AWS KMS) 加密。由於 SageMaker 端點中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	sagemaker-notebook-instance-kms-key-configed	為了協助保護靜態資料，請確保已為您的 SageMaker 筆記本啟用使用 AWS Key Management Service (AWS KMS) 的加密。由於 SageMaker 筆記本中可能存在靜態敏感資料，請啟用靜態加密，以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	secretsmanager-using-cmk	為了協助保護靜態資料，請確定已啟用 AWS Secrets Manager 秘密的 AWS 金鑰管理服務 (AWS KMS) 加密。由於 Secrets Manager 密碼中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.64(a)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(a) 客戶及交易對手資訊與交易的機密性和完整性	sns-encrypted-kms	為了協助保護靜態資料，請確定您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用 AWS Key Management Service () 進行加密AWS KMS。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling 使用 AWS Application Auto Scaling 服務來調整佈建的輸送量容量，以自動回應實際的流量模式。這可讓資料表或全域次要索引增加其佈建的讀取/寫入容量，不需限流即可處理突然增加的流量。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	ec2-stopped-instance	根據您的組織標準，檢查 Amazon 執行個體是否已停止超過允許的天數，藉此啟用此規則，以協助 Amazon Elastic Compute Cloud (Amazon EC2) EC2執行個體的基準組態。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	elb-deletion-protection-enabled	此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，從而導致應用程式喪失可用性。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	nlb-cross-zone-load啟用平衡功能	啟用 NetworkLoad Balancer (NLBs) 的跨區域負載平衡，以協助維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理一或多個執行個體遺失的能力。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	rds-instance-deletion-protection已啟用	確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護來防止您的 Amazon RDS執行個體意外或惡意刪除，這可能會導致應用程式的可用性損失。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區支援可為資料庫執行個體提供增強的可用性和耐用性。當您佈建多可用區域資料庫執行個體時，Amazon RDS會自動建立主要資料庫執行個體，並將資料同步複寫至不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施故障，Amazon 會RDS執行自動容錯移轉至待命，以便在容錯移轉完成後，您可以繼續資料庫操作。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	rds-cluster-multi-az已啟用	Amazon Relational Database Service (Amazon RDS) 中的多可用區支援可為資料庫執行個體提供增強的可用性和耐用性。當您佈建多可用區域資料庫執行個體時，Amazon RDS會自動建立主要資料庫執行個體，並將資料同步複寫至不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施故障，Amazon 會RDS執行自動容錯移轉至待命，以便在容錯移轉完成後，您可以繼續資料庫操作。
10.64(b)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列項目：(b) 從管道和裝置交付服務的可靠性，且對服務造成最少中斷	vpc-vpn-2-tunnels-up	可以實作備援 Site-to-SiteVPN通道，以達到彈性需求。它使用兩個通道，以協助確保連線，以防其中一個 Site-to-SiteVPN連線無法使用。為了防止連線中斷，如果您的客戶閘道無法使用，您可以使用第二個 Site-to-Site客戶閘道設定與 Amazon Virtual Private Cloud (AmazonVPC) 和虛擬私有閘道的第二個VPN連線。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	api-gw-execution-logging已啟用	API Gateway 記錄會顯示存取的使用者詳細檢視，API以及存取的方式API。此洞察功能可讓您掌握使用者活動。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	autoscaling-group-elb-healthcheck-必要	Amazon Elastic Compute Cloud (AmazonELB) Auto Scaling 群組的 Elastic Load Balancer (EC2) 運作狀態檢查可支援維護足夠的容量和可用性。負載平衡器會定期傳送 ping、嘗試連線或傳送請求，以測試自動擴展群組中的 Amazon EC2執行個體運作狀態。如果執行個體未回報，流量會傳送至新的 Amazon EC2執行個體。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體、IP 地址和事件時間 AWS 帳戶的資訊。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。這包括在 AWS CloudTrail 多個區域中使用日誌加密、日誌驗證和啟用。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	cloudwatch-alarm-action-check	當指標違反指定數量的評估期間閾值時，Amazon CloudWatch 警示會發出警示。警示會根據在數個期間與閾值相關的指標值或表達式值來執行一或多個動作。此規則需要 alarmActionRequired （組態預設值：True) insufficientDataAction、必要（組態預設值：True)、 okActionRequired （組態預設值：False) 的值。實際值應反映您環境的警示動作。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	cloud-trail-cloud-watch啟用日誌	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供內API通話活動的詳細資訊 AWS 帳戶。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	dynamodb-throughput-limit-check	啟用此規則可確保檢查 Amazon DynamoDB 資料表上的佈建輸送容量。這是每份資料表能夠支援的讀取/寫入活動量。DynamoDB 會使用這項資訊保留足夠的系統資源，以便符合您的輸送量要求。當輸送量接近客戶帳戶的上限時，此規則會產生提醒。此規則可讓您選擇性地設定accountRCUThreshold百分比（組態預設值：80) 和accountWCUThreshold百分比（組態預設值：80) 參數。實際值應反映貴組織的政策。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	ec2-instance-detailed-monitoring-enabled	啟用此規則，以協助改善 Amazon EC2主控台上的 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體監控，此主控台會顯示具有 1 分鐘執行個體期間的監控圖表。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	elb-logging-enabled	Elastic Load Balancing 活動是環境內的通訊中心點。確保已啟用ELB記錄。收集的資料提供有關傳送至之請求的詳細資訊ELB。每個日誌包含收到請求的時間、用戶端的 IP 地址、延遲、請求路徑和伺服器回應等資訊。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意IPs和機器學習的清單，用於識別您 AWS 雲端環境中的意外、未經授權和惡意活動。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	opensearch-logs-to-cloudwatch	確保 Amazon OpenSearch Service 網域已啟用錯誤日誌，並串流至 Amazon CloudWatch Logs 以進行保留和回應。 OpenSearch 服務錯誤日誌可協助安全性和存取稽核，並可協助診斷可用性問題。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	rds-enhanced-monitoring-enabled	啟用 Amazon Relational Database Service (Amazon RDS) 以協助監控 Amazon RDS可用性。這可讓您詳細了解 Amazon RDS 資料庫執行個體的運作狀態。當 Amazon RDS儲存體使用多個基礎實體裝置時，增強型監控會收集每個裝置的資料。此外，當 Amazon RDS 資料庫執行個體在異地同步備份部署中執行時，會收集次要主機上每個裝置的資料，以及次要主機指標。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	rds-logging-enabled	為了協助您在環境中記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 記錄。使用 Amazon RDS記錄，您可以擷取連線、中斷連線、查詢或查詢資料表等事件。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	redshift-cluster-configuration-check	為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則需要為 clusterDbEncrypted （組態預設值：TRUE) 和 loggingEnabled （組態預設值：) 設定值TRUE。實際值應反映貴組織的政策。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員、連線、裝置和軟體。 AWS Security Hub 會從多個 AWS 服務彙總、組織和排定安全提醒或問題清單的優先順序。這類服務包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer 和 AWS Firewall Manager，以及 AWS 合作夥伴解決方案。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	vpc-flow-logs-enabled	VPC 流程日誌提供往返 Amazon Virtual Private Cloud (Amazon ) 中網路介面之 IP 流量的詳細資訊記錄VPC。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
10.64(d)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(d) 足夠的稽核記錄並監控異常交易	wafv2-logging-enabled	為了協助您在環境中記錄和監控，請在區域和全域 Web 上啟用 AWS WAF (V2) 記錄ACLs。 AWS WAF 記錄提供 Web 分析流量的詳細資訊ACL。日誌會記錄從您的 AWS 資源收到請求的時間 AWS WAF、請求的相關資訊，以及每個請求相符規則的動作。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	aurora-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Aurora 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	db-instance-backup-enabled	Amazon 的備份功能RDS會建立資料庫和交易日誌的備份。Amazon RDS會自動建立資料庫執行個體的儲存磁碟區快照，備份整個資料庫執行個體。系統可讓您設定特定保留期，以符合您的恢復能力要求。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	dynamodb-pitr-enabled	啟用此規則可檢查資訊是否已備份。它還透過確保 point-in-time已在 Amazon DynamoDB 中啟用復原來維護備份。復原會維護資料表在過去 35 天內的連續備份。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	dynamodb-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon DynamoDB 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體為 Amazon EBS I/O 操作提供額外的專用容量。此最佳化透過將 Amazon EBS I/O 操作與執行個體的其他流量之間的爭用降至最低，為您的EBS磁碟區提供最有效率的效能。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	ebs-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Elastic Block Store (AmazonEBS) 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	ec2-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Elastic Compute Cloud (AmazonEC2) 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	efs-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS Backup 計畫的一部分。 AWS Backup 是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	elasticache-redis-cluster-automatic-backup-check	啟用自動備份時，Amazon 會每天 ElastiCache 建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	rds-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Relational Database Service (AmazonRDS) 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	redshift-backup-enabled	請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會每 8 小時或每個資料變更節點每 5 GB 擷取一次快照，以先發生者為準。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆從意外的使用者動作和應用程式失敗中復原。
10.64(e)	金融機構在提供數位服務時，必須實作強大的技術安全控制，以確保下列事項：(e) 能夠在事件或服務中斷之前識別並回復至復原點	s3-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Simple Storage Service (S3) 儲存貯體是 AWS 備份計劃的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
11.7	金融機構必須部署有效的工具，以支援持續且主動的監控，並及時偵測其技術基礎設施中的異常活動。監控範圍必須涵蓋所有關鍵系統，包括支援的基礎設施。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。這些包括惡意IPs和機器學習的清單，以識別您 AWS 雲端環境中的意外、未經授權的和惡意活動。
11.7	金融機構必須部署有效的工具，以支援持續且主動的監控，並及時偵測其技術基礎設施中的異常活動。監控範圍必須涵蓋所有關鍵系統，包括支援的基礎設施。	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員、連線、裝置和軟體。 AWS Security Hub 會彙總來自多個 AWS 服務的安全提醒或調查結果，並加以組織和排定優先順序。這類服務包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer 和 AWS Firewall Manager，以及 AWS 合作夥伴解決方案。
11.8	金融機構必須確保其網路安全操作持續預防和偵測其安全控制的任何潛在入侵或其安全狀態的弱化。對於大型金融機構，這必須包括每季對支援所有關鍵系統的外部和內部網路元件執行漏洞評估。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。這些包括惡意IPs和機器學習的清單，以識別您 AWS 雲端環境中的意外、未經授權的和惡意活動。
11.8	金融機構必須確保其網路安全操作持續預防和偵測其安全控制的任何潛在入侵或其安全狀態的弱化。對於大型金融機構，這必須包括每季對支援所有關鍵系統的外部和內部網路元件執行漏洞評估。	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員、連線、裝置和軟體。 AWS Security Hub 會彙總來自多個 AWS 服務的安全提醒或調查結果，並加以組織和排定優先順序。這類服務包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer 和 AWS Firewall Manager，以及 AWS 合作夥伴解決方案。
11.18(c)(f)	SOC 必須能夠執行下列函數：(c) 漏洞管理；(f) 提供情境感知，以偵測對手和威脅，包括威脅情報分析和操作，以及監控入侵指標 (IOC)。這包括進階行為分析，可偵測無簽章和無檔案的惡意軟體，並識別可能造成安全威脅的異常 (包括在端點和網路層)。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。這些包括惡意IPs和機器學習的清單，以識別您 AWS 雲端環境中的意外、未經授權的和惡意活動。
11.18(c)(f)	SOC 必須能夠執行下列函數：(c) 漏洞管理；(f) 提供情境感知，以偵測對手和威脅，包括威脅情報分析和操作，以及監控入侵指標 (IOC)。這包括進階行為分析，可偵測無簽章和無檔案的惡意軟體，並識別可能造成安全威脅的異常 (包括在端點和網路層)。	guardduty-non-archived-findings	Amazon 透過依嚴重性分類問題清單來 GuardDuty 協助您了解事件的影響：低、中和高。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據組織的政策要求，選擇性地設定非封存問題清單的 daysLowSev （組態預設值：30)、 daysMediumSev （組態預設值：7) 和 daysHighSev （組態預設值：1)。
11.18(c)(f)	SOC 必須能夠執行下列函數：(c) 漏洞管理；(f) 提供情境感知，以偵測對手和威脅，包括威脅情報分析和操作，以及監控入侵指標 (IOC)。這包括進階行為分析，可偵測無簽章和無檔案的惡意軟體，並識別可能造成安全威脅的異常 (包括在端點和網路層)。	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員、連線、裝置和軟體。 AWS Security Hub 會彙總來自多個 AWS 服務的安全提醒或調查結果，並加以組織和排定優先順序。這類服務包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer 和 AWS Firewall Manager，以及 AWS 合作夥伴解決方案。
附錄 5.1	定期審查所有安全裝置的組態和規則設定。使用自動化工具來審查和監控組態和規則設定的變更。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。這些包括惡意IPs和機器學習的清單，以識別您 AWS 雲端環境中的意外、未經授權的和惡意活動。
附錄 5.1	定期審查所有安全裝置的組態和規則設定。使用自動化工具來審查和監控組態和規則設定的變更。	securityhub-enabled	AWS Security Hub 有助於監控未經授權的人員、連線、裝置和軟體。 AWS Security Hub 會彙總來自多個 AWS 服務的安全提醒或調查結果，並加以組織和排定優先順序。這類服務包括 Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer 和 AWS Firewall Manager，以及 AWS 合作夥伴解決方案。
附錄 5.5(b)	確保外部網路連線的安全控制 server-to-server包括下列項目：(b) 使用安全通道，例如 Transport Layer Security (TLS) 和 Virtual Private Network (VPN) IPSec	alb-http-to-https-重新導向-檢查	為了協助保護傳輸中的資料，請確定 Application Load Balancer 會自動將未加密的HTTP請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
附錄 5.5(b)	確保外部網路連線的安全控制 server-to-server包括下列項目：(b) 使用安全通道，例如 Transport Layer Security (TLS) 和 Virtual Private Network (VPN) IPSec	api-gw-ssl-enabled	確保 Amazon API Gateway RESTAPI階段已使用SSL憑證設定，以允許後端系統驗證來自 API Gateway 的請求。
附錄 5.5(b)	確保外部網路連線的安全控制 server-to-server包括下列項目：(b) 使用安全通道，例如 Transport Layer Security (TLS) 和 Virtual Private Network (VPN) IPSec	opensearch-https-required	由於敏感資料可能存在，並協助保護傳輸中的資料，因此請確保 HTTPS 已啟用連線至 Amazon OpenSearch Service 網域。
附錄 5.5(b)	確保外部網路連線的安全控制 server-to-server包括下列項目：(b) 使用安全通道，例如 Transport Layer Security (TLS) 和 Virtual Private Network (VPN) IPSec	opensearch-node-to-node-加密-檢查	確保 node-to-node已啟用 Amazon OpenSearch Service 的加密。 Node-to-node加密會啟用 TLS Amazon Virtual Private Cloud (Amazon) 內所有通訊的 1.2 加密VPC。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
附錄 5.5(b)	確保外部網路連線的安全控制 server-to-server包括下列項目：(b) 使用安全通道，例如 Transport Layer Security (TLS) 和 Virtual Private Network (VPN) IPSec	redshift-require-tls-ssl	確保您的 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線至SQL用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
附錄 5.5(b)	確保外部網路連線的安全控制 server-to-server包括下列項目：(b) 使用安全通道，例如 Transport Layer Security (TLS) 和 Virtual Private Network (VPN) IPSec	s3-bucket-ssl-requests-only	為了協助保護傳輸中的資料，請確保您的 Amazon Simple Storage Service (Amazon S3) 儲存貯體需要請求才能使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
附錄 5.5(c)	確保外部網路連線的安全控制 server-to-server包括下列項目：(c) 部署具有足夠周邊防禦和保護的預備伺服器，例如防火牆IPS和防毒。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。這些包括惡意IPs和機器學習的清單，以識別您 AWS 雲端環境中的意外、未經授權的和惡意活動。
附錄 5.5(c)	確保外部網路連線的安全控制 server-to-server包括下列項目：(c) 部署具有足夠周邊防禦和保護的預備伺服器，例如防火牆IPS和防毒。	vpc-default-security-group- 已關閉	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可透過提供輸入和輸出網路流量的狀態篩選給 AWS 資源，協助管理網路存取。限制預設安全群組上的所有流量有助於限制對 AWS 資源的遠端存取。
附錄 5.5(c)	確保外部網路連線的安全控制 server-to-server包括下列項目：(c) 部署具有足夠周邊防禦和保護的預備伺服器，例如防火牆IPS和防毒。	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon Elastic Compute Cloud (AmazonEC2) 安全群組上限制常見的連接埠，來管理 AWS 對雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
附錄 5.6	確保遠端存取伺服器的安全控制包括下列項目：(a) 限制僅對強化和鎖定的端點裝置的存取；(b) 使用安全通道，例如 VPN TLS和 IPSec；(c) 部署具有足夠周邊防禦和保護的 'gateway' 伺服器，例如防火牆IPS和防毒；以及 (d) 在遠端存取到期時立即關閉相關連接埠。	alb-http-to-https-重新導向-檢查	為了協助保護傳輸中的資料，請確定 Application Load Balancer 會自動將未加密的HTTP請求重新導向至 HTTPS。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
附錄 5.6	確保遠端存取伺服器的安全控制包括下列項目：(a) 限制僅對強化和鎖定的端點裝置的存取；(b) 使用安全通道，例如 VPN TLS和 IPSec；(c) 部署具有足夠周邊防禦和保護的 'gateway' 伺服器，例如防火牆IPS和防毒；以及 (d) 在遠端存取到期時立即關閉相關連接埠。	api-gw-ssl-enabled	確保 Amazon API Gateway RESTAPI階段已使用SSL憑證設定，以允許後端系統驗證來自 API Gateway 的請求。
附錄 5.6	確保遠端存取伺服器的安全控制包括下列項目：(a) 限制僅對強化和鎖定的端點裝置的存取；(b) 使用安全通道，例如 VPN TLS和 IPSec；(c) 部署具有足夠周邊防禦和保護的 'gateway' 伺服器，例如防火牆IPS和防毒；以及 (d) 在遠端存取到期時立即關閉相關連接埠。	opensearch-https-required	由於敏感資料可能存在，並協助保護傳輸中的資料，因此請確保 HTTPS 已啟用連線至 Amazon OpenSearch Service 網域。
附錄 5.6	確保遠端存取伺服器的安全控制包括下列項目：(a) 限制僅對強化和鎖定的端點裝置的存取；(b) 使用安全通道，例如 VPN TLS和 IPSec；(c) 部署具有足夠周邊防禦和保護的 'gateway' 伺服器，例如防火牆IPS和防毒；以及 (d) 在遠端存取到期時立即關閉相關連接埠。	redshift-require-tls-ssl	確保您的 Amazon Redshift 叢集需要 TLS/SSL 加密才能連線至SQL用戶端。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
附錄 5.6	確保遠端存取伺服器的安全控制包括下列項目：(a) 限制僅對強化和鎖定的端點裝置的存取；(b) 使用安全通道，例如 VPN TLS和 IPSec；(c) 部署具有足夠周邊防禦和保護的 'gateway' 伺服器，例如防火牆IPS和防毒；以及 (d) 在遠端存取到期時立即關閉相關連接埠。	vpc-default-security-group- 已關閉	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可透過提供輸入和輸出網路流量的狀態篩選給 AWS 資源，協助管理網路存取。限制預設安全群組上的所有流量有助於限制對 AWS 資源的遠端存取。
附錄 5.6	確保遠端存取伺服器的安全控制包括下列項目：(a) 限制僅對強化和鎖定的端點裝置的存取；(b) 使用安全通道，例如 VPN TLS和 IPSec；(c) 部署具有足夠周邊防禦和保護的 'gateway' 伺服器，例如防火牆IPS和防毒；以及 (d) 在遠端存取到期時立即關閉相關連接埠。	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon Elastic Compute Cloud (AmazonEC2) 安全群組上限制常見的連接埠，來管理 AWS 對雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
附錄 10 第 B - 1 (a) 部分	金融機構應設計強大的雲端架構，並確保該設計符合預期應用程式的相關國際標準。	account-part-of-organizations	AWS Organizations AWS 帳戶內的集中式管理有助於確保帳戶合規。缺乏集中式帳戶控管可能會導致帳戶組態不一致，這可能會公開資源和敏感資料。
附錄 10 第 B - 1 (b) 部分	我們鼓勵金融機構採用零信任原則，透過採用「假設違反」思維、透過微分段分層 defense-in-depth、「deny-by-default」、「最低權限」存取權利，以及在適用的情況下進行深入檢查和持續驗證，以提供網路彈性架構。	alb-waf-enabled	確保 AWS WAF 已在 Elastic Load Balancer (ELB) 上啟用，以協助保護 Web 應用程式。WAF 有助於保護您的 Web 應用程式或APIs防止常見的 Web 漏洞。這些網路惡意探索攻擊可能會影響可用性、危及安全性，或在環境中耗用過多資源。
附錄 10 第 B - 1 (b) 部分	我們鼓勵金融機構採用零信任原則，透過採用「假設違反」思維、透過微分段分層 defense-in-depth、「deny-by-default」、「最低權限」存取權利，以及在適用的情況下進行深入檢查和持續驗證，以提供網路彈性架構。	subnet-auto-assign-public-ip-disabled	確保不會自動指派公有 IP 地址給 Amazon Virtual Private Cloud (VPC) 子網路，藉此管理 AWS 對雲端的存取。在已啟用此屬性的子網路中啟動的 Amazon Elastic Compute Cloud (EC2) 執行個體，其主要網路介面會獲指派公有 IP 地址。
附錄 10 第 B - 1 (b) 部分	我們鼓勵金融機構採用零信任原則，透過採用「假設違反」思維、透過微分段分層 defense-in-depth、「deny-by-default」、「最低權限」存取權利，以及在適用的情況下進行深入檢查和持續驗證，以提供網路彈性架構。	vpc-default-security-group- 已關閉	Amazon Elastic Compute Cloud (Amazon EC2) 安全群組可透過提供輸入和輸出網路流量的狀態篩選給 AWS 資源，協助管理網路存取。限制預設安全群組上的所有流量有助於限制對 AWS 資源的遠端存取。
附錄 10 第 B - 1 (b) 部分	我們鼓勵金融機構採用零信任原則，透過採用「假設違反」思維、透過微分段分層 defense-in-depth、「deny-by-default」、「最低權限」存取權利，以及在適用的情況下進行深入檢查和持續驗證，以提供網路彈性架構。	vpc-sg-open-only-to-authorized-ports	透過確保 Amazon Elastic Compute Cloud (AmazonEC2) 安全群組上限制常見的連接埠，來管理 AWS 對雲端中資源的存取。如果不將連接埠的存取限制為信任來源，可能會導致系統的可用性、完整性和機密性遭到攻擊。透過限制從網際網路 (0.0.0.0/0) 存取安全群組內的資源，可以控制內部系統的遠端存取。
附錄 10 第 B - 1 (c) 部分	金融機構應使用最新的網路架構方法以及適當的網路設計概念和解決方案來管理和監控精細的網路安全，並使用集中式網路佈建來管理雲端網路環境的複雜性。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。這些包括惡意IPs和機器學習的清單，以識別您 AWS 雲端環境中的意外、未經授權的和惡意活動。
附錄 10 第 B - 1 (c) 部分	金融機構應使用最新的網路架構方法以及適當的網路設計概念和解決方案來管理和監控精細的網路安全，並使用集中式網路佈建來管理雲端網路環境的複雜性。	vpc-flow-logs-enabled	VPC 流程日誌提供往返 Amazon Virtual Private Cloud (Amazon ) 中網路介面之 IP 流量的詳細資訊記錄VPC。根據預設，流程日誌記錄包含 IP 流程不同元件的值，包括來源、目標和通訊協定。
附錄 10 第 B - 1 (d) 部分	金融機構應建立並利用安全且加密的通訊管道，將實體伺服器、應用程式或資料移轉至雲端平台。	dms-replication-not-public	確保複DMS寫執行個體無法公開存取，以管理對 AWS 雲端的存取。DMS複寫執行個體可以包含敏感資訊，且此類帳戶需要存取控制。
附錄 10 第 B - 1 (d) 部分	金融機構應建立並利用安全且加密的通訊管道，將實體伺服器、應用程式或資料移轉至雲端平台。	s3-bucket-ssl-requests-only	為了協助保護傳輸中的資料，請確保您的 Amazon Simple Storage Service (Amazon S3) 儲存貯體需要請求才能使用 Secure Socket Layer (SSL)。由於可能存在敏感資料，因此請啟用傳輸中加密以協助保護該資料。
附錄 10 第 B - 1 (f) i) 部分	金融機構越來越多地使用應用程式開發介面 (API) 與外部應用程式服務供應商互連，可以提高效率。不過，這可能會增加網路受攻擊面，任何管理不善的情況都可能會擴大資訊安全事件的影響。金融機構應確保APIs其受到嚴格的管理和控制機制，包括下列項目：i) APIs應設計為服務彈性，以避免單點故障的風險，並使用適當的存取控制安全地設定；	api-gwv2-authorization-type-configured	確保您的 Amazon API Gateway v2 API路由已設定授權類型，以防止未經授權存取基礎後端資源。
附錄 10 第 B - 1 (f) ii) 部分	金融機構越來越使用應用程式開發界面 (API) 與外部應用程式服務供應商互連，可以提高效率。不過，這可能會增加網路受攻擊面，任何管理不善的情況都可能會擴大資訊安全事件的影響。金融機構應確保APIs受到嚴格的管理和控制機制，包括下列項目：ii) APIs應透過適當的事件回應措施來追蹤和監控網路攻擊，並在不再使用時及時停用。	api-gw-associated-with-waf	AWS WAF 可讓您設定一組規則（稱為 Web 存取控制清單 (WebACL))，以根據您定義的可自訂 Web 安全規則和條件來允許、封鎖或計數 Web 請求。確保您的 Amazon API Gateway 階段與 WAF Web 相關聯ACL，以保護 Web 免受惡意攻擊
附錄 10 第 B - 1 (f) ii) 部分	金融機構越來越使用應用程式開發界面 (API) 與外部應用程式服務供應商互連，可以提高效率。不過，這可能會增加網路受攻擊面，任何管理不善的情況都可能會擴大資訊安全事件的影響。金融機構應確保APIs受到嚴格的管理和控制機制，包括下列項目：ii) APIs應透過適當的事件回應措施來追蹤和監控網路攻擊，並在不再使用時及時停用。	api-gw-execution-logging已啟用	API Gateway 記錄會顯示存取的使用者詳細檢視，API以及存取的方式API。此洞察功能可讓您掌握使用者活動。
附錄 10 第 B - 2 (b) ii) 部分	金融機構應持續利用增強的雲端功能來改善雲端服務的安全；此外，建議金融機構：ii) 使用不可變的基礎設施實務來部署服務，透過使用軟體的最新穩定版本建立新環境，藉以降低失敗的風險。雲端環境的持續監控應包括自動偵測不可變基礎設施的變更，以改善合規性審查並應對不斷進化的網路攻擊	cloudformation-stack-notification-check	若要偵測基礎 AWS 資源的意外變更，請確定您的 CloudFormation 堆疊已設定為傳送事件通知至 Amazon SNS主題。
附錄 10 第 B - 3 (b) vi) 部分	金融機構應確保適當設定、強化及監控虛擬機器和容器映像。這包括：vi) 對儲存的映像進行安全監控，以防止未經授權的存取和變更。	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。這包括在 AWS CloudTrail 多個區域中使用日誌加密、日誌驗證和啟用。
附錄 10 第 B - 5 (a) i) 部分	為了有效執行復原功能，金融機構應確保擴展現有的備份和復原程序以涵蓋雲端服務，其中包括：i) 在雲端採用的規劃階段定義和正規化備份和復原策略；	aurora-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Aurora 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
附錄 10 第 B - 5 (a) i) 部分	為了有效執行復原功能，金融機構應確保擴展現有的備份和復原程序以涵蓋雲端服務，其中包括：i) 在雲端採用的規劃階段定義和正規化備份和復原策略；	dynamodb-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon DynamoDB 資源是 AWS 備份計畫的一部分。 AWS 備份是全受管備份服務，具有以政策為基礎的備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
附錄 10 第 B - 5 (a) i) 部分	為了有效執行復原功能，金融機構應確保擴展現有的備份和復原程序以涵蓋雲端服務，其中包括：i) 在雲端採用的規劃階段定義和正規化備份和復原策略；	ebs-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Elastic Block Store (AmazonEBS) 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
附錄 10 第 B - 5 (a) i) 部分	為了有效執行復原功能，金融機構應確保擴展現有的備份和復原程序以涵蓋雲端服務，其中包括：i) 在雲端採用的規劃階段定義和正規化備份和復原策略；	efs-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Elastic File System (AmazonEFS) 檔案系統是 AWS Backup 計畫的一部分。 AWS Backup 是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
附錄 10 第 B - 5 (a) i) 部分	為了有效執行復原功能，金融機構應確保擴展現有的備份和復原程序以涵蓋雲端服務，其中包括：i) 在雲端採用的規劃階段定義和正規化備份和復原策略；	rds-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Relational Database Service (AmazonRDS) 資源是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
附錄 10 第 B - 5 (a) i) 部分	為了有效執行復原功能，金融機構應確保擴展現有的備份和復原程序以涵蓋雲端服務，其中包括：i) 在雲端採用的規劃階段定義和正規化備份和復原策略；	s3-resources-protected-by-backup-plan	為了協助處理資料備份程序，請確保您的 Amazon Simple Storage Service (S3) 儲存貯體是 AWS 備份計畫的一部分。 AWS 備份是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。
附錄 10 第 B - 5 (b) 部分	金融機構應確保定期測試備份和還原程序，以驗證復原功能。備份程序的頻率應與系統和系統復原點目標 (RPO) 的重要性相稱。如果備份失敗，金融機構應立即採取補救措施。	backup-plan-min-frequency-and-min-retention-check	為了協助處理資料備份程序，請確保您的 AWS Backup 計劃設定為最低頻率和保留。 AWS Backup 是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredFrequencyValue (Config 預設： 1)、 requiredRetentionDays (Config 預設： 35) 和 requiredFrequencyUnit (Config 預設：天）參數。實際值應反映貴組織的要求。
附錄 10 第 B - 5 (c) i) 部分	金融機構應確保虛擬機器和容器的充分備份和復原，包括備份組態設定（適用於 IaaS 和 PaaS，如果相關），其中包括下列項目：i) 確保能夠依照業務復原目標所指定的在 point-in-time 還原虛擬機器和容器；	backup-plan-min-frequency-and-min-retention-check	為了協助處理資料備份程序，請確保您的 AWS Backup 計劃設定為最低頻率和保留。 AWS Backup 是具有政策型備份解決方案的全受管備份服務。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredFrequencyValue (Config 預設： 1)、 requiredRetentionDays (Config 預設： 35) 和 requiredFrequencyUnit (Config 預設：天）參數。實際值應反映貴組織的要求。
附錄 10 第 B - 5 (d) i) 部分	金融機構應評估雲端服務的恢復能力要求，並確定與系統重要性相符的適當措施，以確保極端不利情況下的服務可用性。金融機構應考慮以風險為基礎的方法，並逐步採取適當的緩解控制措施，以確保服務可用性並降低集中風險。可行的選擇包括：i) 利用雲端服務的高可用性和備援功能，確保生產資料中心在不同的可用區域擁有備援容量；	autoscaling-multiple-az	為了確保高可用性，請確保將 Auto Scaling 群組設定為跨多個可用區域。
附錄 10 第 B - 5 (d) i) 部分	金融機構應評估雲端服務的恢復能力要求，並確定與系統重要性相符的適當措施，以確保極端不利情況下的服務可用性。金融機構應考慮以風險為基礎的方法，並逐步採取適當的緩解控制措施，以確保服務可用性並降低集中風險。可行的選擇包括：i) 利用雲端服務的高可用性和備援功能，確保生產資料中心在不同的可用區域擁有備援容量；	elbv2-multiple-az	Elastic Load Balancing (ELB) 會自動將傳入的流量分散到可用區域中的多個目標，例如EC2執行個體、容器和 IP 地址。為了確保高可用性，請確保您ELB已註冊多個可用區域的執行個體。
附錄 10 第 B - 5 (d) i) 部分	金融機構應評估雲端服務的恢復能力要求，並確定與系統重要性相符的適當措施，以確保極端不利情況下的服務可用性。金融機構應考慮以風險為基礎的方法，並逐步採取適當的緩解控制措施，以確保服務可用性並降低集中風險。可行的選擇包括：i) 利用雲端服務的高可用性和備援功能，確保生產資料中心在不同的可用區域擁有備援容量；	lambda-vpc-multi-az-檢查	如果您的 AWS Lambda 函數設定為連接到帳戶中的虛擬私有雲端 (VPC)，請在至少兩個不同的可用區域中部署 AWS Lambda 函數，以確保在單一區域中發生服務中斷時，您的函數可用於處理事件。
附錄 10 第 B - 5 (d) i) 部分	金融機構應評估雲端服務的恢復能力要求，並確定與系統重要性相符的適當措施，以確保極端不利情況下的服務可用性。金融機構應考慮以風險為基礎的方法，並逐步採取適當的緩解控制措施，以確保服務可用性並降低集中風險。可行的選擇包括：i) 利用雲端服務的高可用性和備援功能，確保生產資料中心在不同的可用區域擁有備援容量；	nlb-cross-zone-load啟用平衡功能	啟用 NetworkLoad Balancer (NLBs) 的跨區域負載平衡，以協助維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理一或多個執行個體遺失的能力。
附錄 10 第 B - 5 (d) i) 部分	金融機構應評估雲端服務的恢復能力要求，並確定與系統重要性相符的適當措施，以確保極端不利情況下的服務可用性。金融機構應考慮以風險為基礎的方法，並逐步採取適當的緩解控制措施，以確保服務可用性並降低集中風險。可行的選擇包括：i) 利用雲端服務的高可用性和備援功能，確保生產資料中心在不同的可用區域擁有備援容量；	rds-cluster-multi-az已啟用	Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以協助儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施故障，Amazon 會RDS執行自動容錯移轉到待命，以便在容錯移轉完成後，您可以立即繼續資料庫操作。
附錄 10 第 B - 5 (d) i) 部分	金融機構應評估雲端服務的恢復能力要求，並確定與系統重要性相符的適當措施，以確保極端不利情況下的服務可用性。金融機構應考慮以風險為基礎的方法，並逐步採取適當的緩解控制措施，以確保服務可用性並降低集中風險。可行的選擇包括：i) 利用雲端服務的高可用性和備援功能，確保生產資料中心在不同的可用區域擁有備援容量；	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) 中的多可用區支援可為資料庫執行個體提供增強的可用性和耐用性。當您佈建多可用區域資料庫執行個體時，Amazon RDS會自動建立主要資料庫執行個體，並將資料同步複寫至不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果發生基礎設施故障，Amazon 會RDS執行自動容錯移轉至待命，以便在容錯移轉完成後，您可以繼續資料庫操作。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	api-gw-cache-enabled- 和加密	為了協助保護靜態資料，請確定已針對API閘道階段的快取啟用加密。由於可以擷取 API方法的敏感資料，因此請啟用靜態加密，以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	backup-recovery-point-encrypted	確定已為您的 AWS 備份復原點啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。這包括在 AWS CloudTrail 多個區域中使用日誌加密、日誌驗證和啟用。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	cloudwatch-log-group-encrypted	為了協助保護靜態敏感資料，請確定已為您的 Amazon CloudWatch Log Groups 啟用加密。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	dynamodb-table-encrypted-kms	確保已針對 Amazon DynamoDB 資料表啟用加密功能。由於這些資料表中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。根據預設，DynamoDB 資料表會使用 AWS 擁有的客戶主金鑰 () 加密CMK。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	ec2-ebs-encryption-by-default	為了協助保護靜態資料，請確定已為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	efs-encrypted-check	因為敏感資料可能存在，並協助保護靜態資料，所以請確定已為您的 Amazon Elastic File System () 啟用加密EFS。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	eks-secrets-encrypted	為了協助保護靜態資料，請確定您的 Amazon Elastic Kubernetes Service (EKS) 叢集已設定為加密 Kubernetes 秘密。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	encrypted-volumes	因為敏感資料可以存在，並協助保護靜態資料，所以請確定已為您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	opensearch-encrypted-at-rest	因為敏感資料可以存在，並協助保護靜態資料，所以請確定已為您的 Amazon OpenSearch Service 網域啟用加密。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	rds-snapshot-encrypted	請確定已為您的 Amazon Relational Database Service (Amazon RDS) 快照啟用加密。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	redshift-cluster-kms-enabled	為了協助保護靜態資料，請確定已為您的 Amazon Redshift 叢集啟用 AWS Key Management Service (AWS KMS) 加密。由於 Redshift 叢集中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	s3-default-encryption-kms	確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	secretsmanager-using-cmk	為了協助保護靜態資料，請確定已啟用 AWS Secrets Manager 秘密的 AWS 金鑰管理服務 (AWS KMS) 加密。由於 Secrets Manager 密碼中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (a) 部分	金融機構應實作適當且相關的加密技術，以保護儲存在雲端之敏感資料的機密性和完整性。	sns-encrypted-kms	為了協助保護靜態資料，請確定您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用 AWS Key Management Service () 進行加密AWS KMS。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。
附錄 10 第 B - 8 (d) 部分	隨著雲端採用的使用率增加，管理許多用於保護資料的加密金鑰變得越來越複雜，並且可能會為金融機構帶來新的挑戰。金融機構應採用全方位且集中的金鑰管理方法，包括使用集中式金鑰管理系統，以安全且可擴展的方式處理金鑰的產生、儲存和分發。	cmk-backing-key-rotation已啟用	啟用金鑰輪換，以確保金鑰在加密期間結束後輪換。
附錄 10 第 B - 8 (d) 部分	隨著雲端採用的使用率增加，管理許多用於保護資料的加密金鑰變得越來越複雜，並且可能會為金融機構帶來新的挑戰。金融機構應採用全方位且集中的金鑰管理方法，包括使用集中式金鑰管理系統，以安全且可擴展的方式處理金鑰的產生、儲存和分發。	kms-cmk-not-scheduled-for-deletion	為了協助保護靜態資料，請確保在 AWS Key Management Service (CMKs) 中未排定刪除必要的客戶主金鑰 ()AWS KMS。因為刪除金鑰有時為必要，而這個規則可協助檢查所有排程要刪除的金鑰，以防無意中排程刪除金鑰。
附錄 10 第 B - 9 (a) ii) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制項來存取管理平面，其中可能包括下列項目：ii) 實作「最低權限」和強大的多重要素驗證 (MFA)，例如，強式密碼、軟字符、特殊權限存取管理工具和建立者檢查程式函數；	iam-password-policy	身分和登入資料會根據組織IAM密碼政策發出、管理和驗證。它們符合或超過 NIST SP 800-63 和密碼強度 AWS 的基礎安全最佳實務標準中所述的要求。此規則可讓您選擇設定IAM密碼政策AWS 的 RequireUppercaseCharacters （基本安全最佳實務值： true) RequireLowercaseCharacters 、(AWS 基本安全最佳實務值： true)、 RequireSymbols (AWS 基本安全最佳實務值： true)、 RequireNumbers (AWS 基本安全最佳實務值： true)、 MinimumPasswordLength (AWS 基本安全最佳實務值： 14)、 PasswordReusePrevention (AWS 基本安全最佳實務值： 24) 和AWS MaxPasswordAge （基本安全最佳實務值： 90)。實際值應反映貴組織的政策。
附錄 10 第 B - 9 (a) ii) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制項來存取管理平面，其中可能包括下列項目：ii) 實作「最低權限」和強大的多重要素驗證 (MFA)，例如，強式密碼、軟字符、特殊權限存取管理工具和建立者檢查程式函數；	iam-user-mfa-enabled	啟用此規則以限制對 AWS 雲端中資源的存取。此規則可確保為IAM所有使用者啟用多重要素驗證 (MFA)。在使用者名稱和密碼之上MFA新增額外的保護層。MFA 要求 IAM使用者減少遭盜用帳戶的事件。
附錄 10 第 B - 9 (a) ii) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制項來存取管理平面，其中可能包括下列項目：ii) 實作「最低權限」和強大的多重要素驗證 (MFA)，例如，強式密碼、軟字符、特殊權限存取管理工具和建立者檢查程式函數；	root-account-hardware-mfa已啟用	確保MFA為根使用者啟用硬體，以管理對 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
附錄 10 第 B - 9 (a) ii) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制項來存取管理平面，其中可能包括下列項目：ii) 實作「最低權限」和強大的多重要素驗證 (MFA)，例如，強式密碼、軟字符、特殊權限存取管理工具和建立者檢查程式函數；	root-account-mfa-enabled	確保 MFA 已為根使用者啟用，以管理對 AWS 雲端資源的存取。根使用者是 AWS 帳戶中權限最高的使用者。為使用者名稱和密碼MFA新增額外的保護層。透過MFA要求根使用者，您可以減少遭到入侵的事件 AWS 帳戶。
附錄 10 第 B - 9 (a) iii) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制來限制對管理平面的存取，其中可能包括：iii) 為特殊權限使用者採用精細的權利分配；	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離原則與存取許可和授權結合，限制政策包含「效果」：「允許」與「動作」：「」與「資源」：「」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。
附錄 10 第 B - 9 (a) iii) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制來限制對管理平面的存取，其中可能包括：iii) 為特殊權限使用者採用精細的權利分配；	iam-user-no-policies-檢查	此規則可確保 AWS Identity and Access Management (IAM) 政策僅連接到群組或角色，以控制對系統和資產的存取。在群組或角色層級指派權限，有助於降低某身分收到或保留過多權限的機會。
附錄 10 第 B - 9 (a) iv) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制來限制對管理平面的存取，其中可能包括：iv) 持續監控特殊權限使用者所執行的活動；	cloudtrail-security-trail-enabled	此規則透過檢查是否啟用多個設定 AWS CloudTrail，協助確保使用 AWS 建議的安全最佳實務。這包括在 AWS CloudTrail 多個區域中使用日誌加密、日誌驗證和啟用。
附錄 10 第 B - 9 (a) iv) 部分	管理平面是傳統基礎設施與雲端運算之間的主要安全差異，預設支援遠端存取。此存取層可能很容易受到網路攻擊，從而破壞整個雲端部署的完整性。有鑑於此，金融機構應確保使用強大的控制來限制對管理平面的存取，其中可能包括：iv) 持續監控特殊權限使用者所執行的活動；	cloud-trail-cloud-watch啟用日誌	使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供內API通話活動的詳細資訊 AWS 帳戶。
附錄 10 第 B - 12 (a) 部分	金融機構應根據本政策文件「資料外洩防護」一節 (第 11.14 至 11.16 項) 的要求，保護在雲端服務中託管的資料，包括擴大端點使用量 (如果金融機構允許員工使用自己的裝置存取敏感資料)。	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意IPs和機器學習的清單，用於識別您 AWS 雲端環境中的意外、未經授權和惡意活動。
附錄 10 第 B - 12 (a) 部分	金融機構應根據本政策文件「資料外洩防護」一節 (第 11.14 至 11.16 項) 的要求，保護在雲端服務中託管的資料，包括擴大端點使用量 (如果金融機構允許員工使用自己的裝置存取敏感資料)。	macie-status-check	Amazon Macie 是一項資料安全服務，使用機器學習 (ML) 和模式比對來探索和協助保護儲存在 Amazon Simple Storage Service (S3) 儲存貯體中的敏感資料。
附錄 10 第 B - 14 (c) i) 部分	金融機構在開發時應考慮下列其他措施CIRP：i) 增強偵測安全漏洞事件的能力，以實現有效的事件管理，包括偵測暗網資料洩漏的能力；	guardduty-enabled-centralized	Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意IPs和機器學習的清單，用於識別您 AWS 雲端環境中的意外、未經授權和惡意活動。
附錄 10 第 B - 14 (c) i) 部分	金融機構在開發時應考慮下列其他措施CIRP：i) 增強偵測安全漏洞事件的能力，以實現有效的事件管理，包括偵測暗網資料洩漏的能力；	guardduty-non-archived-findings	Amazon 透過依嚴重性分類問題清單來 GuardDuty 協助您了解事件的影響：低、中和高。您可以使用這些分類決定修復策略和優先順序。此規則可讓您根據組織的政策要求，選擇性地設定非封存問題清單的 daysLowSev （組態預設值：30)、 daysMediumSev （組態預設值：7) 和 daysHighSev （組態預設值：1)。

範本

範本可在上取得 GitHub：適用於 BNM 的操作最佳實務RMiT。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

BCP 和 DR 的操作最佳實務

加拿大網路安全中心 (CCCS) 中型雲端控制設定檔的最佳營運實務