FinServe Bank gestisce 200 account AWS in AWS Organizations attraverso più OU. Il CISO desidera applicare una baseline di conformità coerente con la remediation automatica per i riscontri comuni (ad esempio, volumi EBS non crittografati) e visualizzare la conformità a livello di organizzazione in un unico posto. Qual è l'approccio PIÙ efficiente?

L'approccio più efficiente è distribuire un conformance pack dell'organizzazione da un account amministratore delegato di AWS Config. Questo permette di applicare una baseline di conformità coerente e la remediation automatica (tramite SSM Automation) a più account e OU contemporaneamente, centralizzando la gestione. Un aggregatore AWS Config consolida i dati di conformità da tutti gli account, fornendo una visibilità unificata a livello di organizzazione. Abilitare AWS Control Tower non è sufficiente, poiché i guardrail integrati potrebbero non coprire tutti i requisiti specifici e la remediation automatica personalizzata. Abilitare gli standard di Security Hub fornisce visibilità sui riscontri, ma non offre un meccanismo diretto e centralizzato per applicare la remediation automatica personalizzata a livello di organizzazione come un conformance pack. L'uso di CloudFormation StackSets per distribuire singole regole e documenti di remediation è un processo manuale e meno efficiente rispetto a un conformance pack, che raggruppa regole e azioni di remediation.