Como criar um controle personalizado do zero no AWS Audit Manager
Quando os requisitos de conformidade da sua organização não se alinham aos controles padrão pré-criados disponíveis no AWS Audit Manager, você pode criar seu próprio controle personalizado do zero.
Esta página descreve as etapas para criar um controle personalizado adaptado às suas necessidades específicas.
Pré-requisitos
Certifique-se de que sua identidade do IAM tenha as permissões apropriadas para criar um controle personalizado no AWS Audit Manager. Duas políticas sugeridas que concedem essas permissões são AWSAuditManagerAdministratorAccess e Permita que o gerenciamento de usuários acesse AWS Audit Manager.
Para coletar evidências do AWS Config e do Security Hub com êxito, certifique-se de fazer o seguinte:
-
Habilite o AWS Config e, em seguida, aplique as configurações necessárias para usar o AWS Config com o Audit Manager
-
Habilite o Security Hub e, em seguida, aplique as configurações necessárias para usar o Security Hub com o Audit Manager
O Audit Manager pode então coletar evidências sempre que ocorrer uma avaliação de uma regra do AWS Config determinada ou do controle do Security Hub.
Procedimento
Tarefas
Etapa 1: especificar detalhes do controle
Comece especificando os detalhes do seu controle personalizado.
Importante
É altamente recomendável que você nunca coloque informações de identificação confidenciais em campos de formato livre, como Detalhes do controle ou Informações de teste. Se você criar controles personalizados que contenham informações confidenciais, não poderá compartilhar nenhuma das estruturas personalizadas que contenham esses controles.
Para especificar detalhes do controle
Abra o console do AWS Audit Manager em https://console.aws.amazon.com/auditmanager/home
. -
No painel de navegação, escolha Biblioteca de controle e, em seguida, escolha Criar controle personalizado.
-
Em Detalhes do controle, insira as seguintes informações sobre o controle.
-
Controle: insira um nome fácil, um título ou uma pergunta de avaliação de risco. Esse valor ajuda você a identificar seu controle na biblioteca de controle.
-
Descrição (opcional): insira detalhes para ajudar outras pessoas a entender o objetivo do controle. Essa descrição aparece na página de detalhes do controle.
-
-
Em Informações de teste, insira as etapas recomendadas para testar o controle.
-
Em Tags, escolha Adicionar nova tag para associar uma tag ao controle. Você pode especificar uma chave para cada tag que melhor descreva a estrutura de conformidade que esse controle suporta. A chave de tag é obrigatória e pode ser usada como critério de pesquisa ao pesquisar esse controle na biblioteca de controle.
-
Escolha Próximo.
Etapa 2: especificar fontes de evidências
Em seguida, especifique algumas fontes de evidência. Uma fonte de evidências determina de onde seu controle personalizado coleta evidências. Você pode usar fontes gerenciadas pela AWS, fontes gerenciadas pelo cliente ou ambas.
dica
Recomendamos usar as fontes gerenciadas pela AWS. Sempre que uma fonte gerenciada pela AWS é atualizada, as mesmas atualizações são aplicadas automaticamente a todos os controles personalizados que usam essas fontes. Isso significa que seus controles personalizados coletam evidências conforme as definições mais recentes dessa fonte de evidências.
Se você não tiver certeza de quais opções escolher, consulte os exemplos a seguir e nossas recomendações.
| Sua função | Seu objetivo | Fonte de evidências recomendada |
|---|---|---|
|
Profissional de GRC |
Quero coletar evidências para um determinado domínio ou objetivo |
Gerenciadas pela AWS (common control) Use um agrupamento predefinido de fontes de dados que é mapeado para um controle comum específico. |
| Especialista técnico |
Quero coletar evidências sobre os recursos da AWS pelos quais sou responsável |
Gerenciadas pela AWS (core control) Use um agrupamento predefinido de fontes de dados que é mapeado para um requisito da AWS. |
| Especialista técnico |
Quero usar uma regra do AWS Config personalizada para coletar evidências |
Gerenciado pelo cliente (data source automatizado) Use uma fonte de dados personalizada para coletar evidências automatizadas específicas. |
|
Profissional de GRC |
Quero coletar evidências, como documentos e respostas em texto |
Gerenciado pelo cliente (data source manual) Use uma fonte de dados personalizada para fazer upload de sua própria evidência manual. |
Recomendamos que você comece escolhendo um ou mais controles comuns. Quando você escolhe o controle comum que representa sua meta, o Audit Manager coleta as evidências relevantes para todos os controles centrais de suporte. Você também pode escolher controles centrais individuais se quiser coletar evidências específicas sobre seu ambiente da AWS.
Para especificar uma fonte gerenciada pela AWS
-
Vá para a seção de fontes gerenciadas pela AWS da página.
-
Para adicionar um controle comum, siga estas etapas:
-
Selecione Usar um controle comum que corresponda à sua meta de conformidade.
-
Escolha um controle comum na lista suspensa.
-
(Opcional) Repita a etapa 2 conforme necessário. É possível adicionar até cinco controles comuns.
-
-
Para remover um controle comum, escolha o X ao lado do nome do controle.
-
Para adicionar um controle central, siga estas etapas:
-
Selecione Usar um controle central que corresponda a uma diretriz da AWS prescritiva.
-
Escolha um controle comum na lista suspensa.
-
(Opcional) Repita a etapa 4 conforme necessário. É possível adicionar até 50 controles centrais.
-
-
Para remover um controle central, escolha o X ao lado do nome do controle.
-
Para adicionar fontes de dados gerenciadas pelo cliente, use o procedimento a seguir. Caso contrário, escolha Next.
Se você quiser coletar evidências automatizadas de uma fonte de dados, deve selecionar um tipo e um mapeamento da fonte de dados. Esses detalhes são mapeados de acordo com seu uso AWS e informam ao Audit Manager de onde coletar as evidências. Se, em vez disso, você quiser fornecer sua própria evidência, selecione uma fonte de dados manual.
nota
Você é responsável por manter os mapeamentos da fonte de dados criados nesta etapa.
Para especificar uma fonte gerenciada pelo cliente
-
Acesse a seção Fontes gerenciadas pelo cliente da página.
-
Selecione Usar uma fonte de dados para coletar evidências manuais ou automatizadas.
-
Escolha Adicionar.
-
Escolha uma das seguintes opções:
-
Selecione chamadas de API da AWS e, em seguida, escolha uma chamada de API e a frequência da coleta de evidências.
-
Escolha o evento do AWS CloudTrail e, em seguida, escolha um nome para o evento.
-
Escolha regra gerenciada pelo AWS Config e, em seguida, um identificador de regra.
-
Escolha regra personalizada do AWS Config e, em seguida, um identificador de regra.
-
Escolha controle AWS Security Hub e, em seguida, um controle do Security Hub.
-
Escolha Fonte de dados manual e, em seguida, escolha uma opção:
-
Upload de arquivo: use essa opção se o controle exigir documentação como evidência.
-
Resposta de texto: use essa opção se o controle exigir uma resposta para uma pergunta de avaliação de risco.
-
dica
Para obter informações sobre tipos de fontes de dados automatizadas e dicas de solução de problemas, consulte Tipos de fontes de dados de compatíveis para evidências automatizadas.
Se você precisar validar a configuração da fonte de dados com um especialista, escolha Fonte de dados manual por enquanto. Dessa forma, você pode criar o controle e adicioná-lo a uma estrutura agora e depois editar o controle conforme necessário posteriormente.
-
-
Em Nome da fonte de dados, forneça um nome descritivo.
-
(Opcional) Em Detalhes adicionais, insira uma descrição da fonte de dados e uma descrição da solução de problemas.
-
Escolha Adicionar fonte de dados.
-
(Opcional) Para adicionar outra fonte de dados, escolha Adicionar e repita as etapas 1 a 7. É possível adicionar até 100 fontes de dados.
-
Para remover uma fonte de dados, selecione-a na tabela e escolha Remover.
-
Quando terminar, escolha Próximo.
Etapa 3 (opcional): definir um plano de ação
Em seguida, especifique as ações a serem tomadas se esse controle precisar ser corrigido.
Importante
É altamente recomendável que você nunca coloque informações de identificação confidenciais em campos de formato livre, como Plano de ação. Se você criar controles personalizados que contenham informações confidenciais, não poderá compartilhar nenhuma das estruturas personalizadas que contenham esses controles.
Para definir um plano de ação
-
Em Título, insira um título descritivo para o plano de ação.
-
Em Instruções, insira instruções detalhadas para o plano de ação.
-
Escolha Próximo.
Etapa 4: analisar e criar o controle
Revise as informações do controle. Para alterar as informações de uma etapa, selecione Editar.
Quando terminar, escolha Criar controle personalizado.
Próximas etapas
Depois de criar um novo controle personalizado, você pode adicioná-lo a uma estrutura personalizada. Para saber mais, consulte Como criar um framework personalizado no AWS Audit Manager ou Como editar um framework personalizado no AWS Audit Manager.
Depois de adicionar o controle personalizado a um framework personalizado, você pode criar uma avaliação e começar a coletar evidências. Para saber mais, consulte Como criar uma avaliação no AWS Audit Manager.
Para revisitar seu controle personalizado em uma data posterior, consulte Como localizar os controles disponíveis no AWS Audit Manager. Você pode seguir estas etapas para localizar seu controle personalizado para poder visualizá-lo, editá-lo ou excluí-lo.
Recursos adicionais
Com relação a soluções para controlar problemas no Audit Manager, consulte Solução de problemas de controle e conjunto de controles.
