FinServe Bank beheert 200 AWS-accounts in AWS Organizations, verspreid over meerdere OU's. De CISO wil een consistente compliance-baseline afdwingen met automatische herstelacties voor veelvoorkomende bevindingen (bijvoorbeeld niet-versleutelde EBS-volumes) en organisatiebrede compliance op één plek kunnen bekijken. Wat is de MEEST efficiënte aanpak?

De meest efficiënte aanpak is het implementeren van een organisatie conformance pack vanuit een gedelegeerd AWS Config-beheerdersaccount. Dit maakt centrale implementatie en beheer van compliance-regels en herstelacties (via SSM Automation) mogelijk over meerdere OU's heen, wat zorgt voor een consistente baseline. Een AWS Config-aggregator biedt vervolgens een gecentraliseerd overzicht van de compliance-status van alle accounts. AWS Control Tower is nuttig voor nieuwe omgevingen, maar het afdwingen van alle vereiste controles in bestaande accounts vereist vaak aanvullende configuratie en is niet zo flexibel voor specifieke herstelacties als conformance packs. AWS Security Hub biedt inzicht in beveiligingsbevindingen, maar is primair een monitoringtool en vereist integratie met andere services voor geautomatiseerd herstel op organisatieniveau. AWS CloudFormation StackSets is een handmatige en minder efficiënte methode voor het implementeren van individuele regels en hersteldocumenten in elk account en elke regio, wat schaalbaarheid en consistentie bemoeilijkt.