AWS Audit Manager FAQ

프레임워크는 사전 구축되었거나 사용자 정의된 통제 항목의 모음일 수 있습니다. 이 통제 항목은 PCI DSS, HIPAA, GDPR 또는 내부 위험 거버넌스 지도 원칙과 같은 지정된 규정 준수 또는 산업 표준의 요구 사항에 따라 구성 및 그룹화됩니다.

통제 항목은 규정 준수 요구 사항과 같이 특정 규칙을 준수하기 위한 절차의 수행 방법을 설명하는 규범적 설명입니다. 통제 항목은 조직에서 사용하는 리소스가 의도한 대로 작동되고 있다는 것, 데이터를 신뢰할 수 있다는 것, 조직이 해당 법률 및 규정을 준수하고 있다는 것 등을 합리적으로 보장합니다.

AWS Audit Manager에서는 고유한 규정 준수 요구 사항을 충족할 수 있도록 특정 데이터 소스에서 증거를 수집하는 자체 통제 항목을 정의할 수 있습니다.

공통 통제 항목은 중복되는 다양한 규정 준수 의무를 뒷받침할 수 있는 증거를 수집합니다. 각 공통 통제 항목은 사전 정의된 AWS 관리형 데이터 소스 그룹에서 증거를 수집하는 하나 이상의 핵심 통제 항목으로 구성됩니다. AWS는 규정과 표준이 변경되고 새로운 데이터 소스가 식별되면 사용자를 위해 이러한 기본 데이터 소스를 업데이트합니다.

AWS Audit Manager 평가는 AWS Audit Manager 프레임워크의 구현입니다. 프레임워크를 시작점으로 사용하여 평가를 생성하고 감사 범위에 포함할 AWS 계정을 정의할 수 있습니다. 평가가 생성된 후에 AWS Audit Manager는 프레임워크에 정의된 통제 항목을 기반으로 AWS 계정 및 서비스의 리소스를 자동으로 평가하기 시작합니다. 다음에는 관련 증거를 수집하여 감사자에게 친숙한 형식으로 변환한 후에 평가의 통제 항목에 첨부합니다.

리소스 평가는 증거를 수집, 저장 및 관리하는 프로세스로서, 위험과 산업 표준 및 규정의 준수를 평가하는 데 사용할 수 있습니다. 평가 프레임워크를 기반으로 평가를 정의하고 시작할 때 Audit Manager는 Amazon EC2 인스턴스, Amazon RDS 인스턴스, Amazon S3 버킷 또는 Amazon VPC 서브넷과 같은 각 개별 리소스에 대한 리소스 평가를 실행합니다.

증거는 통제 항목에서 지정한 요구 사항을 준수했음을 입증하는 데 필요한 정보의 기록입니다. 증거의 예로는 사용자가 트리거한 변경 활동 또는 시스템 구성 스냅샷이 있습니다.

평가 보고서는 AWS Audit Manager 평가에서 생성된 최종 문서입니다. 보고서에서는 감사를 위해 수집된 관련 증거를 요약합니다. 보고서는 평가에서 지정된 통제 항목에 따라 명명 및 구성된 관련 증거 폴더로 링크됩니다.

AWS Management Console, AWS CLI 또는 API를 통해 AWS Audit Manager를 설정하여 시작할 수 있습니다. AWS Audit Manager 설명서에 AWS Audit Manager 실습을 소개하는 시작하기 자습서가 있습니다. 자습서에서는 표준 프레임워크를 사용하여 평가를 생성하고 자동화된 증거 수집을 시작할 수 있습니다.

예. AWS Audit Manager는 AWS Organizations와의 통합을 통해 여러 계정을 지원할 수 있습니다. AWS Audit Manager 및 AWS Organizations 통합을 통해 여러 계정으로 AWS Audit Manager 평가를 실행하고 증거를 위임된 관리자 계정으로 통합할 수 있습니다.

프레임워크에서 평가를 시작할 때 AWS 계정을 선택하여 범위를 지정할 수 있습니다. AWS Audit Manager가 증거를 수집하는 AWS 서비스는 사용된 프레임워크에 따라 정의됩니다. 

AWS Audit Manager는 각 제어 요구 사항에 정의된 대로 증거를 자동으로 수집하고 구성하여 시간을 절약합니다. Audit Manager를 사용하면 통제 항목이 의도한 대로 이행되고 있는지 확인할 수 있는 해당 증거를 검토하는 데 집중할 수 있습니다. 감사 시간이 되면 AWS Audit Manager를 통해 통제 항목에 대한 이해관계자의 검토를 관리함으로써 수동 작업을 대폭 줄이면서 감사 준비 보고서를 작성할 수 있습니다. 예를 들어, 위임 기능을 통해 평가의 통제 항목을 주제 전문가(SME)에게 할당하여 검토할 수 있습니다. 관련 증거를 검토 및 선택했으면 보고서 요약과 세부 증거의 폴더 세트로 구성된 감사 준비 보고서를 생성할 준비가 되었습니다.

Audit Manager에서 언제든지 평가 요약 보기를 확인하고 검토할 수 있습니다. 요약에는 평가 세부 정보, 통제 항목, 평가 보고서, 범위 내 AWS 계정, 감사 소유자, 태그 및 변경 로그가 포함됩니다. 또한 평가 내에 명시된 각 통제 항목을 클릭함으로써 수집된 증거 검토, 의견 추가, 수동 증거 업로드, 변경 로그 확인, 통제 항목 상태 업데이트 또는 팀원 위임 등 각 통제 항목과 관련된 세부 정보를 검토하고 업데이트할 수 있습니다.

AWS Audit Manager에서는 통제 항목 모음으로 구성된 통제 항목 세트를 다른 사용자에게 위임하여 검토할 수 있습니다. 대리인은 증거를 검토하고 코멘트를 추가하며, 수동 증거를 업로드하고 통제 항목 세트 내 각 통제 항목의 제어 상태를 업데이트할 수 있습니다. 대리인이 검토를 다시 제출하면 사용자는 통제 항목 세트 및 관련 코멘트를 확인함으로써 해당 통제 항목 세트의 검토를 최종적으로 완료할 수 있습니다.

프레임워크 라이브러리는 AWS Audit Manager에서 프레임워크에 액세스 및 관리할 수 있는 중앙 위치입니다. 라이브러리에는 PCI DSS, CIS Foundation Benchmark, HIPAA 및 사용자가 정의한 사용자 지정 프레임워크 등과 같이 Audit Manager가 사전 구축한 표준적 프레임워크 카탈로그가 있습니다. 사용자 지정 프레임워크를 생성하는 방법은 두 가지가 있습니다. 기존 프레임워크의 편집 가능한 사본을 만들거나 처음부터 새로운 프레임워크를 생성할 수 있습니다. 사용자 지정 프레임워크를 생성하는 경우에 Audit Manager 통제 항목 라이브러리에서 통제 항목을 추가하고 해당 항목을 고유한 요구 사항에 적합한 방식으로 통제 항목 세트 내에 구성할 수 있습니다.

통제 항목 라이브러리는 AWS Audit Manager에서 통제 항목에 액세스하고 이를 관리할 수 있는 중앙 위치입니다. 라이브러리에는 Audit Manager가 사전 구축한 표준 통제 항목 및 사용자가 정의한 사용자 지정 통제 항목 카탈로그가 있습니다. 사용자 지정 통제 항목을 생성하는 방법은 두 가지가 있습니다. 기존 프레임워크의 편집 가능한 사본을 만들거나 처음부터 새 통제 항목을 생성할 수 있습니다. 사용자 지정 통제 항목을 생성할 때 통제 항목 이름, 설명, 테스트 정보와 Audit Manager가 자동으로 증거를 수집할 증거 소스를 지정할 수 있습니다. 또한 사람 조직 및 운영 절차와 같은 비시스템 증거가 필요한 통제 항목을 지원하기 위해 수동 증거만 요청하는 사용자 지정 통제 항목을 생성할 수도 있습니다.

AWS Audit Manager는 다음 네 가지 데이터 소스 유형에서 증거를 자동으로 수집할 수 있습니다.

• AWS CloudTrail - S3 버킷 암호화 정책 변경과 같은 CloudTrail 로그에서 사용자 활동을 캡처합니다. 결과는 사용자 활동 증거로 가져옵니다.
• AWS Security Hub - PCI DSS 제어와 관련된 Security Hub 검사 등 Security Hub 조사 결과를 수집합니다. 결과는 규정 준수 검사 증거로 가져옵니다.
• AWS Config - HIPAA 제어와 관련된 AWS Config 규칙 등 AWS Config에서 규칙 평가를 직접 수집합니다. 결과는 규정 준수 검사 증거로 가져옵니다.
• AWS API 직접 호출 - EC2 인스턴스 구성과 같은 리소스 스냅샷을 캡처합니다. 응답은 구성 데이터 증거로 가져옵니다.

Audit Manager에서 사용자 지정 제어를 구성할 때는 AWS 관리형 소스를 선택하는 것이 좋습니다. 이들은 공통 통제 항목 또는 핵심 통제 항목을 나타내는 사전 정의된 데이터 소스 그룹입니다. AWS 관리형 소스가 업데이트될 때마다 해당 소스를 사용하는 모든 사용자 지정 통제 항목에 동일한 업데이트가 자동으로 적용됩니다.

또는 고객 관리형 소스를 선택하고 자체 데이터 소스를 정의할 수 있습니다. 이를 통해 수동 증거를 추가하거나 사용자 지정 AWS Config 규칙과 같은 비즈니스별 리소스에서 자동화된 증거를 수집할 수 있는 유연성을 얻을 수 있습니다.

AWS Audit Manager에서 증거 수집 빈도는 아래에서 설명하는 것과 같이 증거 유형에 따라 다릅니다.

• 리소스 구성의 스냅샷을 포함한 구성 데이터 증거 유형은 AWS 서비스(예: EC2, S3, RDS, VPC 등)에서 매일, 매주 또는 매월 직접 캡처합니다. Audit Manager에서 이 빈도를 구성할 수 있습니다.
• 사용자 활동 증거 유형은 리소스 구성을 변경하여 트리거할 때 AWS CloudTrail 로그에서 캡처합니다.
• AWS Security Hub 및/또는 AWS Config의 결과를 포함한 규정 준수 검사 증거 유형은 이 두 서비스에 정의된 빈도로 캡처합니다. 주기적으로 수행하거나 리소스 구성 변경으로 트리거할 수 있습니다.

AWS Security Hub는 AWS 모범 사례 및 업계 표준에 따라 자동화된 보안 검사를 사용하여 환경을 모니터링하므로 조사 결과에 대한 시정 조치를 취할 수 있습니다. AWS Audit Manager는 CIS Foundations Benchmark 및 PCI와 같이 지원되는 규정 준수 표준에 대한 Security Hub 결과를 가져올 수 있습니다. AWS Audit Manager는 자동으로 추가 분석을 수행하고 수집된 Security Hub 결과에 주석을 추가함으로써 AWS Security Hub에서 모니터링하는 AWS 서비스의 증거를 생성합니다.

AWS CloudTrail을 사용하면 AWS 인프라에서 작업과 관련된 계정 활동을 기록하고 지속적으로 모니터링하며 유지할 수 있습니다. Audit Manager는 CloudTrail에서 직접 로그 데이터를 수집하여 추가 분석을 수행합니다. Audit Manager는 데이터에 주석을 달아서 AWS CloudTrail에 로그를 제공하는 175개 이상의 AWS 서비스에 대한 증거를 자동으로 생성합니다.

AWS Config는 AWS 리소스 구성을 지속적으로 모니터링 및 기록하고, 원하는 구성을 기준으로 기록된 구성을 자동으로 평가해 줍니다. AWS Audit Manager는 AWS Config에서 로그 데이터를 수집하여 추가 분석을 수행합니다. Audit Manager는 해당 데이터에 주석을 달아서 AWS Config에서 모니터링하는 AWS 서비스의 증거를 자동으로 생성합니다.

AWS Control Tower는 클라우드로 이전하는 수천 곳의 기업과 협력한 AWS의 경험을 통해 확립된 모범 사례를 기반으로 새롭고 안전한 다중 계정 AWS 환경을 설정하고 관리할 수 있는 가장 쉬운 방법을 제공합니다. AWS Audit Manager는 Control Tower에서 가드레일 로그를 가져와서 추가 분석을 수행합니다. Audit Manager는 해당 데이터에 주석을 달아서 Control Tower 가드레일 로그로 추적하는 AWS 서비스의 증거를 자동으로 생성합니다.

Amazon EventBridge는 이벤트를 사용하여 애플리케이션 구성 요소를 서로 연결하는 서버리스 서비스로, 확장 가능한 이벤트 기반 애플리케이션을 쉽게 구축할 수 있도록 합니다. EventBridge 규칙을 사용하여 Audit Manager 이벤트를 감지하고 이에 대응할 수 있습니다. 예를 들어 평가가 생성, 편집 또는 삭제될 때마다 상태 변경 알림을 받을 수 있습니다. 또한 EventBridge 규칙을 사용하여 위임 워크플로 또는 평가 제어 검토 상태의 변경 사항을 감지할 수 있습니다.

Amazon Bedrock은 Amazon 및 기타 주요 AI 회사의 파운데이션 모델(FM)을 API를 통해 사용할 수 있도록 하는 완전관리형 서비스로, 이를 통해 조직의 데이터를 사용하여 기존의 대규모 언어 모델(LLM)을 비공개로 조정할 수 있습니다. AWS Audit Manager는 Amazon Bedrock 고객을 위한 생성형 AI 모범 사례 프레임워크를 제공합니다. AWS Audit Manager를 통해 생성형 AI 모델 및 애플리케이션을 실행하는 계정에 이 모범 사례 프레임워크를 배포하여 의도한 정책의 규정 준수를 모니터링하는 데 도움이 되는 증거를 수집할 수 있습니다.

AWS Audit Manager는 AWS 파트너이자 거버넌스, 위험 및 규정 준수(GRC) 솔루션 제공업체인 MetricStream과 통합되었습니다. 이번 통합을 통해 AWS 사용 및 구성에 대한 증거를 Audit Manager에서 MetricStream CyberGRC로 직접 가져올 수 있습니다. 자세히 알아보려면 Audit Manager 설명서를 참조하세요.