Mengintegrasikan bukti Audit Manager ke dalam sistem GRC Anda

Sebagai pelanggan perusahaan, Anda mungkin memiliki sumber daya di beberapa pusat data, termasuk vendor cloud lainnya dan lingkungan lokal. Untuk mengumpulkan bukti dari lingkungan ini, Anda dapat menggunakan solusi GRC (Tata Kelola, Risiko, dan Kepatuhan) pihak ketiga seperti MetricStream CyberGRC atau RSA Archer. Atau, Anda dapat menggunakan sistem GRC eksklusif yang Anda kembangkan di rumah.

Tutorial ini menunjukkan kepada Anda bagaimana Anda dapat mengintegrasikan sistem GRC internal atau eksternal Anda dengan Audit Manager. Integrasi ini memungkinkan vendor untuk mengumpulkan bukti tentang AWS penggunaan dan konfigurasi pelanggan mereka, dan mengirim bukti itu langsung dari Manajer Audit ke aplikasi GRC. Dengan melakukan ini, Anda dapat memusatkan pelaporan kepatuhan Anda di berbagai lingkungan.

Untuk tujuan tutorial ini:

1. V endor adalah entitas atau perusahaan yang memiliki aplikasi GRC yang sedang diintegrasikan dengan Audit Manager.

2. Pel ang gan adalah entitas atau perusahaan yang menggunakan AWS, dan yang juga menggunakan aplikasi GRC internal atau eksternal.

catatan

Dalam beberapa kasus, aplikasi GRC dimiliki dan digunakan oleh perusahaan yang sama. Dalam skenario ini, vendor adalah grup atau tim yang memiliki aplikasi GRC, dan pelanggan adalah tim atau grup yang menggunakan aplikasi GRC.

Tutorial ini menunjukkan kepada Anda cara melakukan hal berikut:

• Langkah 1: Aktifkan Manajer Audit

• Langkah 2: Siapkan izin

• Langkah 3. Petakan kontrol perusahaan Anda ke kontrol Audit Manager

• Langkah 4. Perbarui pemetaan kontrol Anda

• Langkah 5: Buat penilaian

• Langkah 6. Mulai mengumpulkan bukti

Prasyarat

Sebelum memulai, pastikan Anda memenuhi persyaratan berikut:

• Anda memiliki infrastruktur yang berjalan di dalamnya AWS.

• Anda menggunakan sistem GRC internal, atau Anda menggunakan perangkat lunak GRC pihak ketiga yang disediakan oleh vendor.

• Anda menyelesaikan semua prasyarat yang diperlukan untuk mengatur Audit Manager.

• Anda akrab denganMemahami AWS Audit Manager konsep dan terminologi.

Beberapa batasan yang perlu diingat:

• Manajer Audit adalah seorang Regional Layanan AWS. Anda harus mengatur Audit Manager secara terpisah di setiap Wilayah tempat Anda menjalankan AWS beban kerja.

• Manajer Audit tidak mendukung agregasi bukti dari beberapa Wilayah ke dalam satu Wilayah. Jika sumber daya Anda mencakup beberapa Wilayah AWS, Anda harus mengumpulkan bukti dalam sistem GRC Anda.

• Audit Manager memiliki kuota default untuk jumlah sumber daya yang dapat Anda buat. Anda dapat meminta peningkatan kuota default ini jika diperlukan. Untuk informasi selengkapnya, lihat Kuota dan batasan untuk AWS Audit Manager.

Langkah 1: Aktifkan Manajer Audit

Siapa yang menyelesaikan langkah ini

Pelanggan

Apa yang perlu Anda lakukan

Mulailah dengan mengaktifkan Audit Manager untuk Anda Akun AWS. Jika akun Anda adalah bagian dari organisasi, Anda dapat mengaktifkan Audit Manager menggunakan akun manajemen Anda dan kemudian menentukan administrator yang didelegasikan untuk Manajer Audit.

Prosedur

Untuk mengaktifkan Audit Manager

Ikuti petunjuk untuk Aktifkan Manajer Audit. Ulangi prosedur penyiapan untuk semua Wilayah tempat Anda ingin mengumpulkan bukti.

Tip

Jika Anda menggunakan AWS Organizations, kami sangat menyarankan Anda menyiapkan administrator yang didelegasikan selama langkah ini. Saat menggunakan akun administrator yang didelegasikan di Audit Manager, Anda dapat menggunakan pencari bukti untuk mencari bukti di semua akun anggota di organisasi Anda.

Langkah 2: Siapkan izin

Siapa yang menyelesaikan langkah ini

Pelanggan

Apa yang perlu Anda lakukan

Pada langkah ini, pelanggan membuat peran IAM untuk akun mereka. Pelanggan kemudian memberikan izin vendor untuk mengambil peran tersebut.

Prosedur

Untuk membuat peran untuk akun pelanggan

Ikuti instruksi dalam Membuat peran untuk pengguna IAM dalam Panduan Pengguna IAM.

• Pada langkah 8 alur kerja pembuatan peran, pilih Buat kebijakan dan masukkan kebijakan untuk peran tersebut.

  Minimal, peran harus memiliki izin berikut:

  JSON

  {
    "Version":"2012-10-17",
    "Statement" : [
      {
        "Sid" : "AuditManagerAccess",
        "Effect" : "Allow",
        "Action" : [
          "auditmanager:*"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "OrganizationsAccess",
        "Effect" : "Allow",
        "Action" : [
          "organizations:ListAccountsForParent",
          "organizations:ListAccounts",
          "organizations:DescribeOrganization",
          "organizations:DescribeOrganizationalUnit",
          "organizations:DescribeAccount",
          "organizations:ListParents",
          "organizations:ListChildren"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "IAMAccess",
        "Effect" : "Allow",
        "Action" : [
          "iam:GetUser",
          "iam:ListUsers",
          "iam:ListRoles"
        ],
        "Resource" : "*"
      },        
      {
        "Sid" : "S3Access",
        "Effect" : "Allow",
        "Action" : [
          "s3:ListAllMyBuckets"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "KmsAccess",
        "Effect" : "Allow",
        "Action" : [
          "kms:DescribeKey",
          "kms:ListKeys",
          "kms:ListAliases"
        ],
        "Resource" : "*"
      },
      {
        "Sid" : "KmsCreateGrantAccess",
        "Effect" : "Allow",
        "Action" : [
          "kms:CreateGrant"
        ],
        "Resource" : "*",
        "Condition" : {
          "Bool" : {
            "kms:GrantIsForAWSResource" : "true"
          },
          "StringLike" : {
            "kms:ViaService" : "auditmanager.*.amazonaws.com"
          }
        }
      },
      {
        "Sid" : "SNSAccess",
        "Effect" : "Allow",
        "Action" : [
          "sns:ListTopics"
        ],
        "Resource" : "*"
      }, 
      {
        "Sid" : "TagAccess",
        "Effect" : "Allow",
        "Action" : [
          "tag:GetResources"
        ],
        "Resource" : "*"
      }
    ]
  }             
  

  Tampilkan lebih banyakTampilkan lebih sedikit

  Tampilkan lebih banyakTampilkan lebih sedikit

• Pada langkah 11 alur kerja pembuatan peran, masukkan vendor-auditmanager sebagai nama Peran.

Untuk mengizinkan akun vendor untuk mengambil peran

Ikuti petunjuk dalam Mem berikan izin pengguna untuk beralih peran di Panduan Pengguna IAM.

• Pernyataan kebijakan harus mencakup Allow efek padasts:AssumeRole action.

• Itu juga harus menyertakan Nama Sumber Daya Amazon (ARN) dari peran dalam elemen Sumber Daya.

• Berikut adalah contoh pernyataan kebijakan yang dapat Anda gunakan.

  Dalam kebijakan ini, ganti placeholder text dengan Akun AWS ID vendor Anda.

  JSON

  {
      "Version":"2012-10-17",
      "Statement": {
          "Effect": "Allow",
          "Action": "sts:AssumeRole",
          "Resource": "arn:aws:iam::111122223333:role/vendor-auditmanager"
      }
  }
  

  Tampilkan lebih banyakTampilkan lebih sedikit

  Tampilkan lebih banyakTampilkan lebih sedikit

Langkah 3. Petakan kontrol perusahaan Anda ke kontrol Audit Manager

Siapa yang menyelesaikan langkah ini

Pelanggan

Apa yang perlu Anda lakukan

Vendor menyimpan daftar kontrol perusahaan yang dikuratori yang dapat digunakan pelanggan dalam penilaian. Untuk mengintegrasikan dengan Audit Manager, vendor harus membuat antarmuka yang memungkinkan pelanggan memetakan kontrol perusahaan mereka ke kontrol Manajer Audit yang sesuai. Anda dapat memetakan ke common control s (lebih disukai), atau standard control s. Anda harus menyelesaikan pemetaan ini sebelum memulai penilaian apa pun di aplikasi GRC vendor.

Opsi 1: Petakan kontrol perusahaan ke kontrol umum (disarankan)

Ini adalah cara yang disarankan untuk memetakan kontrol perusahaan Anda ke Manajer Audit. Ini karena kontrol umum sangat selaras dengan standar industri umum. Ini membuatnya lebih mudah untuk memetakannya ke kontrol perusahaan Anda.

Dengan pendekatan ini, vendor membuat antarmuka yang memungkinkan pelanggan untuk melakukan pemetaan satu kali antara kontrol perusahaan mereka dan kontrol umum yang sesuai yang disediakan oleh Audit Manager. Vendor dapat menggunakan operasi ListControls ListCommonControls,, dan GetControl API untuk menampilkan informasi ini kepada pelanggan. Setelah pelanggan menyelesaikan latihan pemetaan, vendor kemudian dapat menggunakan pemetaan ini untuk membuat kontrol kustom di Audit Manager.

Berikut adalah contoh pemetaan kontrol umum:

Katakanlah Anda memiliki kontrol perusahaan bernamaAsset Management. Kontrol perusahaan ini memetakan ke dua kontrol umum di Audit Manager (Asset performance managementdanAsset maintenance scheduling). Dalam hal ini, Anda harus membuat kontrol khusus di Audit Manager (kami akan menamainyaenterprise-asset-management). Kemudian, dan tambahkan Asset performance management dan Asset maintenance scheduling sebagai sumber bukti ke kontrol kustom baru. Sumber bukti ini mengumpulkan bukti pendukung dari kelompok sumber AWS data yang telah ditentukan sebelumnya. Ini memberi Anda cara yang efisien untuk mengidentifikasi sumber AWS data yang dipetakan dengan persyaratan kontrol perusahaan Anda.

Prosedur

Untuk menemukan kontrol umum yang tersedia yang dapat Anda petakan

Ikuti langkah-langkah untuk menemukan daftar kontrol umum yang tersedia di Audit Manager.

Untuk membuat kontrol kustom

1. Ikuti langkah-langkah untuk membuat kontrol kustom yang selaras dengan kontrol perusahaan Anda.

   Saat Anda menentukan sumber bukti di langkah 2 alur kerja pembuatan kontrol kustom, lakukan hal berikut:

   • Pilih AWS sumber ter kelola sebagai sumber bukti.

   • Pilih Gunakan kontrol umum yang sesuai dengan tujuan kepatuhan Anda.

   • Pilih hingga lima kontrol umum sebagai sumber bukti untuk kontrol perusahaan Anda.

2. Ulangi tugas ini untuk semua kontrol perusahaan Anda, dan buat kontrol kustom yang sesuai di Audit Manager untuk masing-masing kontrol.

Opsi 2: Petakan kontrol perusahaan ke kontrol standar

Audit Manager menyediakan sejumlah besar kontrol standar bawaan. Anda dapat melakukan pemetaan satu kali antara kontrol perusahaan Anda dan kontrol standar ini. Setelah mengidentifikasi kontrol standar yang sesuai dengan kontrol perusahaan Anda, Anda dapat menambahkan kontrol standar ini langsung ke kerangka kerja khusus. Jika Anda memilih opsi ini, Anda tidak perlu membuat kontrol kustom apa pun di Audit Manager.

Prosedur

Untuk menemukan kontrol standar yang tersedia yang dapat Anda petakan

Ikuti langkah-langkah untuk menemukan daftar kontrol standar yang tersedia di Audit Manager.

Untuk membuat kerangka kerja khusus

1. Ikuti langkah-langkah untuk membuat kerangka kerja khusus di Audit Manager.

   Saat Anda menentukan kumpulan kontrol di langkah 2 prosedur pembuatan kerangka kerja, sertakan kontrol standar yang dipetakan ke kontrol perusahaan Anda.

2. Ulangi tugas ini untuk semua kontrol perusahaan Anda sampai Anda menyertakan semua kontrol standar yang sesuai dalam kerangka kustom Anda.

Langkah 4. Perbarui pemetaan kontrol Anda

Siapa yang menyelesaikan langkah ini

Vendor, pelanggan

Apa yang perlu Anda lakukan

Audit Manager terus memperbarui kontrol umum dan kontrol standar untuk memastikan bahwa mereka menggunakan sumber AWS data terbaru yang tersedia. Ini berarti bahwa kontrol pemetaan adalah tugas satu kali: Anda tidak perlu mengelola kontrol standar setelah Anda menambahkannya ke kerangka kerja khusus, dan Anda tidak perlu mengelola kontrol umum setelah Anda menambahkannya sebagai sumber bukti di kontrol kustom Anda. Setiap kali kontrol umum diperbarui, pembaruan yang sama secara otomatis diterapkan ke semua kontrol khusus yang menggunakan kontrol umum tersebut sebagai sumber bukti.

Namun, seiring waktu, ada kemungkinan bahwa kontrol umum baru dan kontrol standar akan tersedia untuk Anda gunakan sebagai sumber bukti. Dengan pemikiran ini, vendor dan pelanggan harus membuat alur kerja untuk secara berkala mengambil kontrol umum terbaru dan kontrol standar dari Audit Manager. Anda kemudian dapat meninjau pemetaan antara kontrol perusahaan dan kontrol Audit Manager, dan memperbarui pemetaan sesuai kebutuhan.

Jika kontrol perusahaan Anda dipetakan ke kontrol umum

Selama proses pemetaan, Anda membuat kontrol khusus. Anda dapat menggunakan Audit Manager untuk mengedit kontrol kustom tersebut sehingga mereka menggunakan kontrol umum terbaru yang tersedia sebagai sumber bukti. Setelah pembaruan kontrol kustom berlaku, penilaian Anda yang ada akan secara otomatis mengumpulkan bukti terhadap kontrol kustom yang diperbarui. Tidak perlu membuat kerangka kerja atau penilaian baru.

Prosedur

Untuk menemukan kontrol umum terbaru yang dapat Anda petakan

Ikuti langkah-langkah untuk menemukan kontrol umum yang tersedia di Audit Manager.

Untuk mengedit kontrol kustom

1. Ikuti langkah-langkah untuk mengedit kontrol kustom di Audit Manager.

   Saat Anda memperbarui sumber bukti di langkah 2 alur kerja pengeditan, lakukan hal berikut:

   • Pilih AWS sumber ter kelola sebagai sumber bukti.

   • Pilih Gunakan kontrol umum yang sesuai dengan tujuan kepatuhan Anda.

   • Pilih kontrol umum baru yang ingin Anda gunakan sebagai sumber bukti untuk kontrol kustom Anda.

2. Ulangi tugas ini untuk semua kontrol perusahaan yang ingin Anda perbarui.

Jika kontrol perusahaan Anda dipetakan ke kontrol standar

Dalam hal ini, vendor harus membuat kerangka kerja khusus baru yang mencakup kontrol standar terbaru yang tersedia, dan kemudian membuat penilaian baru menggunakan kerangka kerja baru ini. Setelah membuat penilaian baru, Anda dapat menandai penilaian lama Anda sebagai tidak aktif.

Prosedur

Untuk menemukan kontrol standar terbaru yang dapat Anda petakan

Ikuti langkah-langkah untuk menemukan kontrol standar yang tersedia di Audit Manager.

Untuk membuat kerangka kerja khusus dan menambahkan kontrol standar terbaru

Ikuti langkah-langkah untuk membuat kerangka kerja khusus di Audit Manager.

Saat Anda menentukan kumpulan kontrol di langkah 2 alur kerja pembuatan kerangka kerja, sertakan kontrol standar baru.

Untuk membuat penilaian

Buat penilaian dalam aplikasi GRC.

Untuk mengubah status penilaian menjadi tidak aktif

Ikuti langkah-langkah untuk mengubah status penilaian di Audit Manager.

Langkah 5: Buat penilaian

Siapa yang menyelesaikan langkah ini

Aplikasi GRC, dengan masukan dari vendor

Apa yang perlu Anda lakukan

Sebagai pelanggan, Anda tidak perlu membuat penilaian langsung di Audit Manager. Saat Anda memulai penilaian untuk kontrol tertentu dalam aplikasi GRC, aplikasi GRC membuat sumber daya yang sesuai untuk Anda di Audit Manager. Pertama, aplikasi GRC menggunakan pemetaan yang Anda buat untuk mengidentifikasi kontrol Audit Manager yang relevan. Selanjutnya, ia menggunakan informasi kontrol untuk membuat kerangka kerja khusus untuk Anda. Terakhir, ia menggunakan kerangka kerja khusus yang baru dibuat untuk membuat penilaian di Audit Manager.

Membuat penilaian di Audit Manager juga membutuhkan ruang lingkup. Lingkup ini mengambil daftar di Akun AWS mana pelanggan ingin menjalankan penilaian dan mengumpulkan bukti. Pelanggan harus menentukan ruang lingkup ini secara langsung dalam aplikasi GRC.

Sebagai vendor, Anda perlu menyimpan assessmentId yang dipetakan ke penilaian yang dimulai di aplikasi GRC. Ini assessmentId diperlukan untuk mengambil bukti dari Manajer Audit.

Untuk menemukan ID penilaian

1. Gunakan ListAssessments operasi untuk melihat penilaian Anda di Audit Manager. Anda dapat menggunakan parameter status untuk melihat penilaian yang aktif.

   aws auditmanager list-assessments --status ACTIVE

2. Dalam tanggapan, identifikasi penilaian yang ingin Anda simpan di aplikasi GRC, dan catat. assessmentId

Langkah 6. Mulai mengumpulkan bukti

Siapa yang menyelesaikan langkah ini

AWS Audit Manager, dengan masukan dari vendor

Apa yang perlu Anda lakukan

Setelah Anda membuat penilaian, dibutuhkan waktu hingga 24 jam untuk mulai mengumpulkan bukti. Pada titik ini, kontrol perusahaan Anda sekarang secara aktif mengumpulkan bukti untuk penilaian Manajer Audit Anda.

Kami menyarankan Anda menggunakan fitur pencari bukti untuk menanyakan dan menemukan bukti dengan cepat di Manajer Audit. Jika Anda menggunakan pencari bukti sebagai administrator yang didelegasikan, Anda dapat mencari bukti di semua akun anggota di organisasi Anda. Dengan menggunakan kombinasi filter dan pengelompokan, Anda dapat secara progresif mempersempit cakupan permintaan pencarian Anda. Misalnya, jika Anda menginginkan tampilan tingkat tinggi kesehatan sistem Anda, lakukan pencarian luas dan filter berdasarkan penilaian, rentang tanggal, dan kepatuhan sumber daya. Jika tujuan Anda adalah memperbaiki sumber daya tertentu, Anda dapat melakukan pencarian sempit untuk menargetkan bukti untuk kontrol atau ID sumber daya tertentu. Setelah menentukan filter, Anda dapat mengelompokkan dan kemudian melihat pratinjau hasil pencarian yang cocok sebelum membuat laporan penilaian.

Untuk mengaktifkan pencari bukti

• Ikuti petunjuk untuk mengaktifkan pencari bukti dari pengaturan Manajer Audit Anda.

Setelah mengaktifkan pencari bukti, Anda dapat memutuskan irama untuk mengambil bukti dari Manajer Audit untuk penilaian Anda. Anda juga dapat mengambil bukti untuk kontrol tertentu dalam penilaian, dan menyimpan bukti dalam aplikasi GRC yang dipetakan ke kontrol perusahaan. Anda dapat menggunakan operasi API Manajer Audit berikut untuk mengambil bukti:

• GetEvidence

• GetEvidenceByEvidenceFolder

• GetEvidenceFolder

• GetEvidenceFoldersByAssessment

• GetEvidenceFoldersByAssessmentControl

Harga

Anda tidak akan dikenakan biaya tambahan untuk pengaturan integrasi ini, apakah Anda seorang vendor atau pelanggan. Pelanggan dikenakan biaya untuk bukti yang dikumpulkan di Audit Manager. Untuk informasi selengkapnya tentang harga, lihat AWS Audit Manager Harga.

Sumber daya tambahan

Anda dapat mempelajari lebih lanjut tentang konsep yang diperkenalkan dalam tutorial ini dengan meninjau sumber daya berikut:

• Penilaian — Pelajari tentang konsep dan tugas untuk mengelola penilaian.

• Pustaka kontrol — Pelajari tentang konsep dan tugas untuk mengelola kontrol kustom.

• Perpustakaan kerangka kerja — Pelajari tentang konsep dan tugas untuk mengelola kerangka kerja khusus.

• Pencari bukti - Pelajari cara mengekspor file CSV atau membuat laporan penilaian dari hasil kueri Anda.

• Pusat un duhan - Pelajari cara mengunduh laporan penilaian dan ekspor CSV dari Audit Manager.