Paquetes de conformidad de reglas de Config

Una sola regla de AWS Config comprueba un aspecto, como «¿está activado el cifrado?». Los marcos de cumplimiento reales requieren decenas de comprobaciones en todas las cuentas.

Un paquete de conformidad agrupa muchas reglas de Config y acciones de corrección en un único paquete implementable, de modo que pueda administrar el cumplimiento como una unidad en lugar de regla por regla.

Un paquete de conformidad es una colección de reglas de Config y acciones de corrección definida en una única plantilla YAML.

• Impleméntelo para aplicar todas sus reglas a la vez.
• Realice un seguimiento del cumplimiento como paquete.

AWS proporciona paquetes de ejemplo para marcos habituales; también puede crear los suyos propios.

AWS proporciona paquetes de conformidad de ejemplo alineados con estándares como PCI DSS, HIPAA, NIST y los benchmarks de CIS.

Ofrecen un punto de partida rápido para los controles técnicos de un marco, aunque aún debe asociarlos cuidadosamente con sus obligaciones reales.

Un paquete puede combinar reglas administradas de AWS (comprobaciones prediseñadas) y reglas personalizadas respaldadas por funciones de Lambda.

Esto permite cubrir los requisitos estándar con reglas administradas y, al mismo tiempo, codificar políticas específicas de la organización, como un esquema de etiquetas obligatorio, mediante reglas personalizadas en el mismo paquete.

Desde una cuenta de administrador delegado, puede implementar un paquete de conformidad en todas las cuentas de su organización a la vez.

Las cuentas nuevas que se incorporen heredan el paquete automáticamente. Esto garantiza comprobaciones de cumplimiento coherentes en todas partes, sin trabajo por cuenta.

Los paquetes de conformidad admiten parámetros, por lo que una misma plantilla se adapta a distintos entornos.

Por ejemplo, puede proporcionar durante la implementación una longitud mínima de contraseña o una lista de regiones aprobadas, lo que permite reutilizar el mismo paquete con valores específicos de cada entorno.

Los resultados de cumplimiento de muchas cuentas se consolidan mediante un agregador de Config en una única vista.

Un equipo central puede ver, cuenta por cuenta y regla por regla, dónde cumple o no cumple la organización, todo desde un solo panel en lugar de iniciar sesión en cada cuenta.

Los paquetes pueden incluir correcciones que se activan cuando se infringe una regla, mediante documentos de automatización de SSM (Systems Manager).

Por ejemplo, una regla que detecte un bucket sin cifrar puede activar una corrección automática, de modo que la desviación se corrija en lugar de limitarse a informarla.

Los controles de protección de Control Tower y los paquetes de conformidad se solapan, pero responden a necesidades diferentes:

• Control Tower proporciona una base seleccionada y gobernanza de cuentas.
• Los paquetes de conformidad permiten implementar cualquier conjunto amplio de reglas de Config asociadas a un marco específico.

A menudo se utilizan conjuntamente.

Un paquete de conformidad informa de una puntuación de cumplimiento, es decir, el porcentaje de reglas del paquete que se están cumpliendo.

Este único número permite seguir el progreso hacia un marco a lo largo del tiempo y destaca qué cuentas están rezagadas, convirtiendo un conjunto de reglas extenso en una métrica de la postura de seguridad visible de un vistazo para auditores y responsables.

Utilice paquetes de conformidad cuando deba demostrar la alineación con un marco de cumplimiento específico en muchas cuentas, mediante reglas de Config agrupadas y rastreables.

En el examen, suelen asociarse con escenarios de PCI DSS o HIPAA que requieren comprobaciones coherentes y auditables en toda la organización.

Asocie el requisito con la función.

Ha aprendido cómo los paquetes de conformidad permiten escalar el cumplimiento.

• Agrupan muchas reglas de Config y acciones de corrección en una sola plantilla.
• Los paquetes de ejemplo se asocian con PCI DSS, HIPAA, NIST y otros estándares.
• Se implementan en toda la organización y agregan los resultados de forma centralizada.