c3.4 Generar reportes de cumplimiento
El cumplimiento es compartido: AWS prueba la seguridad de la nube y usted debe probar que sus cargas en AWS cumplen la misma regulación —un análisis de brechas—. Evalúe continuamente sus recursos contra un marco con los conformance packs de AWS Config y exporte la evidencia que necesitan los auditores.
Guía de implementación
El cumplimiento es una responsabilidad compartida
AWS provee informes de auditoría y certificaciones que prueban que la infraestructura de AWS cumple muchas regulaciones (vía AWS Artifact). Usted es responsable de demostrar que las cargas que construye en AWS cumplen la misma regulación; los auditores pedirán un análisis de brechas que cubra su parte del modelo de responsabilidad compartida.
Evalúe recursos con los conformance packs de AWS Config
La forma recomendada de gestionar el cumplimiento de los recursos de AWS son los conformance packs de AWS Config: plantillas prediseñadas para marcos comunes (PCI DSS, HIPAA, NIST, FedRAMP y más) que despliegan controles detectivos (Config Rules) entre cuentas y Regiones, con un dashboard de cumplimiento, detalle por recurso y remediación opcional. También puede crear packs personalizados. Exporte evidencia para los auditores mediante advanced queries de Config, la API de historial de configuración de recursos, o Athena.
Actualización de servicio: AWS Audit Manager pasó a modo mantenimiento (anunciado en marzo de 2026). Desde el 30 de abril de 2026 ya no puede habilitarse en cuentas, Regiones u organizaciones nuevas; los clientes existentes siguen usándolo con normalidad, pero AWS no agrega nuevas features ni marcos y dirige el nuevo uso de gestión de cumplimiento hacia AWS Config. Vea el cambio de disponibilidad de Audit Manager.
Opciones complementarias
- AWS Security Hub CSPM: para marcos mapeados a un security standard (por ejemplo NIST 800-53, PCI DSS), da un score de cumplimiento y el estado por control con severidad, configurable entre cuentas y Regiones.
- Los clientes existentes de Audit Manager pueden seguir usándolo para recopilar evidencia y generar reportes de auditoría en PDF/CSV.
- Herramientas de socios como Vanta y Drata, usadas junto con AWS Config, cubren el proceso completo de auditoría, incluyendo los controles no técnicos (políticas y procedimientos documentados) que las Config Rules no pueden evaluar.
Para PCI-DSS en particular
Si está en alcance para PCI-DSS (maneja datos de tarjetas de pago), use el PCI Security Maturity Model dedicado; cubre el aislamiento del entorno PCI, la criptografía de pagos y el conjunto completo de controles PCI-DSS que van más allá de este modelo Cloud general.
Cómo validar
- ¿Sus recursos se evalúan continuamente contra los marcos que debe cumplir (por ejemplo con conformance packs de AWS Config entre cuentas y Regiones)?
- ¿Puede exportar la evidencia que necesitan los auditores (historial de configuración, advanced queries o una herramienta de socio)?
- ¿Tiene las personas y el proceso para generar reportes de cumplimiento de forma repetible?
- ¿Su solución cubre también los controles no técnicos (políticas/procedimientos documentados), por ejemplo mediante una herramienta de socio junto con AWS Config?
Amenazas que atiende
- Sin una forma repetible de evaluar los recursos contra un marco y producir evidencia, las auditorías son lentas y propensas a errores, y una brecha puede derivar en multas o pérdida de la autorización para operar.
Servicios AWS
AWS Config 
AWS Security Hub 
AWS Artifact