L'entreprise utilise RDS pour toutes les bases de données et AWS Control Tower pour gérer les comptes. Toutes les bases de données doivent être chiffrées au repos. L'ingénieur de sécurité doit être informé de toute instance RDS non conforme (non chiffrée) dans tous les comptes. Quelle solution offre la meilleure efficacité opérationnelle ?

La meilleure solution est d'activer le contrôle de détection (garde-fou) dans AWS Control Tower. Control Tower est conçu pour gérer la conformité à l'échelle de l'organisation et peut détecter les ressources non conformes, comme les instances RDS non chiffrées, dans tous les comptes gérés. L'intégration avec EventBridge et SNS permet une notification centralisée et automatisée à l'ingénieur de sécurité via le compte d'audit, ce qui est une pratique recommandée pour la gestion des événements de sécurité. Déployer des fonctions Lambda dans chaque compte est moins efficace car cela nécessite une gestion et un déploiement plus complexes. Déployer une règle AWS Config personnalisée dans chaque compte est une option viable mais moins efficace que le contrôle Control Tower, car Control Tower fournit une gestion centralisée des garde-fous pour tous les comptes. Lancer une instance EC2 avec une tâche cron est une approche manuelle et non évolutive, qui ne tire pas parti des capacités de gestion et d'automatisation d'AWS.