Der Prüfer verlangt eine AWS-Sicherheitsaudit-Richtlinie — was muss da wirklich drinstehen?

Aus der Sicht des Prüfers ist die Sache einfach: Die Richtlinie sagt, 'was getan werden muss', das Verfahren beschreibt, 'wie es getan wird', und der Nachweis zeigt, 'dass es getan wurde'. Es ist der erste Schritt, der von Ihnen verlangt wird. Sie werden in das Dokument schreiben: 'Unser Unternehmen macht für alle AWS-Benutzer hardware- oder softwarebasiertes MFA verpflichtend', und dann als Nachweis die MFA-Statustabelle aus dem IAM-Panel vorlegen.

Die vier wichtigsten Punkte, auf die Auditoren im Dokument als Erstes achten, sind folgende: 1) Wie CloudTrail-Logs vor dem Löschen geschützt werden. 2) Wer mit welchen Freigabeprozessen Zugriff auf die Produktivumgebung erhält. 3) Innerhalb von maximal wie vielen Tagen Sicherheits-Patches eingespielt werden. 4) Eine Klausel, die garantiert, dass die AWS-Zugänge ehemaliger Mitarbeiter direkt am Tag des Ausscheidens gesperrt werden.

Wir haben letztes Quartal ein ähnliches Audit für einen Finanzkunden mit einem Budget von 80.000 $ durchlaufen. Dafür hatten wir ein schlichtes, 6-seitiges Policy-Dokument erstellt. Nachdem der Auditor die Richtlinie gelesen hatte, wollte er nur für zwei Dinge Live-Nachweise sehen: das letzte Login-Datum des Root-Accounts und die in CloudWatch eingerichteten Alarme für unbefugte Zugriffsversuche. Wenn beides passt, ist das Ganze meistens innerhalb von 48 Stunden durchgewunken.

Tut euch den Stress nicht an, das komplett neu zu schreiben. Sucht im Netz einfach nach „CIS AWS Foundations Benchmark“. Übernehmt die Kontrollpunkte aus dem Leitfaden in ein Word-Dokument und passt sie als interne Firmenrichtlinien an. Dann noch Firmenname und Versionsnummer in die Kopfzeile als PDF unterschreiben und fertig.

Die größte Falle hierbei ist, sich aus dem Internet irgendein 30-seitiges Enterprise-Template zu ziehen und das einfach eins zu eins einzureichen. Wenn im Dokument steht „es werden wöchentlich Schwachstellenscans durchgeführt“, ihr das aber gar nicht macht, fliegt euch der Deal um die Ohren, sobald der Auditor Nachweise verlangt. Schreibt nur das rein, was ihr auch wirklich abbilden könnt – lieber weniger, dafür aber echt.

Bei unserem ersten großen Audit hatten wir in die Policy geschrieben: „Access Keys werden alle 90 Tage rotiert“. Der Auditor hat dann reingeschaut, gesehen, dass ein API-Key im System seit 410 Tagen aktiv war, und das direkt als Non-Compliance im Bericht vermerkt. Der Deal hat sich dadurch um einen Monat verzögert. Deswegen muss absolut jeder Satz deckungsgleich mit dem sein, was tatsächlich in der Konsole konfiguriert ist.

Das Ganze ist ein reines Word-/PDF-Dokument, kein technischer Code; darin erklärt man in formeller Sprache die eigenen Infrastrukturregeln und das Logging-Konzept.

Das zu erstellende Dokument muss zwingend mit den internen Prozessen des Informationssicherheitsmanagements übereinstimmen. Gemäß gängigen Audit-Standards ist es zudem erforderlich, dass das Dokument das Inkrafttretungsdatum, die Revisionsnummer sowie die formelle Freigabeunterschrift der Geschäftsleitung enthält.

Ich fasse kurz zusammen, was bisher gesagt wurde. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern. Viel Erfolg.

Da hast du recht. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Vielen Dank, ich werde es heute testen.

Danke fürs Schreiben, das ist genau richtig. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

An deiner Stelle würde ich so vorgehen.

Ich probiere es aus.

richtig.

Genau so ist es. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Ich hoffe, das hilft dir weiter.

genau so und das ist zdem kaum bekannt aber die Antwort hängt stark von der Branche ab es gibt keine allgemeine Regel.

wenn deine Situation anders ist ändert sich das natürlich.