O FinServe Bank opera 200 contas AWS no AWS Organizations em várias OUs. O CISO deseja impor uma linha de base de conformidade consistente com correção automática para descobertas comuns (por exemplo, volumes EBS não criptografados) e visualizar a conformidade de toda a organização em um só lugar. Qual é a abordagem MAIS eficiente?

A abordagem mais eficiente é usar um pacote de conformidade da organização no AWS Config, implantado a partir de uma conta de administrador delegado. Isso permite aplicar uma linha de base consistente e automatizada (incluindo correção via SSM Automation) em várias OUs e contas de forma centralizada. O agregador do AWS Config consolida a conformidade de todas as contas em um único painel, fornecendo a visibilidade organizacional desejada. Habilitar o AWS Control Tower não é a solução mais eficiente para contas existentes, pois exigiria a migração ou registro dessas contas, o que pode ser complexo. Além disso, os guardrails integrados podem não cobrir todas as necessidades específicas do CISO. O AWS Security Hub é excelente para visibilidade de segurança, mas não oferece a capacidade de correção automatizada e centralizada de pacotes de conformidade do Config. Usar o CloudFormation StackSets para implantar regras individuais manualmente é menos eficiente e escalável do que um pacote de conformidade organizacional, que gerencia um conjunto de regras e ações de correção como uma única unidade.