Packs de conformité de règles Config

Une seule règle AWS Config vérifie un point précis, par exemple : « le chiffrement est-il activé ? » Les référentiels de conformité exigent réellement des dizaines de vérifications dans chaque compte.

Un pack de conformité regroupe de nombreuses règles Config et actions de correction dans un seul module déployable. Vous gérez ainsi la conformité comme un ensemble plutôt que règle par règle.

Un pack de conformité est une collection de règles Config et d’actions de correction définie dans un modèle YAML unique.

• Déployez-le pour appliquer toutes ses règles en une seule fois.
• Suivez la conformité au niveau du pack.

AWS fournit des packs d’exemple pour les référentiels courants ; vous pouvez également créer les vôtres.

AWS fournit des packs de conformité d’exemple alignés sur des normes telles que PCI DSS, HIPAA, NIST et les référentiels CIS.

Ils constituent un bon point de départ pour mettre en œuvre les contrôles techniques d’un référentiel, mais vous devez toujours les mettre soigneusement en correspondance avec vos obligations réelles.

Un pack peut combiner des règles gérées par AWS (vérifications prédéfinies) et des règles personnalisées reposant sur des fonctions Lambda.

Vous pouvez ainsi couvrir les exigences standard avec des règles gérées tout en encodant dans le même pack des politiques propres à l’organisation, comme un schéma d’étiquettes obligatoire, au moyen de règles personnalisées.

Depuis le compte d’un administrateur délégué, vous pouvez déployer un pack de conformité simultanément dans tous les comptes de votre organisation.

Les nouveaux comptes qui rejoignent l’organisation héritent automatiquement du pack. Vous garantissez ainsi des vérifications de conformité cohérentes partout, sans intervention compte par compte.

Les packs de conformité prennent en charge les paramètres, ce qui permet à un même modèle de s’adapter à différents environnements.

Par exemple, une longueur minimale de mot de passe obligatoire ou une liste de régions approuvées peut être fournie au moment du déploiement. Vous pouvez ainsi réutiliser le même pack avec des valeurs propres à chaque environnement.

Les résultats de conformité de nombreux comptes sont regroupés au moyen d’un agrégateur Config dans une vue unique.

Une équipe centrale voit, compte par compte et règle par règle, où l’organisation est conforme ou non, depuis un seul tableau de bord au lieu de se connecter à chaque compte.

Les packs peuvent inclure une correction qui se déclenche lorsqu’une règle est enfreinte, à l’aide de documents d’automatisation SSM (Systems Manager).

Par exemple, une règle qui détecte un compartiment non chiffré peut déclencher une correction automatique, afin que la dérive soit corrigée plutôt que simplement signalée.

Les garde-fous de Control Tower et les packs de conformité se recoupent, mais répondent à des besoins différents :

• Control Tower fournit une base organisée et une gouvernance des comptes.
• Les packs de conformité vous permettent de déployer n’importe quel ensemble important de règles Config associé à un référentiel précis.

Ils sont souvent utilisés ensemble.

Un pack de conformité fournit un score de conformité, c’est-à-dire le pourcentage de règles du pack qui sont respectées.

Ce nombre unique suit au fil du temps les progrès réalisés par rapport à un référentiel et met en évidence les comptes en retard. Il transforme ainsi un vaste ensemble de règles en un indicateur de posture consultable d’un coup d’œil par les auditeurs et la direction.

Utilisez les packs de conformité lorsque vous devez démontrer l’alignement sur un référentiel de conformité précis dans de nombreux comptes, au moyen de règles Config regroupées et traçables.

À l’examen, ils sont associés aux scénarios PCI DSS ou HIPAA qui exigent des vérifications cohérentes et vérifiables à l’échelle de l’organisation.

Associez l’exigence à la fonctionnalité.

Vous avez appris comment les packs de conformité permettent de mettre la conformité à l’échelle.

• Ils regroupent de nombreuses règles Config ainsi que les corrections dans un seul modèle.
• Les packs d’exemple correspondent à PCI DSS, HIPAA, NIST et à d’autres référentiels.
• Déployez-les à l’échelle de l’organisation et regroupez les résultats au niveau central.