FinServe Bank gère 200 comptes AWS dans AWS Organizations à travers plusieurs unités d'organisation (OU). Le CISO souhaite appliquer une base de référence de conformité cohérente avec une remédiation automatique pour les problèmes courants (par exemple, les volumes EBS non chiffrés) et visualiser la conformité à l'échelle de l'organisation en un seul endroit. Quelle est l'approche la PLUS efficace ?

L'approche la plus efficace consiste à utiliser un pack de conformité AWS Config déployé au niveau de l'organisation. Un pack de conformité permet de regrouper des règles AWS Config et des actions de remédiation (via SSM Automation) pour appliquer une base de référence cohérente sur plusieurs comptes et OU. Le déploiement à partir d'un compte administrateur délégué AWS Config centralise la gestion. L'agrégateur AWS Config fournit une visibilité consolidée de la conformité sur l'ensemble de l'organisation. Les autres options sont moins efficaces : AWS Control Tower est excellent pour les nouvelles organisations ou pour la mise en place de bases solides, mais il peut être complexe de l'appliquer à 200 comptes existants sans configuration supplémentaire pour des problèmes spécifiques comme les volumes EBS non chiffrés. AWS Security Hub est un excellent outil de visualisation des résultats de sécurité, mais il ne fournit pas nativement la remédiation automatique pour tous les problèmes de conformité comme le ferait un pack de conformité AWS Config avec SSM Automation. L'utilisation de CloudFormation StackSets pour déployer manuellement des règles individuelles est une approche plus opérationnelle et moins automatisée que les packs de conformité, nécessitant plus d'efforts de gestion pour 200 comptes.