Integration von Audit Manager-Nachweisen in Ihr GRC-System

Als Unternehmenskunde verfügen Sie wahrscheinlich über Ressourcen in mehreren Rechenzentren, einschließlich anderer Cloud-Anbieter und lokaler Umgebungen. Um Beweise aus diesen Umgebungen zu sammeln, können Sie GRC-Lösungen (Governance, Risk and Compliance) von Drittanbietern wie MetricStream CyberGRC oder RSA Archer verwenden. Oder Sie verwenden ein firmeneigenes GRC-System, das Sie selbst entwickelt haben.

Dieses Tutorial zeigt Ihnen, wie Sie Ihr internes oder externes GRC-System in Audit Manager integrieren können. Diese Integration ermöglicht es Anbietern, Nachweise über die AWS Nutzung und die Konfigurationen ihrer Kunden zu sammeln und diese Nachweise direkt von Audit Manager an die GRC-Anwendung zu senden. Auf diese Weise können Sie Ihre Compliance-Berichterstattung über mehrere Umgebungen hinweg zentralisieren.

Für die Zwecke dieses Tutorials:

1. Ein Anbieter ist die Entität oder das Unternehmen, dem die GRC-Anwendung gehört, die in Audit Manager integriert wird.

2. Ein Kunde ist die Entität oder das Unternehmen AWS, das eine interne oder externe GRC-Anwendung verwendet und auch verwendet.

Anmerkung

In einigen Fällen gehört die GRC-Anwendung demselben Unternehmen und wird von diesem verwendet. In diesem Szenario ist der Anbieter die Gruppe oder das Team, dem die GRC-Anwendung gehört, und der Kunde ist das Team oder die Gruppe, die die GRC-Anwendung verwendet.

In diesem Tutorial erfahren Sie, wie Sie folgende Aufgaben ausführen:

• Schritt 1: Audit Manager aktivieren

• Schritt 2: Berechtigungen einrichten

• Schritt 3. Ordnen Sie Ihre Unternehmenskontrollen den Kontrollen von Audit Manager zu

• Schritt 4. Halten Sie Ihre Kontrollzuordnungen auf dem neuesten Stand

• Schritt 5: Erstellen Sie eine Bewertung

• Schritt 6: Beginnen Sie mit der Beweiserhebung

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie die folgenden Bedingungen erfüllen:

• Sie haben eine Infrastruktur, die in Betrieb ist AWS.

• Sie verwenden ein internes GRC-System oder Sie verwenden GRC-Software von Drittanbietern, die von einem Anbieter bereitgestellt wird.

• Sie haben alle Voraussetzungen erfüllt, die für die Einrichtung von Audit Manager erforderlich sind.

• Sie kennen sich aus mitVerstehen AWS Audit Manager Konzepte und Terminologie.

Einige Einschränkungen, die Sie beachten sollten:

• Der Prüfungsleiter ist ein Regional AWS-Service. Sie müssen Audit Manager in jeder Region, in der Sie Ihre AWS Workloads ausführen, separat einrichten.

• Audit Manager unterstützt nicht die Aggregation von Nachweisen aus mehreren Regionen in einer einzigen Region. Wenn sich Ihre Ressourcen über mehrere erstrecken AWS-Regionen, müssen Sie die Nachweise in Ihrem GRC-System aggregieren.

• Audit Manager hat Standardkontingente für die Anzahl der Ressourcen, die Sie erstellen können. Sie können bei Bedarf eine Erhöhung dieser Standardkontingente beantragen. Weitere Informationen finden Sie unter Kontingente und Einschränkungen für AWS Audit Manager.

Schritt 1: Audit Manager aktivieren

Wer schließt diesen Schritt ab

Customer

Wichtige Informationen

Aktivieren Sie zunächst Audit Manager für Ihren AWS-Konto. Wenn Ihr Konto Teil einer Organisation ist, können Sie Audit Manager über Ihr Verwaltungskonto aktivieren und dann einen delegierten Administrator für Audit Manager angeben.

Verfahren

Um Audit Manager zu aktivieren

Folgen Sie den Anweisungen, um Audit Manager zu aktivieren. Wiederholen Sie den Einrichtungsvorgang für alle Regionen, in denen Sie Beweise sammeln möchten.

Tipp

Wenn Sie diese AWS Organizations Option verwenden, empfehlen wir dringend, in diesem Schritt einen delegierten Administrator einzurichten. Wenn Sie in Audit Manager ein delegiertes Administratorkonto verwenden, können Sie den Beweisfinder verwenden, um in allen Mitgliedskonten Ihrer Organisation nach Nachweisen zu suchen.

Schritt 2: Berechtigungen einrichten

Wer schließt diesen Schritt ab

Customer

Wichtige Informationen

In diesem Schritt erstellt der Kunde eine IAM-Rolle für sein Konto. Der Kunde erteilt dem Anbieter dann die Erlaubnis, die Rolle zu übernehmen.

Verfahren

Um eine Rolle für das Kundenkonto zu erstellen

Folgen Sie den Anweisungen unter Erstellen einer Rolle für einen IAM-Benutzer im IAM-Benutzerhandbuch.

• Wählen Sie in Schritt 8 des Workflows zur Rollenerstellung die Option Richtlinie erstellen aus und geben Sie eine Richtlinie für die Rolle ein.

  Die Rolle muss mindestens über die folgenden Berechtigungen verfügen:

  JSON

  {
    "Version":"2012-10-17",
    "Statement" : [
      {
        "Sid" : "AuditManagerAccess",
        "Effect" : "Allow",
        "Action" : [
          "auditmanager:*"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "OrganizationsAccess",
        "Effect" : "Allow",
        "Action" : [
          "organizations:ListAccountsForParent",
          "organizations:ListAccounts",
          "organizations:DescribeOrganization",
          "organizations:DescribeOrganizationalUnit",
          "organizations:DescribeAccount",
          "organizations:ListParents",
          "organizations:ListChildren"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "IAMAccess",
        "Effect" : "Allow",
        "Action" : [
          "iam:GetUser",
          "iam:ListUsers",
          "iam:ListRoles"
        ],
        "Resource" : "*"
      },        
      {
        "Sid" : "S3Access",
        "Effect" : "Allow",
        "Action" : [
          "s3:ListAllMyBuckets"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "KmsAccess",
        "Effect" : "Allow",
        "Action" : [
          "kms:DescribeKey",
          "kms:ListKeys",
          "kms:ListAliases"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "KmsCreateGrantAccess",
        "Effect" : "Allow",
        "Action" : [
          "kms:CreateGrant"
        ],
        "Resource" : "*",
        "Condition" : {
          "Bool" : {
            "kms:GrantIsForAWSResource" : "true"
          },
          "StringLike" : {
            "kms:ViaService" : "auditmanager.*.amazonaws.com"
          }
        }
      },
      {
        "Sid" : "SNSAccess",
        "Effect" : "Allow",
        "Action" : [
          "sns:ListTopics"
        ],
        "Resource" : "*"
      }, 
      {
        "Sid" : "TagAccess",
        "Effect" : "Allow",
        "Action" : [
          "tag:GetResources"
        ],
        "Resource" : "*"
      }
    ]
  }             
  

  Mehr anzeigenWeniger anzeigen

  Mehr anzeigenWeniger anzeigen

• Geben Sie in Schritt 11 des Workflows zur Rollenerstellung vendor-auditmanager den Rollennamen ein.

Damit das Kreditorenkonto die Rolle übernehmen kann

Folgen Sie den Anweisungen unter Benutzern die Berechtigung zum Rollenwechsel gewähren im IAM-Benutzerhandbuch.

• Die Grundsatzerklärung muss die Allow Auswirkungen auf die enthaltensts:AssumeRole action.

• Sie muss auch den Amazon-Ressourcennamen (ARN) der Rolle in einem Ressourcenelement enthalten.

• Hier ist ein Beispiel für eine Grundsatzerklärung, die Sie verwenden können.

  Ersetzen Sie in dieser Richtlinie das placeholder text durch die AWS-Konto ID Ihres Anbieters.

  JSON

  {
      "Version":"2012-10-17",
      "Statement": {
          "Effect": "Allow",
          "Action": "sts:AssumeRole",
          "Resource": "arn:aws:iam::111122223333:role/vendor-auditmanager"
      }
  }
  

  Mehr anzeigenWeniger anzeigen

  Mehr anzeigenWeniger anzeigen

Schritt 3. Ordnen Sie Ihre Unternehmenskontrollen den Kontrollen von Audit Manager zu

Wer schließt diesen Schritt ab

Customer

Wichtige Informationen

Anbieter führen eine kuratierte Liste von Unternehmenskontrollen, die Kunden bei einer Bewertung verwenden können. Für die Integration mit Audit Manager müssen Anbieter eine Schnittstelle einrichten, die es Kunden ermöglicht, ihre Unternehmenskontrollen den entsprechenden Audit Manager-Kontrollen zuzuordnen. Sie können common control s (bevorzugt) oder standard control s zuordnen. Sie müssen diese Zuordnung abschließen, bevor Sie mit der Bewertung in der GRC-Anwendung des Anbieters beginnen.

Option 1: Ordnen Sie Unternehmenskontrollen allgemeinen Kontrollen zu (empfohlen)

Dies ist die empfohlene Methode, um Ihre Unternehmenskontrollen Audit Manager zuzuordnen. Dies liegt daran, dass die gängigen Kontrollen eng mit den gängigen Industriestandards übereinstimmen. Dadurch ist es einfacher, sie Ihren Unternehmenskontrollen zuzuordnen.

Bei diesem Ansatz erstellt der Anbieter eine Schnittstelle, die es dem Kunden ermöglicht, eine einmalige Zuordnung zwischen seinen Unternehmenskontrollen und den entsprechenden allgemeinen Kontrollen durchzuführen, die Audit Manager bereitstellt. Anbieter können die GetControl API-Operationen ListControls, ListCommonControls, und verwenden, um diese Informationen den Kunden zur Verfügung zu stellen. Nachdem der Kunde die Zuordnung abgeschlossen hat, kann der Anbieter diese Zuordnungen verwenden, um benutzerdefinierte Kontrollen in Audit Manager zu erstellen.

Hier ist ein Beispiel für eine allgemeine Kontrollzuordnung:

Nehmen wir an, Sie haben einen Namen für eine UnternehmenskontrolleAsset Management. Diese Unternehmenskontrolle ist zwei allgemeinen Steuerelementen in Audit Manager (Asset performance managementundAsset maintenance scheduling) zugeordnet. In diesem Fall müssen Sie ein benutzerdefiniertes Steuerelement in Audit Manager erstellen (wir geben ihm einen Namenenterprise-asset-management). Fügen Sie dann Asset performance management und Asset maintenance scheduling als Beweisquellen zum neuen benutzerdefinierten Steuerelement hinzu. Diese Beweisquellen sammeln unterstützende Beweise aus einer vordefinierten Gruppe von AWS Datenquellen. Auf diese Weise können Sie auf effiziente Weise die AWS Datenquellen identifizieren, die den Anforderungen Ihrer Unternehmenskontrolle entsprechen.

Verfahren

So finden Sie die verfügbaren allgemeinen Steuerelemente, denen Sie eine Zuordnung zuordnen können

Folgen Sie den Schritten, um die Liste der verfügbaren allgemeinen Kontrollen in Audit Manager zu finden.

Um ein benutzerdefiniertes Steuerelement zu erstellen

1. Folgen Sie den Schritten, um ein benutzerdefiniertes Steuerelement zu erstellen, das Ihrer Unternehmenskontrolle entspricht.

   Gehen Sie wie folgt vor, wenn Sie in Schritt 2 des Workflows zur Erstellung benutzerdefinierter Kontrollen Beweisquellen angeben:

   • Wählen Sie AWS verwaltete Quellen als Beweisquelle aus.

   • Wählen Sie Eine gemeinsame Kontrolle verwenden, die Ihrem Compliance-Ziel entspricht.

   • Wählen Sie bis zu fünf gängige Kontrollen als Beweisquellen für Ihre Unternehmenskontrolle aus.

2. Wiederholen Sie diese Aufgabe für alle Ihre Unternehmenskontrollen und erstellen Sie für jede einzelne Kontrolle entsprechende benutzerdefinierte Kontrollen in Audit Manager.

Option 2: Ordnen Sie die Unternehmenskontrollen den Standardkontrollen zu

Audit Manager bietet eine große Anzahl vorgefertigter Standardkontrollen. Sie können eine einmalige Zuordnung zwischen Ihren Unternehmenskontrollen und diesen Standardkontrollen durchführen. Nachdem Sie die Standardsteuerelemente identifiziert haben, die Ihren Unternehmenskontrollen entsprechen, können Sie diese Standardsteuerelemente direkt einem benutzerdefinierten Framework hinzufügen. Wenn Sie diese Option wählen, müssen Sie keine benutzerdefinierten Kontrollen in Audit Manager erstellen.

Verfahren

So finden Sie die verfügbaren Standardkontrollen, denen Sie eine Zuordnung zuordnen können

Folgen Sie den Schritten, um die Liste der verfügbaren Standardkontrollen in Audit Manager zu finden.

Um ein benutzerdefiniertes Framework zu erstellen

1. Folgen Sie den Schritten, um ein benutzerdefiniertes Framework in Audit Manager zu erstellen.

   Wenn Sie in Schritt 2 des Framework-Erstellungsverfahrens einen Kontrollsatz angeben, schließen Sie die Standardkontrollen ein, die Ihren Unternehmenskontrollen entsprechen.

2. Wiederholen Sie diese Aufgabe für alle Ihre Unternehmenskontrollen, bis Sie alle entsprechenden Standardsteuerelemente in Ihr benutzerdefiniertes Framework aufgenommen haben.

Schritt 4. Halten Sie Ihre Kontrollzuordnungen auf dem neuesten Stand

Wer schließt diesen Schritt ab

Anbieter, Kunde

Wichtige Informationen

Audit Manager aktualisiert kontinuierlich gängige Kontrollen und Standardkontrollen, um sicherzustellen, dass die neuesten verfügbaren AWS Datenquellen verwendet werden. Das bedeutet, dass das Zuordnen von Kontrollen eine einmalige Aufgabe ist: Sie müssen keine Standardkontrollen verwalten, nachdem Sie sie einem benutzerdefinierten Framework hinzugefügt haben, und Sie müssen keine allgemeinen Kontrollen verwalten, nachdem Sie sie als Beweisquelle zu Ihrem benutzerdefinierten Steuerelement hinzugefügt haben. Immer wenn ein gemeinsames Steuerelement aktualisiert wird, werden dieselben Aktualisierungen automatisch auf alle benutzerdefinierten Steuerelemente angewendet, die dieses gemeinsame Steuerelement als Beweisquelle verwenden.

Im Laufe der Zeit ist es jedoch möglich, dass Ihnen neue allgemeine Kontrollen und Standardkontrollen zur Verfügung stehen, die Sie als Beweisquellen verwenden können. Vor diesem Hintergrund sollten Anbieter und Kunden einen Arbeitsablauf einrichten, um in regelmäßigen Abständen die neuesten gängigen Kontrollen und Standardkontrollen von Audit Manager abzurufen. Anschließend können Sie die Zuordnungen zwischen den Unternehmenskontrollen und den Audit Manager-Steuerelementen überprüfen und die Zuordnungen bei Bedarf aktualisieren.

Wenn Ihre Unternehmenskontrollen gemeinsamen Kontrollen zugeordnet sind

Während des Zuordnungsvorgangs haben Sie benutzerdefinierte Steuerelemente erstellt. Sie können Audit Manager verwenden, um diese benutzerdefinierten Kontrollen so zu bearbeiten, dass sie die neuesten verfügbaren allgemeinen Kontrollen als Beweisquellen verwenden. Sobald die Aktualisierungen der benutzerdefinierten Kontrollen wirksam werden, erfassen Ihre vorhandenen Bewertungen automatisch Beweise, die den aktualisierten benutzerdefinierten Kontrollen entsprechen. Es ist nicht erforderlich, ein neues Framework oder eine neue Bewertung zu erstellen.

Verfahren

Um die neuesten gängigen Steuerelemente zu finden, denen Sie eine Zuordnung zuordnen können

Folgen Sie den Schritten, um die verfügbaren allgemeinen Kontrollen in Audit Manager zu finden.

Um ein benutzerdefiniertes Steuerelement zu bearbeiten

1. Folgen Sie den Schritten, um ein benutzerdefiniertes Steuerelement in Audit Manager zu bearbeiten.

   Gehen Sie wie folgt vor, wenn Sie die Beweisquellen in Schritt 2 des Bearbeitungsworkflows aktualisieren:

   • Wählen Sie AWS verwaltete Quellen als Beweisquelle aus.

   • Wählen Sie Eine gemeinsame Kontrolle verwenden, die Ihrem Compliance-Ziel entspricht.

   • Wählen Sie das neue allgemeine Steuerelement aus, das Sie als Beweisquelle für Ihr benutzerdefiniertes Steuerelement verwenden möchten.

2. Wiederholen Sie diese Aufgabe für alle Ihre Unternehmenskontrollen, die Sie aktualisieren möchten.

Wenn Ihre Unternehmenskontrollen Standardkontrollen zugeordnet sind

In diesem Fall müssen die Anbieter ein neues benutzerdefiniertes Framework erstellen, das die neuesten verfügbaren Standardkontrollen enthält, und dann mithilfe dieses neuen Frameworks eine neue Bewertung erstellen. Nachdem Sie die neue Bewertung erstellt haben, können Sie Ihre alte Bewertung als inaktiv markieren.

Verfahren

So finden Sie die neuesten Standardkontrollen, denen Sie eine Zuordnung zuordnen können

Folgen Sie den Schritten, um die verfügbaren Standardkontrollen in Audit Manager zu finden.

Um ein benutzerdefiniertes Framework zu erstellen und die neuesten Standardsteuerelemente hinzuzufügen

Folgen Sie den Schritten, um ein benutzerdefiniertes Framework in Audit Manager zu erstellen.

Wenn Sie in Schritt 2 des Workflows zur Framework-Erstellung einen Kontrollsatz angeben, schließen Sie die neuen Standardkontrollen ein.

Um eine Bewertung zu erstellen

Erstellen Sie eine Bewertung in der GRC-Anwendung.

Um den Status einer Bewertung in inaktiv zu ändern

Folgen Sie den Schritten, um den Status einer Bewertung in Audit Manager zu ändern.

Schritt 5: Erstellen Sie eine Bewertung

Wer schließt diesen Schritt ab

GRC-Anwendung mit Angaben des Anbieters

Wichtige Informationen

Als Kunde müssen Sie keine Bewertung direkt in Audit Manager erstellen. Wenn Sie eine Bewertung für bestimmte Kontrollen in der GRC-Anwendung starten, erstellt die GRC-Anwendung die entsprechenden Ressourcen für Sie in Audit Manager. Zunächst verwendet die GRC-Anwendung die von Ihnen erstellten Zuordnungen, um die relevanten Audit Manager-Kontrollen zu identifizieren. Als Nächstes verwendet sie die Kontrollinformationen, um ein benutzerdefiniertes Framework für Sie zu erstellen. Schließlich verwendet es das neu erstellte benutzerdefinierte Framework, um eine Bewertung in Audit Manager zu erstellen.

Für die Erstellung einer Bewertung in Audit Manager ist auch ein Umfang erforderlich. Dieser Umfang umfasst eine Liste der Bereiche AWS-Konten , in denen der Kunde die Bewertung durchführen und Beweise sammeln möchte. Kunden müssen diesen Umfang direkt in der GRC-Anwendung definieren.

Als Anbieter müssen Sie das speichern, was der Bewertung zugeordnet istassessmentId, die in der GRC-Anwendung gestartet wurde. Dies assessmentId ist erforderlich, um Beweise vom Audit Manager abzurufen.

Um eine Bewertungs-ID zu finden

1. Verwenden Sie die ListAssessments Operation, um Ihre Bewertungen in Audit Manager anzuzeigen. Sie können den https://docs.aws.amazon.com/audit-manager/latest/APIReference/API_ListAssessments.html#auditmanager-ListAssessments-request-status Status-Parameter verwenden, um aktive Bewertungen anzuzeigen.

   aws auditmanager list-assessments --status ACTIVE

2. Identifizieren Sie in der Antwort die Bewertung, die Sie in der GRC-Anwendung speichern möchten, und notieren Sie sich dieassessmentId.

Schritt 6: Beginnen Sie mit der Beweiserhebung

Wer schließt diesen Schritt ab

AWS Audit Manager, mit Angaben des Anbieters

Wichtige Informationen

Nachdem Sie eine Bewertung erstellt haben, dauert es bis zu 24 Stunden, bis mit der Erfassung von Nachweisen begonnen wird. Zu diesem Zeitpunkt sammelt Ihre Unternehmenskontrolle nun aktiv Beweise für Ihre Bewertung durch den Audit Manager.

Wir empfehlen Ihnen, die Funktion zur Suche nach Nachweisen zu verwenden, um schnell Nachweise in Audit Manager abzufragen und zu finden. Wenn Sie ein delegierter Administrator für Audit Manager sind, aktivieren Sie die Beweissuche, um nach Beweisen für alle Mitgliedskonten in Ihrem Unternehmen zu suchen. Mithilfe einer Kombination aus Filtern und Gruppierungen können Sie den Umfang Ihrer Suchabfrage schrittweise einschränken. Wenn Sie sich beispielsweise einen umfassenden Überblick über den Zustand Ihres Systems verschaffen möchten, führen Sie eine umfassende Suche durch und filtern Sie nach Bewertung, Datumsbereich und Ressourcen-Compliance. Wenn Sie eine bestimmte Ressource korrigieren wollen, können Sie eine eingeschränkte Suche durchführen, um gezielt nach Beweisen für eine bestimmte Kontrollelement- oder Ressourcen-ID zu suchen. Nachdem Sie Ihre Filter definiert haben, können Sie die entsprechenden Suchergebnisse gruppieren und anschließend per Vorschau anzeigen, bevor Sie einen Bewertungsbericht erstellen.

Um die Beweissuche zu aktivieren

• Folgen Sie den Anweisungen, um den Beweisfinder in Ihren Audit Manager-Einstellungen zu aktivieren.

Nachdem Sie den Evidence Finder aktiviert haben, können Sie festlegen, in welchem Rhythmus die Nachweise für Ihre Bewertung vom Auditmanager abgerufen werden. Sie können auch Nachweise für eine bestimmte Kontrolle in einer Bewertung abrufen und die Nachweise in der GRC-Anwendung speichern, die der Unternehmenskontrolle zugeordnet ist. Sie können die folgenden Audit Manager-API-Operationen verwenden, um Nachweise abzurufen:

• GetEvidence

• GetEvidenceByEvidenceFolder

• GetEvidenceFolder

• GetEvidenceFoldersByAssessment

• GetEvidenceFoldersByAssessmentControl

Preisgestaltung

Für dieses Integrations-Setup fallen keine zusätzlichen Kosten an, unabhängig davon, ob Sie Anbieter oder Kunde sind. Den Kunden werden die in Audit Manager gesammelten Beweise in Rechnung gestellt. Weitere Informationen über die Preise finden Sie unter AWS Audit Manager – Preise.

Weitere Ressourcen

Weitere Informationen zu den in diesem Tutorial vorgestellten Konzepten finden Sie in den folgenden Ressourcen:

• Prüfungen — Erfahren Sie mehr über die Konzepte und Aufgaben zur Verwaltung einer Bewertung.

• Kontrollbibliothek — Erfahren Sie mehr über die Konzepte und Aufgaben zur Verwaltung einer benutzerdefinierten Steuerung.

• Framework-Bibliothek — Erfahren Sie mehr über die Konzepte und Aufgaben zur Verwaltung eines benutzerdefinierten Frameworks.

• Evidence Finder — Erfahren Sie, wie Sie eine CSV-Datei exportieren oder einen Bewertungsbericht aus Ihren Abfrageergebnissen erstellen.

• Downloadcenter — Erfahren Sie, wie Sie Bewertungsberichte und CSV-Exporte von Audit Manager herunterladen können.