| AWS CAF 1 Security governance 2 Quick Wins, 3 Fundacional, 3 Eficiente, 1 Otimizado 2331 | c1.1 Atribua contatos de segurança da conta c1.2 Selecione Regiões e bloqueie o restante | c2.1 Identificar requisitos de segurança e regulatórios c2.2 Criar um plano de capacitação em segurança na nuvem c2.3 Estabelecer governança de segurança de IA e um inventário de modelos | c3.1 Projetar uma arquitetura segura c3.2 Usar infraestrutura como código c3.3 Definir uma estratégia de tags | c4.1 Compartilhar o trabalho e a responsabilidade de segurança |
| AWS CAF 2 Security assurance 1 Quick Wins, 1 Fundacional, 1 Eficiente, 1 Otimizado 1111 | c1.3 Avalie a postura de segurança cloud | c2.4 Inventariar ativos e monitorar mudanças de configuração | c3.4 Gerar relatórios de conformidade | c4.2 Automatizar a coleta de evidências para auditorias |
| AWS CAF 3 Identity and access management 4 Quick Wins, 3 Fundacional, 2 Eficiente, 3 Otimizado 4323 | c1.4 Exija autenticação multifator c1.5 Proteja a conta root c1.6 Centralize a identidade e federe o acesso c1.7 Limpe acessos não intencionais e sem uso | c2.5 Definir guardrails com SCPs e RCPs c2.6 Usar credenciais temporárias em vez de access keys c2.7 Exigir IMDSv2 nas instâncias EC2 | c3.5 Revisar o IAM para menor privilégio c3.6 Proteja a identidade de clientes | c4.3 Aplicar perímetros de dados do IAM c4.4 Construir um pipeline de geração de políticas IAM c4.5 Conceder acesso elevado temporário |
| AWS CAF 4 Threat detection 3 Quick Wins, 1 Fundacional, 2 Eficiente, 2 Otimizado 3122 | c1.8 Detectar ameaças ativas c1.9 Audite a atividade da conta c1.10 Configure alarmes de faturamento e de anomalia de custo | c2.8 Triar descobertas do GuardDuty e habilitar protection plans | c3.7 Adicione detecção de ameaças personalizada c3.8 Detectar ameaças contra o seu runtime de IA | c4.6 Construir inteligência de ameaças c4.7 Analisar os fluxos de rede |
| AWS CAF 5 Vulnerability management 0 Quick Wins, 2 Fundacional, 3 Eficiente, 1 Otimizado 0231 | — | c2.9 Gerenciar vulnerabilidades de infraestrutura c2.10 Gerenciar vulnerabilidades de aplicações | c3.9 Executar um programa de Security Champions c3.10 Construir um pipeline DevSecOps c3.11 Adotar testes de penetração agênticos | c4.8 Criar uma equipe de gerenciamento de vulnerabilidades |
| AWS CAF 6 Infrastructure protection 1 Quick Wins, 5 Fundacional, 2 Eficiente, 2 Otimizado 1522 | c1.11 Feche portas de administração abertas arriscadas | c2.11 Limitar o acesso de rede com security groups de menor privilégio c2.12 Implantar anti-malware / EDR onde você controla o SO c2.13 Administrar EC2 sem portas SSH/RDP abertas c2.15 Segmentar redes com VPCs c2.16 Adotar uma estrutura multi-conta | c3.12 Construir um pipeline de golden images c3.13 Controlar o tráfego de saída | c4.9 Aplicar acesso zero trust c4.10 Preferir serviços abstratos (serverless) |
| AWS CAF 7 Data protection 2 Quick Wins, 4 Fundacional, 1 Eficiente, 0 Otimizado 2410 | c1.12 Bloqueie o acesso público ao armazenamento c1.13 Analise a postura de segurança de dados | c2.14 Proteger os dados em cargas de IA generativa c2.17 Criptografar dados em repouso c2.18 Fazer backup dos dados e torná-los imutáveis c2.19 Descobrir dados sensíveis | c3.14 Criptografar dados em trânsito | — |
| AWS CAF 8 Application security 1 Quick Wins, 2 Fundacional, 4 Eficiente, 1 Otimizado 1241 | c1.15 Proteger aplicações web | c2.20 Envolver as equipes de segurança cedo no desenvolvimento c2.21 Manter os segredos fora do código | c3.15 Realizar modelagem de ameaças c3.16 Adicionar regras personalizadas do AWS WAF c3.17 Adicionar revisão de segurança agêntica à entrega c3.18 Mitigar ataques DDoS | c4.11 Estabelecer um red team |
| AWS CAF 9 Incident response 1 Quick Wins, 1 Fundacional, 4 Eficiente, 4 Otimizado 1144 | c1.14 Agir sobre as descobertas de segurança críticas | c2.22 Definir playbooks de resposta a incidentes | c3.19 Realizar exercícios de mesa (tabletop) c3.20 Automatizar playbooks críticos c3.21 Investigar incidentes de segurança c3.22 Arranjar resposta a incidentes gerenciada | c4.12 Estabelecer um blue team c4.13 Construir automações de segurança avançadas c4.14 Adicionar orquestração de segurança e ticketing c4.15 Automatizar a correção de desvio de configuração |
| AWS CAF 10 Resiliency 1 Quick Wins, 1 Fundacional, 1 Eficiente, 2 Otimizado 1112 | c1.16 Avaliar a resiliência das cargas | c2.23 Projetar com redundância Multi-AZ | c3.23 Planejar a recuperação de desastres | c4.16 Automatizar a recuperação de desastres multi-Região c4.17 Praticar engenharia do caos |
| Well-Architected 1 Security foundations 2 Quick Wins, 3 Fundacional, 2 Eficiente, 2 Otimizado 2322 | c1.1 Atribua contatos de segurança da conta c1.5 Proteja a conta root | c2.1 Identificar requisitos de segurança e regulatórios c2.5 Definir guardrails com SCPs e RCPs c2.16 Adotar uma estrutura multi-conta | c3.2 Usar infraestrutura como código c3.15 Realizar modelagem de ameaças | c4.6 Construir inteligência de ameaças c4.15 Automatizar a correção de desvio de configuração |
| Well-Architected 2 Identity and access management 5 Quick Wins, 3 Fundacional, 2 Eficiente, 2 Otimizado 5322 | c1.4 Exija autenticação multifator c1.5 Proteja a conta root c1.6 Centralize a identidade e federe o acesso c1.7 Limpe acessos não intencionais e sem uso c1.12 Bloqueie o acesso público ao armazenamento | c2.5 Definir guardrails com SCPs e RCPs c2.6 Usar credenciais temporárias em vez de access keys c2.21 Manter os segredos fora do código | c3.5 Revisar o IAM para menor privilégio c3.6 Proteja a identidade de clientes | c4.3 Aplicar perímetros de dados do IAM c4.5 Conceder acesso elevado temporário |
| Well-Architected 3 Detection 4 Quick Wins, 0 Fundacional, 3 Eficiente, 2 Otimizado 4032 | c1.3 Avalie a postura de segurança cloud c1.8 Detectar ameaças ativas c1.9 Audite a atividade da conta c1.14 Agir sobre as descobertas de segurança críticas | — | c3.7 Adicione detecção de ameaças personalizada c3.20 Automatizar playbooks críticos c3.21 Investigar incidentes de segurança | c4.7 Analisar os fluxos de rede c4.15 Automatizar a correção de desvio de configuração |
| Well-Architected 4 Infrastructure protection 2 Quick Wins, 6 Fundacional, 4 Eficiente, 1 Otimizado 2641 | c1.11 Feche portas de administração abertas arriscadas c1.15 Proteger aplicações web | c2.7 Exigir IMDSv2 nas instâncias EC2 c2.9 Gerenciar vulnerabilidades de infraestrutura c2.11 Limitar o acesso de rede com security groups de menor privilégio c2.12 Implantar anti-malware / EDR onde você controla o SO c2.13 Administrar EC2 sem portas SSH/RDP abertas c2.15 Segmentar redes com VPCs | c3.12 Construir um pipeline de golden images c3.13 Controlar o tráfego de saída c3.16 Adicionar regras personalizadas do AWS WAF c3.18 Mitigar ataques DDoS | c4.15 Automatizar a correção de desvio de configuração |
| Well-Architected 5 Data protection 2 Quick Wins, 3 Fundacional, 1 Eficiente, 2 Otimizado 2312 | c1.12 Bloqueie o acesso público ao armazenamento c1.13 Analise a postura de segurança de dados | c2.17 Criptografar dados em repouso c2.18 Fazer backup dos dados e torná-los imutáveis c2.19 Descobrir dados sensíveis | c3.14 Criptografar dados em trânsito | c4.3 Aplicar perímetros de dados do IAM c4.9 Aplicar acesso zero trust |
| Well-Architected 6 Incident response 1 Quick Wins, 1 Fundacional, 4 Eficiente, 4 Otimizado 1144 | c1.1 Atribua contatos de segurança da conta | c2.22 Definir playbooks de resposta a incidentes | c3.19 Realizar exercícios de mesa (tabletop) c3.20 Automatizar playbooks críticos c3.21 Investigar incidentes de segurança c3.22 Arranjar resposta a incidentes gerenciada | c4.5 Conceder acesso elevado temporário c4.11 Estabelecer um red team c4.12 Estabelecer um blue team c4.14 Adicionar orquestração de segurança e ticketing |
| Well-Architected 7 Application security 0 Quick Wins, 4 Fundacional, 5 Eficiente, 2 Otimizado 0452 | — | c2.2 Criar um plano de capacitação em segurança na nuvem c2.9 Gerenciar vulnerabilidades de infraestrutura c2.10 Gerenciar vulnerabilidades de aplicações c2.20 Envolver as equipes de segurança cedo no desenvolvimento | c3.2 Usar infraestrutura como código c3.9 Executar um programa de Security Champions c3.10 Construir um pipeline DevSecOps c3.11 Adotar testes de penetração agênticos c3.17 Adicionar revisão de segurança agêntica à entrega | c4.1 Compartilhar o trabalho e a responsabilidade de segurança c4.4 Construir um pipeline de geração de políticas IAM |
