Como criar uma avaliação

Este tópico se baseia no tutorial Introdução: Como criar uma avaliação. Contém instruções detalhadas sobre como criar uma avaliação a partir de uma estrutura. Siga estas etapas para criar uma avaliação e iniciar a coleta contínua de evidências.

Etapa 1: especificar detalhes da avaliação

Comece selecionando um framework e fornecendo informações básicas para sua avaliação.

Para especificar detalhes da avaliação

1. Abra o console do AWS Audit Manager em https://console.aws.amazon.com/auditmanager/home.

2. No painel de navegação, escolha Avaliações e depois, Criar avaliação.

   • Como alternativa, no painel de navegação, escolha Introdução e depois, Criar avaliação.

3. Em Nome da avaliação, insira um nome para sua avaliação.

4. (Opcional) Em Descrição da avaliação, insira uma descrição para a sua avaliação.

5. Em Destino dos relatórios de avaliação, selecione o bucket Amazon S3 existente onde deseja salvar seus relatórios de avaliação.

   dica

   O destino padrão do relatório de avaliação é baseado nas suas configurações do Audit Manager. Para obter mais informações, consulte Configurações AWS Audit Manager, destino do relatório de avaliação. Se preferir, você pode criar e usar vários buckets S3 para ajudá-lo a organizar seus relatórios de avaliação.

6. Em Frameworks, selecione o framework a partir do qual deseja criar sua avaliação. Você também pode usar a barra de pesquisa para pesquisar um framework por nome ou por padrão ou regulamento de conformidade.

   dica

   Para saber mais, escolha o nome do framework. Isso abre a página de detalhes do framework. Nessa página, você pode analisar o conteúdo desse framework. Isso inclui seus controles e fontes de dados.

7. Em Tags, selecione Adicionar nova tag para associar uma tag à sua avaliação. Você pode especificar uma chave e um valor para cada tag. A chave da tag é obrigatória, e pode ser usada como critério de pesquisa ao buscar essa avaliação. Para obter mais informações sobre tags no Audit Manager, consulte Marcando atributos AWS Audit Manager.

8. Escolha Next (Próximo).

nota

É importante garantir que sua avaliação colete as evidências corretas para um determinado framework. Antes de iniciar a coleta de evidências, recomendamos que você analise os requisitos do framework escolhido. Em seguida, valide esses requisitos em relação aos parâmetros atuais da regra AWS Config. Para garantir que seus parâmetros de regra estejam alinhados com os requisitos do framework, você pode atualizar a regra em AWS Config.

Por exemplo, suponha que você esteja criando uma avaliação para o CIS v1.2.0. Esse framework tem um controle chamado 1.9 – Certifique-se de que a política de senha do IAM exija um comprimento mínimo de 14 ou mais. Em AWS Config, a regra iam-password-policy tem um parâmetro MinimumPasswordLength que verifica o tamanho da senha. O valor padrão desse parâmetro é de 14 caracteres. Como resultado, a regra se alinha aos requisitos de controle. Se não estiver usando o valor do parâmetro padrão, verifique se o valor que está usando é igual ou maior que o requisito de 14 caracteres do CIS v1.2.0. Você pode encontrar os detalhes do parâmetro padrão para cada regra gerenciada na documentação AWS Config.

Etapa 2: especificar Contas da AWS no escopo

Você pode especificar múltiplos Contas da AWS para o escopo de uma avaliação. O Audit Manager oferece suporte a várias contas, por meio da integração com o AWS Organizations. Isso significa que as avaliações do Audit Manager podem ser executadas em várias contas, com as evidências coletadas consolidadas em uma conta de administrador delegado. Para habilitar Organizações no Audit Manager, consulte Ativar AWS Organizations (opcional).

nota

O Audit Manager pode suportar até aproximadamente 150 contas no escopo de uma avaliação. Se tentar incluir mais de 150 contas, a criação da avaliação poderá falhar.

Para especificar Contas da AWS no escopo

1. Em Contas da AWS, selecione a Contas da AWS que deseja incluir no escopo da sua avaliação.

   • Se você habilitou Organizações no Audit Manager, várias contas serão listadas. Você pode escolher uma ou mais contas da lista. Como alternativa, você também pode pesquisar uma conta pelo nome, ID ou e-mail.

   • Se você não habilitou Organizações no Audit Manager, somente sua conta atual Conta da AWS estará listada.

2. Escolha Next (Próximo).

nota

Quando uma conta do escopo é removida da sua organização, o Audit Manager não coleta mais evidências dessa conta. No entanto, a conta continua sendo exibida em sua avaliação na guia Contas da AWS. Para remover a conta da lista de contas no escopo, você pode editar a avaliação. A conta removida não aparece mais na lista durante a edição e você pode salvar suas alterações sem que essa conta esteja no escopo.

Etapa 3: especificar Serviços da AWS no escopo

O framework que você selecionou anteriormente define a Serviços da AWS que o Audit Manager irá monitorar e para a qual coletará evidências. Se uma AWS service (Serviço da AWS) listada não estiver selecionada, ou estiver selecionada, mas você não a habilitou em seu ambiente, o Audit Manager não coleta evidências de recursos relacionados a esse serviço.

Você pode especificar o escopo Serviços da AWS da seguinte forma.

Para avaliações criadas a partir de frameworks padrão

Quando você usa o console do Audit Manager para criar uma avaliação a partir de um framework padrão, a lista de Serviços da AWS no escopo é selecionada por padrão. Essa lista não pode ser editada. Isso ocorre porque o Audit Manager mapeia e seleciona automaticamente as fontes de dados e os serviços para você. Essa seleção é feita de acordo com os requisitos do framework padrão. Se a estrutura padrão que você selecionou contiver somente controles manuais, nenhum Serviços da AWS estará no escopo da sua avaliação e não será possível adicionar nenhum serviço à sua avaliação.

Para prosseguir, analise a lista e escolha Avançar.

dica

Se você precisar editar a lista de serviços no escopo, pode fazê-lo usando a API CreateAssessment fornecida pelo Audit Manager.

Como alternativa, você pode personalizar o framework padrão e, em seguida, criar uma avaliação a partir do framework personalizado.

Para avaliações criadas a partir de frameworks personalizados

Se você selecionou um framework personalizado na etapa 1, poderá analisar e modificar a lista de Serviços da AWS no escopo de sua avaliação. Se o framework personalizado selecionado tiver somente controles manuais, todos os Serviços da AWS serão exibidos, mas nenhum será selecionado. Você pode selecionar zero ou mais serviços para fazerem parte do escopo de sua avaliação.

Para especificar o escopo Serviços da AWS (somente para avaliações criadas a partir de frameworks personalizados)

1. Em Serviços da AWS, selecione os serviços que deseja incluir na sua avaliação. Você encontra serviços adicionais usando a barra de pesquisa para buscar por serviço, categoria ou descrição. Para adicionar um serviço, marque a caixa de seleção ao lado do nome do serviço. Para remover um serviço, desmarque a caixa de seleção.

2. Quando terminar de selecionar Serviços da AWS, escolha Avançar.

Etapa 4: especificar proprietários de auditoria

Nesta etapa, especifique os proprietários da auditoria para sua avaliação. Os proprietários da auditoria são as pessoas em seu local de trabalho, geralmente das equipes de GRC, SecOps ou DevOps, responsáveis por gerenciar a avaliação do Audit Manager. Recomendamos que usem a política AWSauditManagerAdministratorAccess.

Para especificar proprietários de auditoria

1. Em Proprietários de auditoria, analise a lista atual de proprietários de auditoria. A coluna Proprietário de auditoria exibe IDs e funções do usuário. A coluna Conta da AWS exibe os associados Conta da AWS desse proprietário de auditoria.

2. Os proprietários de auditoria com uma caixa de seleção marcada serão incluídos na sua avaliação. Desmarque a caixa de seleção de qualquer proprietário de auditoria para removê-lo da avaliação. Você encontra outros proprietários de auditoria usando a barra de pesquisa para buscar por nome ou Conta da AWS.

3. Quando terminar, escolha Próximo.

Etapa 5: analisar e criar

Analise as informações para a sua avaliação. Para alterar as informações de uma etapa, selecione Editar. Quando terminar, escolha Criar avaliação.

Quando inicia a coleta contínua de evidências para a sua avaliação. Depois de criar uma avaliação, a coleta de evidências continuará até que você altere o status da avaliação para Inativo. Como alternativa, você pode interromper a coleta de evidências para um controle específico alterando o status do controle para Inativo.

nota

As evidências automatizadas ficam disponíveis 24 horas após a criação da sua avaliação. O Audit Manager coleta automaticamente evidências de várias fontes de dados. A frequência dessa coleta é baseada no tipo de evidência. Para saber mais, consulte Frequência das coletas de evidências neste guia.

O que faço agora?

Depois de criar sua avaliação, você pode saber mais sobre:

• Como acessar uma avaliação

• Como analisar uma avaliação

• Como editar uma avaliação

• Analisando os controles em uma avaliação

• Analisando a evidência em uma avaliação

• Como carregar evidências manuais para uma avaliação

• Delegações em AWS Audit Manager

• Como gerar um relatório de avaliação

• Como alterar o status de uma avaliação

• Como excluir uma avaliação

• Solução de problemas de avaliação e coleta de evidências