Аудитор требует AWS security audit policy — что там вообще должно быть?

Логика аудита простая: политика фиксирует «что должно быть сделано», процедура — «как это делается», а подтверждение показывает «что это реально сделано». С вас сейчас требуют первый уровень. В документе вы фиксируете правило: «в компании действует обязательное требование аппаратного или программного MFA для всех пользователей AWS», а следом прикладываете скриншот таблицы статусов MFA из панели IAM.

Вот четыре пункта, которые корпоративные аудиторы ищут в документе в первую очередь: 1) Как логи CloudTrail защищены от удаления. 2) Кто и по какому механизму согласования имеет доступ к продакшену. 3) За сколько дней максимум применяются патчи безопасности. 4) Пункт, гарантирующий, что доступ уволенных сотрудников к AWS закрывается в день ухода.

Похожий аудит мы проходили в прошлом квартале для финансового клиента с бюджетом 80 000 $. Подготовили простой текст политики на 6 страниц. После прочтения аудитор запросил живое подтверждение всего двух вещей: дату последнего входа root-аккаунта и настроенные в CloudWatch алерты на несанкционированный вход. Если оба в порядке, процесс обычно согласовывается за 48 часов.

Не мучайтесь с написанием текста с нуля. Поищите в интернете CIS AWS Foundations Benchmark. Возьмите контрольные пункты из этого руководства перенесите в Word и сделайте внутренним правилом своей компании. В шапку добавьте название компании и номер версии подпишите и сохраните в PDF.

Самая большая ловушка здесь — скопировать и отправить скачанные из интернета готовые корпоративные шаблоны на 30 страниц. Если в документе написано «сканирование уязвимостей проводится каждую неделю», а вы этого не делаете, то в момент, когда аудитор попросит доказательства, ваша сделка развалится. Пишите столько, сколько реально можете, пусть мало, но по-настоящему.

В нашем первом корпоративном аудите мы написали в политике «ключи доступа обновляются каждые 90 дней». Пришёл аудитор, увидел, что один API-ключ в системе открыт уже 410 дней, и прямо вписал в наш отчёт несоответствие. Сделка задержалась на месяц. Поэтому каждое написанное предложение должно иметь отражение в панели.

Это полностью документ Word/PDF, а не технический код; вы официальным языком заявляете свои правила инфраструктуры и дисциплину логирования.

Основополагающим является соответствие подготавливаемого текста процессам управления информационной безопасностью компании. Наличие в документе даты вступления политики в силу, номера ревизии и подписи об утверждении высшим руководством является обязательным требованием с точки зрения стандартов аудита.

Позвольте подвести итог сказанному выше. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному. Удачи.

Вы правы. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Это мое мнение, не утверждаю, что оно единственно верное.

Большое спасибо, сегодня попробую.

Спасибо, что написали об этом, это действительно так. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Я бы пошел этим путем.

Попробую.

верно.

Именно так. Время обнаружения проблемы напрямую определяет ее стоимость.

Я проходил через это, расскажу. Если делаете впервые, начните с малого, масштабирование потом.

Надеюсь, это будет полезно.

именно так и при этом об этом мало кто знает. ответ сильно зависит от отрасли универсального правила нет.

конечно, если ваша ситуация отличается всё меняется.