c3.4 Gerar relatórios de conformidade
A conformidade é compartilhada: a AWS prova a segurança da nuvem, e você deve provar que suas cargas na AWS atendem ao mesmo regulamento —uma avaliação de lacunas—. Avalie continuamente seus recursos em relação a um framework com os conformance packs do AWS Config e exporte as evidências que os auditores precisam.
Guia de implementação
A conformidade é uma responsabilidade compartilhada
A AWS fornece relatórios de auditoria e certificações que provam que a infraestrutura da AWS atende a muitos regulamentos (via AWS Artifact). Você é responsável por provar que as cargas que constrói na AWS atendem ao mesmo regulamento; os auditores pedirão uma avaliação de lacunas cobrindo a sua parte do modelo de responsabilidade compartilhada.
Avalie recursos com os conformance packs do AWS Config
A forma recomendada de gerenciar a conformidade dos recursos da AWS são os conformance packs do AWS Config: templates pré-construídos para frameworks comuns (PCI DSS, HIPAA, NIST, FedRAMP e mais) que implantam controles detetivos (Config Rules) entre contas e Regiões, com um dashboard de conformidade, detalhamento por recurso e remediação opcional. Você também pode criar packs personalizados. Exporte evidências para os auditores via advanced queries do Config, a API de histórico de configuração de recursos, ou o Athena.
Atualização de serviço: o AWS Audit Manager passou para o modo de manutenção (anunciado em março de 2026). A partir de 30 de abril de 2026 ele não pode mais ser habilitado em contas, Regiões ou organizações novas; os clientes existentes continuam usando-o normalmente, mas a AWS não está adicionando novas funcionalidades ou frameworks e direciona o novo uso de gestão de conformidade para o AWS Config. Veja a mudança de disponibilidade do Audit Manager.
Opções complementares
- AWS Security Hub CSPM: para frameworks mapeados a um security standard (por exemplo NIST 800-53, PCI DSS), dá um score de conformidade e o status por controle com severidade, configurável entre contas e Regiões.
- Os clientes existentes do Audit Manager podem continuar usando-o para coletar evidências e gerar relatórios de auditoria em PDF/CSV.
- Ferramentas de parceiros como Vanta e Drata, usadas junto com o AWS Config, cobrem o processo completo de auditoria, incluindo os controles não técnicos (políticas e procedimentos documentados) que as Config Rules não conseguem avaliar.
Para o PCI-DSS especificamente
Se você está em escopo para o PCI-DSS (tratando dados de cartão de pagamento), use o PCI Security Maturity Model dedicado; ele cobre o isolamento do ambiente PCI, a criptografia de pagamentos e o conjunto completo de controles PCI-DSS que vão além deste modelo Cloud geral.
Como validar
- Seus recursos são avaliados continuamente em relação aos frameworks que você deve atender (por exemplo com conformance packs do AWS Config entre contas e Regiões)?
- Você consegue exportar as evidências que os auditores precisam (histórico de configuração, advanced queries ou uma ferramenta de parceiro)?
- Você tem as pessoas e o processo para gerar relatórios de conformidade de forma repetível?
- Sua solução cobre também os controles não técnicos (políticas/procedimentos documentados), por exemplo via uma ferramenta de parceiro junto com o AWS Config?
Ameaças atendidas
- Sem uma forma repetível de avaliar os recursos em relação a um framework e produzir evidências, as auditorias são lentas e propensas a erros, e uma lacuna pode levar a multas ou perda da autorização para operar.
Serviços AWS
AWS Config 
AWS Security Hub 
AWS Artifact