Una empresa utiliza AWS Organizations (con todas las características habilitadas). La empresa requiere la auditoría de todas las llamadas a la API y los inicios de sesión en todas las cuentas de AWS existentes y nuevas, desea una solución gestionada con un trabajo y un coste mínimos adicionales, y necesita ser notificada cuando alguna cuenta no cumpla con el estándar AWS Foundational Security Best Practices (FSBP). ¿Qué solución proporciona esto con la menor sobrecarga operativa?

La opción correcta es implementar AWS Control Tower en la cuenta de administración de Organizations y habilitar Security Hub y Account Factory. Control Tower es una solución gestionada que establece una zona de aterrizaje segura y conforme a las mejores prácticas, incluyendo el registro centralizado de API (CloudTrail) y la gestión de cuentas. Al habilitar Security Hub, se obtiene una vista consolidada de los hallazgos de seguridad y se monitoriza el cumplimiento de las mejores prácticas de seguridad de AWS (FSBP) en todas las cuentas, con notificaciones automáticas. Account Factory asegura que las nuevas cuentas se creen con la configuración de seguridad y cumplimiento predefinida. Las opciones que sugieren usar AWS Managed Services (AMS) Accelerate son incorrectas porque AMS es un servicio de gestión de operaciones que implica una sobrecarga operativa y de costes mayor, y no es la solución principal para establecer una zona de aterrizaje conforme. Además, GuardDuty es un servicio de detección de amenazas, no de auditoría de API o cumplimiento de FSBP. Implementar Control Tower en una cuenta miembro es incorrecto porque Control Tower debe implementarse en la cuenta de administración para gestionar todas las cuentas de la organización de manera centralizada.