El equipo de seguridad quiere un servicio nativo de AWS para evaluar continuamente todas las cuentas miembro en una AWS Organization contra el CIS AWS Foundations Benchmark. ¿Qué enfoque es el más eficiente operativamente?

La opción correcta es designar una cuenta de administrador de AWS Security Hub, habilitar la inscripción automática de nuevas cuentas como cuentas miembro y habilitar las comprobaciones de CIS AWS Foundations Benchmark. Security Hub está diseñado para consolidar hallazgos de seguridad y puede configurarse como un administrador delegado en AWS Organizations, lo que permite la gestión centralizada y la habilitación automática de hallazgos (como los del CIS AWS Foundations Benchmark) en todas las cuentas miembro, incluidas las nuevas. Esto es operativamente eficiente porque elimina la necesidad de scripts manuales o configuraciones individuales por cuenta. Las otras opciones son incorrectas porque: La creación de scripts de invitaciones y aceptaciones para cada cuenta es ineficiente y no escala bien con AWS Organizations. Amazon Inspector se enfoca en la evaluación de vulnerabilidades en instancias EC2 y contenedores, no en la evaluación de la configuración general de la cuenta según el CIS AWS Foundations Benchmark. GuardDuty es un servicio de detección de amenazas que monitorea actividades maliciosas y comportamientos no autorizados, no evalúa el cumplimiento de la configuración según el CIS AWS Foundations Benchmark.