Checklist para adotar um serviço

Responda a estas perguntas antes de liberar um serviço AWS na organização (por exemplo, antes de incluí-lo na SCP de allowlist). Quase todas as respostas estão no capítulo Security da documentação do serviço — por exemplo, Security in Amazon S3 — e nas tabelas de referência linkadas abaixo. O processo de aprovação está na lição 15.

• ☐ O serviço suporta permissões no nível de recurso (ARNs no Resource)?
• ☐ Suporta políticas baseadas em recurso? Quem pode receber acesso entre contas?
• ☐ Quais chaves de condição existem (tags, origem da requisição, VPC endpoint)?
• ☐ Funciona com credenciais temporárias (roles, IAM Identity Center)?
• ☐ Cria service-linked roles? Com quais permissões?

Fontes: AWS services that work with IAM e Actions, resources, and condition keys.

• ☐ Há criptografia em repouso? É padrão ou precisa ser habilitada?
• ☐ Aceita chave gerenciada pelo cliente (customer managed key) no AWS KMS?
• ☐ A criptografia em trânsito é obrigatória? Qual versão mínima de TLS?
• ☐ Em quais Regiões o serviço existe? Os dados podem sair da Região (replicação, processamento global)?
• ☐ Como os dados são apagados ao excluir o recurso?

Fontes: AWS KMS encryption with AWS services e AWS Services by Region.

• ☐ O serviço tem VPC endpoint (AWS PrivateLink ou gateway endpoint)?
• ☐ O endpoint aceita endpoint policy para restringir o que passa por ele?
• ☐ O recurso pode ficar público? Existe um bloqueio de acesso público?

Fonte: AWS services that integrate with AWS PrivateLink.

• ☐ As chamadas de API aparecem no CloudTrail como eventos de gerenciamento?
• ☐ Existem data events no CloudTrail para o serviço? Precisamos deles (e do custo)?
• ☐ O serviço tem logs próprios (acesso, auditoria, execução)? Vão para a conta de log?
• ☐ Gera findings ou eventos no EventBridge que a detecção pode usar?

Fonte: Logging data events — AWS CloudTrail.

• ☐ O serviço está no escopo dos programas de conformidade que você precisa (SOC, PCI, ISO, HIPAA e outros)?
• ☐ Os relatórios correspondentes estão disponíveis no AWS Artifact?
• ☐ Opera em várias zonas de disponibilidade? Tem backup ou recuperação nativa?
• ☐ Quais cotas limitam o uso? Elas podem ser aumentadas?

Fontes: AWS Services in Scope by Compliance Program e AWS service quotas.

• ☐ Quais ações de risco devem ser negadas por SCP (tornar público, desabilitar criptografia ou logs, compartilhar fora da organização)?
• ☐ Há controles no Security Hub CSPM para o serviço? Quais padrões os incluem?
• ☐ Há regras gerenciadas do AWS Config para as configurações críticas?
• ☐ Suporta administração delegada e configuração centralizada no AWS Organizations?
• ☐ O modelo de ameaças do workload foi atualizado (template)?

Fontes: Control reference for Security Hub CSPM e List of AWS Config managed rules.