本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
GxP EU Annex 11 的操作最佳實務
一致性套件提供一般用途的合規性架構，可讓您使用受管或自 AWS Config 訂規則和補救動作來建立安全性、作業或成本最佳化治理檢查。 AWS Config 一致性套件 (作為範例範本) 並不是為了完全確保符合特定控管或合規標準而設計。您有責任自行評估服務的使用情形是否符合適用的法律和法規要求。
以下提供 GxP 歐盟附件 11 與 AWS 受管 Config 規則之間的對應範例。每個 Config 規則都適用於特定 AWS 資源，並與一個或多個 GxP EU 附件 11 控制項相關。一個 GxP EU Annex 11 控制可以與多個 Config 規則相關。如需與這些映射相關的詳細資訊和指引，請參閱下方資料表。
| 控制 ID | 控制描述 | AWS Config 規則 | 指引 |
|---|---|---|---|
| 1. 風險管理 | 風險管理應考慮病患安全、資料完整性和產品品質，並套用到整個電腦化系統的生命週期中。作為風險管理系統的一部分，有關驗證範圍和資料完整性控制的決定應根據合理且已記載的電腦化系統風險評估。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| 1. 風險管理 | 風險管理應考慮病患安全、資料完整性和產品品質，並套用到整個電腦化系統的生命週期中。作為風險管理系統的一部分，有關驗證範圍和資料完整性控制的決定應根據合理且已記載的電腦化系統風險評估。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| 4.2. 驗證 - 文件變更控制 | 驗證文件應包含變更控制記錄 (如適用)，以及驗證程序期間觀察到任何偏離的報告。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| 4.3. 驗證 - 庫存清單 | 應該提供所有相關系統及其 GMP 功能的最新清單 (庫存清單)。對於重要系統，應提供最新的系統描述，詳細說明實體和邏輯排列、與其他系統或程序之間的資料流程和介面、任何硬體和軟體先決條件以及安全措施。 | 透過使用 AWS Systems Manager 管理 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，即可清查組織內的軟體平台和應用程式。使用 AWS Systems Manager 來提供詳細的系統組態、作業系統修補程式等級、服務名稱和類型、軟體安裝、應用程式名稱、發行者和版本，以及環境的其他詳細資料。 | |
| 4.3. 驗證 - 庫存清單 | 應該提供所有相關系統及其 GMP 功能的最新清單 (庫存清單)。對於重要系統，應提供最新的系統描述，詳細說明實體和邏輯排列、與其他系統或程序之間的資料流程和介面、任何硬體和軟體先決條件以及安全措施。 | 使用 AWS Systems Manager 關聯來協助清查組織內的軟體平台和應用程式。 AWS Systems Manager 會為您的受管執行個體指派組態狀態，並可讓您設定作業系統修補程式層級、軟體安裝、應用程式組態，以及環境其他詳細資訊的基準。 | |
| 4.3. 驗證 - 庫存清單 | 應該提供所有相關系統及其 GMP 功能的最新清單 (庫存清單)。對於重要系統，應提供最新的系統描述，詳細說明實體和邏輯排列、與其他系統或程序之間的資料流程和介面、任何硬體和軟體先決條件以及安全措施。 | 為了協助管理資產庫存清單，此規則會檢查安全群組是否連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或彈性網路介面。如果安全群組未連接到這些資源類型，可能未使用且不再需要這些安全群組。 | |
| 4.3. 驗證 - 庫存清單 | 應該提供所有相關系統及其 GMP 功能的最新清單 (庫存清單)。對於重要系統，應提供最新的系統描述，詳細說明實體和邏輯排列、與其他系統或程序之間的資料流程和介面、任何硬體和軟體先決條件以及安全措施。 | 啟用此規則可根據組織的標準，檢查 Amazon EC2 執行個體的停止時間是否超過允許的天數，藉以協助設定 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體的基準組態。 | |
| 4.3. 驗證 - 庫存清單 | 應該提供所有相關系統及其 GMP 功能的最新清單 (庫存清單)。對於重要系統，應提供最新的系統描述，詳細說明實體和邏輯排列、與其他系統或程序之間的資料流程和介面、任何硬體和軟體先決條件以及安全措施。 | 此規則可確保配置給 Amazon Virtual Private Cloud (Amazon VPC) 的彈性 IP 已連接到 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體或使用中的彈性網路介面。此規則有助於監控環境中未使用的 EIP。 | |
| 4.3. 驗證 - 庫存清單 | 應該提供所有相關系統及其 GMP 功能的最新清單 (庫存清單)。對於重要系統，應提供最新的系統描述，詳細說明實體和邏輯排列、與其他系統或程序之間的資料流程和介面、任何硬體和軟體先決條件以及安全措施。 | 此規則可確保正在使用 Amazon Virtual Private Cloud (VPC) 網路存取控制清單。監控未使用的網路存取控制清單，可協助您的環境進行準確的清查和管理。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點已設定最短保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定的保留期間，以符合您的恢復能力要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 啟用此規則可檢查資訊是否已備份。它也會透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化藉由將 Amazon EBS I/O 操作與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | 請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| 4.8. 驗證 - 資料傳輸 | 如果將資料傳輸至另一種資料格式或系統，驗證應包括檢查資料的價值和/或意義在此遷移過程中未改變。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點已設定最短保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定的保留期間，以符合您的恢復能力要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 啟用此規則可檢查資訊是否已備份。它也會透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化藉由將 Amazon EBS I/O 操作與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | 請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| 5. 資料 | 以電子方式與其他系統交換資料的電腦化系統應包含適當的內建檢查，用來正確且安全地輸入和處理資料，以便將風險降至最低。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助保護靜態資料，請確保已針對 API Gateway 階段的快取啟用加密功能。由於可以針對 API 方法擷取敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助保護靜態敏感資料，請確保已為 Amazon CloudWatch 日誌群組啟用加密。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 由於敏感資料可能存在並協助保護靜態資料，因此請確保 AWS CloudTrail追蹤已啟用加密功能。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定的保留期間，以符合您的恢復能力要求。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 啟用此規則可檢查資訊是否已備份。它也會透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 確保已針對 Amazon DynamoDB 資料表啟用加密功能。由於這些資料表中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。根據預設，DynamoDB 表格會使用 AWS 擁有的客戶主金鑰 (CMK) 加密。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化藉由將 Amazon EBS I/O 操作與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。由於這些磁碟區中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic File System (EFS) 啟用加密功能。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 由於敏感資料可以存在並協助保護靜態資料，因此請確保您的 Amazon OpenSearch 服務 (服OpenSearch 務) 網域已啟用加密。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 由於可能存在敏感資料，因此為了協助保護靜態資料，請確保已針對 Amazon Elastic Block Store (Amazon EBS) 磁碟區啟用加密功能。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 確保已針對 Amazon Relational Database Service (Amazon RDS) 快照啟用加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助保護靜態資料，請確保已針對 Amazon Relational Database Service (Amazon RDS) 執行個體啟用加密功能。由於 Amazon RDS 執行個體中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助保護靜態資料，請確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用加密以協助保護該資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 確保已針對 Amazon Simple Storage Service (Amazon S3) 儲存貯體啟用加密功能。由於 Amazon S3 儲存貯體中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助保護靜態資料，請確保您的 SageMaker 端點已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 端點中，因此請啟用靜態加密以協助保護該資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了協助保護靜態資料，請確定您的 SageMaker 筆記型電腦已啟用金 AWS 鑰管理服務 (AWS KMS) 的加密功能。由於機密資料可能存在於 SageMaker 筆記型電腦中，因此請啟用靜態加密以協助保護資料。 | |
| 7.1. 資料儲存 - 損壞保護 | 應透過物理和電子方式保護資料免遭損壞。應檢查儲存資料的可存取性、可讀性及準確性。應確保在整個保留期間的資料存取。 | 為了保護靜態資料，請確保您的 Amazon Simple Notification Service (Amazon SNS) 主題需要使用金 AWS 鑰管理服務 (AWS KMS) 進行加密。由於已發布訊息中可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點已設定最短保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定的保留期間，以符合您的恢復能力要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 啟用此規則可檢查資訊是否已備份。它也會透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化藉由將 Amazon EBS I/O 操作與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | 請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| 7.2. 資料儲存 - 備份 | 應定期備份所有相關資料。應在驗證過程中檢查並定期監控備份資料的完整性和準確性以及還原資料的能力。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。 | |
| 9. 稽核記錄 | 應根據風險評估，考慮在系統中建置所有 GMP 相關變更和刪除的記錄 (系統產生的「稽核記錄」)。應記載變更或刪除 GMP 相關資料的原因。稽核記錄必須可供使用、可轉換為一般可理解的形式，並需要定期檢閱。 | 收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。 | |
| 10. 變更與組態管理 | 電腦化系統的任何變更 (包括系統組態) 只能根據定義的程序以受控方式進行。 | 此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，進而導致應用程式喪失可用性。 | |
| 10. 變更與組態管理 | 電腦化系統的任何變更 (包括系統組態) 只能根據定義的程序以受控方式進行。 | 確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，進而導致應用程式喪失可用性。 | |
| 10. 變更與組態管理 | 電腦化系統的任何變更 (包括系統組態) 只能根據定義的程序以受控方式進行。 | 確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，進而導致應用程式喪失可用性。 | |
| 11. 定期評估 | 應定期評估電腦化系統，以確認其保持有效狀態並符合 GMP。此類評估應適當地包括目前的功能範圍、偏差記錄、事件、問題、升級歷程記錄、效能、可靠性、安全及驗證狀態報告。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 為了協助實施最低特權原則，請確保您的 Amazon CodeBuild 專案環境未啟用特權模式。您應停用此設定，以防止意外存取 Docker API 以及容器的基礎硬體。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | EC2 執行個體設定檔可將 IAM 角色傳遞給 EC2 執行個體。將執行個體設定檔連接到執行個體可協助管理最低權限和許可。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 若要協助實作最低權限原則，則 Amazon Elastic Container Service (Amazon ECS) 任務定義不應啟用提升的權限。當此參數為 true 時，容器在主機容器執行個體上會有更高的權限 (類似超級使用者)。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 啟用 Amazon Elastic Container Service (ECS) 容器的唯讀存取權，可協助遵守最低權限原則。此選項可以減少攻擊媒介，因為除非具有明確的讀寫許可，否則無法修改容器執行個體的檔案系統。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 為了協助實作最低權限原則，請確保已指定非根使用者來存取 Amazon Elastic Container Service (Amazon ECS) 任務定義。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 如果任務定義具有更高的權限，這是因為客戶已特別選擇使用這些組態。當任務定義已啟用主機網路，但客戶尚未選擇使用更高的權限時，此控制會檢查是否有意外的權限提升。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 針對 Amazon Elastic File System (Amazon EFS) 存取點強制執行根目錄，可確保存取點的使用者只能存取指定子目錄的檔案，有助於限制資料存取。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 為了協助實作最低權限原則，請確保已為 Amazon Elastic File System (Amazon EFS) 啟用使用者強制執行。啟用後，Amazon EFS 會將 NFS 用戶端的使用者和群組 ID 取代為所有檔案系統操作之存取點上設定的身分，並且僅授予對此強制使用者身分的存取權。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 確保 IAM 動作僅限於需要的動作。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 確保在您的 Amazon OpenSearch 服務網域上啟用了精細的存取控制。精細的存取控制提供增強的授權機制，以實現對 Amazon Ser OpenSearch vice 網域的最低權限存取。它允許以角色為基礎的網域存取控制，以及索引、文件和欄位層級安全性、多租戶 OpenSearch 服務儀表板支援，以及適用於服務和 Kibana 的 HTTP 基本驗證。 OpenSearch | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 確保 Amazon 關聯式資料庫服務 (Amazon RDS) 執行個體上啟用 AWS 身分和存取管理 (IAM) 身份驗證，以控制對系統和資產的存取。這會強制使用 Secure Sockets Layer (SSL) 來加密往返資料庫的網路流量。您不需要將使用者憑證放在資料庫，因為身分驗證是由外部管理。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 此規則會檢查存取控制清單 (ACL) 是否用於在 Amazon S3 儲存貯體上進行存取控制。ACL 是 Amazon S3 儲存貯體的舊版存取控制機制，早於 AWS Identity and Access Management (IAM)。最佳實務是使用 IAM 政策或 S3 儲存貯體政策，更輕鬆地管理 S3 儲存貯體的存取，而非使用 ACL。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 請確定 AWS Systems Manager (SSM) 文件不是公開的，因為這可能會允許意外存取您的 SSM 文件。公有 SSM 文件可能會公開帳戶、資源和內部程序的相關資訊。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 透過啟用適用於 Amazon EMR 叢集的 Kerberos，即可利用最低權限和職責分離的原則來管理並整合存取許可和授權。Kerberos 中需要驗證的服務和使用者稱為主體。主體存在於 Kerberos 領域中。在這個領域內，Kerberos 伺服器稱為金鑰分佈中心 (KDC)。其為主體提供驗證的方法。KDC 的驗證做法是發出票證來進行驗證。KDC 維護在其領域中的主體資料庫、主體的密碼以及每個主體的其他管理資訊。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | AWS Identity and Access Management (IAM) 可協助您將最低權限和責任分離的原則與存取權限和授權結合在一起，從而限制政策對所有 AWS 金鑰管理服務金鑰包含封鎖的動作。擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。此規則可讓您設定 blockedActionsPatterns 參數。(AWS 基礎安全性最佳做法值：KMS: 解密，公里：寄件者)。ReEncrypt實際值應反映貴組織的政策 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 確保 I AWS dentity and Access Management (IAM) 使用者、IAM 角色或 IAM 群組沒有內嵌政策，允許對所有 AWS 金鑰管理服務金鑰執行封鎖動作。 AWS 建議使用受管理的政策，而非內嵌政策。受管政策允許執行重複使用、版本控制、復原及委派許可管理功能。此規則可讓您設定 blockedActionsPatterns參數。(AWS 基礎安全性最佳做法值：KMS: 解密，公里：寄件者)。ReEncrypt實際值應反映貴組織的政策。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | AWS Identity and Access Management (IAM) 可協助您將最低權限和職責分離的原則與存取權限和授權結合，限制政策不包含「效果」：「允許」與「動作」：「*」而非「資源」:「*」。允許使用者擁有超過完成任務所需的權限，可能會違反最低權限和職責分離的原則。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 透過檢查 root 使用者是否沒有附加到其 AWS 身分識別和存取管理 (IAM) 角色的存取權，可以控制對系統和資產的存取。請確保已刪除根存取金鑰。相反，創建和使用基於角色 AWS 帳戶 來幫助納入最少功能的原則。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 只允許授權的使用者、程序和裝置存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體，以管理 AWS 雲端中資源的存取。存取管理應與資料的分類一致。 | |
| 12.1. 安全 - 授權人員 | 應採取實體和/或邏輯控制，限制只有授權人員才能存取電腦化系統。防止未經授權進入系統的適當方法可能包括使用金鑰、通行卡、含有密碼的個人代碼、生物特徵辨識、限制存取電腦設備及資料儲存區。 | 確保 Amazon SageMaker 筆記本電腦不允許直接存取網際網路，以管理 AWS 雲端資源的存取。透過防止直接存取網際網路，您可以避免未經授權的使用者存取敏感資料。 | |
| 12.3. 安全 - 授權稽核記錄 | 應記錄存取授權的建立、變更及取消。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 收集 Simple Storage Service (Amazon S3) 資料事件有助於偵測任何異常活動。詳細資訊包括存取 Amazon S3 儲存貯體的 AWS 帳戶資訊、IP 地址和事件時間。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | AWS CloudTrail 可以透過記錄 AWS 管理主控台動作和 API 呼叫來協助不可否認性。您可以識別使用者 AWS 帳戶 以及呼叫 AWS 服務的使用者、產生呼叫的來源 IP 位址，以及呼叫的計時。捕獲的數據的詳細信息可以在 AWS CloudTrail 記錄內容中看到。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 確保已啟用 AWS CodeBuild 專案記錄，以便將您的建置輸出日誌傳送到 Amazon CloudWatch 或 Amazon Simple Storage Service (Amazon S3)。建置輸出日誌會提供有關建置專案的詳細資訊。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。網域錯誤日誌可協助進行安全和存取稽核，也可協助診斷可用性問題。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | AWS CloudTrail 記錄 AWS 管理主控台動作和 API 呼叫。您可以識別呼叫的使用者和帳戶 AWS、進行呼叫的來源 IP 位址，以及呼叫發生的時間。 CloudTrail 如果啟用多重 _ AWS 區域，則會將日誌檔案從所有區域傳遞至您的 S3 儲存貯體。此外，當 AWS 啟動新區域時， CloudTrail 將在新區域中建立相同的軌跡。而您會收到包含新區域 API 活動的日誌檔，卻無需採取任何動作。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 確保您的 Amazon OpenSearch 服務網域上已啟用稽核記錄。稽核記錄可讓您追蹤 OpenSearch 網域上的使用者活動，包括驗證成功與失敗、要 OpenSearch求、索引變更以及傳入的搜尋查詢。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 確保 Amazon OpenSearch 服務網域已啟用錯誤日誌，並將其串流至 Amazon CloudWatch 日誌以進行保留和回應。 OpenSearch 服務錯誤記錄可協助進行安全性和存取稽核，並可協助診斷可用性問題。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 若要擷取 Amazon Redshift 叢集上的連線和使用者活動相關資訊，請確保已啟用稽核日誌記錄。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 使用 Amazon CloudWatch 集中收集和管理日誌事件活動。包含 AWS CloudTrail 資料可提供您的 AWS 帳戶. | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 若要協助您在環境內進行日誌記錄和監控，請確定已啟用 Amazon Relational Database Service (Amazon RDS) 日誌記錄。憑藉 Amazon RDS 日誌記錄，您可以擷取連線、中斷連線、查詢或查詢的資料表等事件。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | 為了保護靜態資料，請確保已針對 Amazon Redshift 叢集啟用加密功能。您還必須確保已在 Amazon Redshift 叢集上部署必要的組態。應啟用稽核日誌記錄，以提供資料庫中連線和使用者活動的相關資訊。此規則要求為 clusterDbEncrypted （Config 默認值：TRUE）和 loggingEnabled（Config 默認值：TRUE）設置一個值。實際值應反映貴組織的政策。 | |
| 12.4. 安全 - 稽核記錄 | 用於資料和文件的管理系統應該設計為記錄輸入、變更、確認或刪除資料 (包括日期和時間) 的操作員身分。 | Amazon Simple Storage Service (Amazon S3) 伺服器存取日誌記錄提供了可監控網路是否存在潛在網路安全事件的方法。透過擷取發出至 Amazon S3 儲存貯體的請求詳細記錄以監控事件。每個存取日誌記錄都會提供有關單一存取請求的詳細資訊。詳細資訊包括請求者、儲存貯體名稱、請求時間、請求動作、回應狀態，以及相關的錯誤代碼。 | |
| 13. 事件管理 | 應報告及評估所有事件，而不僅僅是系統故障和資料錯誤。應識別嚴重事件的根本原因，並構成修正和預防動作的基礎。 | AWS Security Hub 有助於監控未經授權的人員，連接，設備和軟件。 AWS Security Hub 彙總、組織和優先處理來自多個服務的安全性警示或發現項目。 AWS 一些這樣的服務是 Amazon Security Hub，Amazon Inspector，Amazon Macie， AWS Identity and Access Management (IAM) 訪問分析器， AWS Firewall Manager 器和 AWS 合作夥伴解決方案。 | |
| 13. 事件管理 | 應報告及評估所有事件，而不僅僅是系統故障和資料錯誤。應識別嚴重事件的根本原因，並構成修正和預防動作的基礎。 | Amazon GuardDuty 可以使用威脅情報摘要，協助監控和偵測潛在的網路安全事件。其中包括惡意 IP 和機器學習列表，用於識別 AWS 雲端環境中的未預期、未經授權和惡意活動。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點已設定最短保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定的保留期間，以符合您的恢復能力要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 啟用此規則可檢查資訊是否已備份。它也會透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化藉由將 Amazon EBS I/O 操作與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Elastic Load Balancing (ELB) 會自動將傳入流量分配至可用區域中的多個目標，例如 EC2 執行個體、容器和 IP 地址。為了確保高可用性，請確保您的 ELB 已註冊來自多個可用區域的執行個體。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為 Elastic Load Balancer (ELB) 啟用跨區域負載平衡，以利維持足夠的容量和可用性。跨區域負載平衡可減少在每個啟用的可用區域中維護同等數量執行個體的需求。還可以改善應用程式處理一或多個執行個體遺失的能力。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 如果您的 AWS Lambda 函數設定為連線到帳戶中的虛擬私有雲 (VPC)，請在至少兩個不同的可用區域中部署 AWS Lambda 函數，以確保在單一區域中發生服務中斷時，它是您的函數可用來處理事件。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Amazon OpenSearch 服務 (服OpenSearch 務) 至少需要三個資料節點才能達到高可用性和容錯能力。部署具有至少三個資料節點的 OpenSearch Service 網域可確保節點失敗時的叢集作業。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，進而導致應用程式喪失可用性。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 確保 Amazon Relational Database Service (Amazon RDS) 執行個體已啟用刪除保護。使用刪除保護可防止意外或惡意刪除 Amazon RDS 執行個體，進而導致應用程式喪失可用性。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆地從意外的使用者動作和應用程式失敗中復原。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 此規則可確保 Elastic Load Balancing 已啟用刪除保護。使用此功能可防止意外或惡意刪除負載平衡器，進而導致應用程式喪失可用性。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Amazon Relational Database Service (Amazon RDS) 叢集應啟用多可用區複寫，以利提升已儲存資料的可用性。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | Amazon Relational Database Service (Amazon RDS) 中的多可用區域支援可為資料庫執行個體提供增強的可用性與持久性。佈建多可用區域資料庫執行個體時，Amazon RDS 會自動建立主要資料庫執行個體，並將資料同步複寫到不同可用區域中的待命執行個體。每個可用區域都在其本身不同的實體獨立基礎設施上執行，而且具備高度可靠的設計。如果基礎設施失敗，Amazon RDS 會執行自動容錯移轉到待命執行個體，以便您可以在容錯移轉完成後立即恢復資料庫操作。 | |
| 16. 業務持續性 | 至於支援關鍵程序的電腦化系統可供使用，應制定條文，以確保在系統發生故障時 (例如手動或替代系統) 能夠持續支援這些程序。使用替代安排所需的時間應以風險為基礎，並適用於特定系統及其所支援的業務程序。這些安排應經適當分記載和測試。 | 您可以實作備援的站台對站台 VPN 通道以達到恢復能力要求。這會使用兩個通道來確保連線能力，以防其中一個站台對站台 VPN 連線無法使用。為免在無法使用客戶閘道時失去連線，您可以使用第二個客戶閘道來設定 Amazon Virtual Private Cloud (Amazon VPC) 和虛擬私有閘道的第二個站台對站台 VPN 連線。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Aurora 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為協助進行資料 Backup 程序，請確定您的 AWS 備份計劃設定為最低頻率和保留頻率。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則允許您設置 requiredFrequencyValue （Config 默認值：1）， requiredRetentionDays（Config 默認值：35）和 requiredFrequencyUnit （Config 默認值：天）參數。實際值應反映貴組織的要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 確定已啟用 AWS Backup 復原點的加密功能。由於可能存在靜態敏感資料，因此請啟用靜態加密以協助保護該資料。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 確保您的 AWS Backup 復原點具有附加的資源型政策，以防止刪除復原點。使用資源型政策防止刪除復原點，有助於防止意外或故意刪除。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 若要協助進行資料 Backup 程序，請確定您的 AWS 備份復原點已設定最短保留期。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。此規則可讓您設定 requiredRetentionDays (組態預設值：35) 參數。實際值應反映貴組織的要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | Amazon RDS 的備份功能可建立資料庫和交易日誌的備份。Amazon RDS 會自動建立資料庫執行個體的儲存磁碟區快照，並備份整個資料庫執行個體。系統可讓您設定特定的保留期間，以符合您的恢復能力要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon DynamoDB 表是備份計劃的一 AWS 部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 啟用此規則可檢查資訊是否已備份。它也會透過確保在 Amazon DynamoDB 中啟用 point-in-time 復原功能來維護備份。復原會維護資料表在過去 35 天內的連續備份。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 磁碟區是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | Amazon Elastic Block Store (Amazon EBS) 中的最佳化執行個體可為 Amazon EBS I/O 作業提供額外的專用容量。此最佳化藉由將 Amazon EBS I/O 操作與執行個體中其他流量之間的爭用降至最低，為 EBS 磁碟區提供最有效率的效能。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Block Store (Amazon EBS) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，使您能夠符合業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic Compute Cloud (Amazon EC2) 資源是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Elastic File System (Amazon EFS) 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 啟用自動備份後，Amazon ElastiCache 會每天建立叢集的備份。備份保留天數由貴組織指定。自動備份可協助防止資料遺失。如果發生失敗，您可以建立新叢集，從最新的備份還原您的資料。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon FSx 檔案系統是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 為了協助進行資料 Backup 程序，請確保您的 Amazon Relational Database Service (Amazon RDS) 執行個體是 AWS 備份計劃的一部分。 AWS Backup 是一種全受管備份服務，具有原則型備份解決方案。此解決方案可簡化備份管理，讓您達到業務與法規的備份合規要求。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | 請確保 Amazon Redshift 叢集具有自動快照，以利處理資料備份。當叢集的自動快照已啟用時，Redshift 將定期為該叢集拍攝快照。根據預設，Redshift 會針對每個資料變更節點 (或以先到者為準) 每 8 小時或每 5 GB 擷取一次快照。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | Amazon Simple Storage Service (Amazon S3) 跨區域複寫 (CRR) 可讓您維持足夠的容量和可用性。CRR 支援跨 Amazon S3 儲存貯體自動進行物件的非同步複製，以協助確保維護資料可用性。 | |
| 17. 封存 | 資料可以進行封存。應檢查此資料的可存取性、可讀性及完整性。如果要對系統進行相關更改（例如計算機設備或程序），則應確保和測試檢索數據的能力。 | Amazon Simple Storage Service (Amazon S3) 儲存貯體版本控制可協助您將物件的多個變體儲存在同一個 Amazon S3 儲存貯體中。請使用版本控制功能來保留、擷取和還原存放在 Amazon S3 儲存貯體中之每個物件的每個版本。版本控制可協助您輕鬆從意外的使用者動作和應用程式失敗中復原。 |
範本
該模板可在以下網站獲得 GitHub：GxP 歐盟附件 11 的操作最佳實踐
