FinServe Bank управляет 200 аккаунтами AWS в AWS Organizations в нескольких OU. CISO хочет обеспечить согласованную базовую линию соответствия с автоматическим исправлением для распространенных проблем (например, незашифрованные тома EBS) и просматривать соответствие в масштабах всей организации в одном месте. Какой подход является НАИБОЛЕЕ эффективным?

Правильный ответ наиболее эффективен, поскольку он использует пакеты соответствия AWS Config (Conformance Packs) для централизованного развертывания наборов правил AWS Config и действий по исправлению (с помощью SSM Automation) в нескольких OU. Это обеспечивает согласованную базовую линию соответствия и автоматическое исправление. Агрегатор AWS Config затем собирает данные соответствия со всех аккаунтов, предоставляя единое представление для всей организации. Неправильные варианты: AWS Control Tower предлагает встроенные средства защиты, но не обеспечивает автоматическое исправление для всех распространенных проблем, и его развертывание в существующих аккаунтах может быть сложным. AWS Security Hub предоставляет результаты соответствия, но его действия по исправлению не так гибки и комплексны, как SSM Automation, используемое в пакетах соответствия. Использование AWS CloudFormation StackSets для ручного развертывания отдельных правил AWS Config менее эффективно и масштабируемо, чем пакеты соответствия, которые предназначены для управления наборами правил.