Integración · Nube e infraestructura

Integración con AWS para el cumplimiento continuo de SOC 2, ISO 27001 y PCI DSS

CATAAM se conecta a AWS con acceso de solo lectura y ejecuta 40 comprobaciones automatizadas sobre tu configuración real. Los resultados se asignan a 36 controles de 12 marcos, entre ellos SOC 2, ISO 27001, PCI DSS, GDPR, NIST CSF, SOC 1.

controles automatizados: 40
requisitos cubiertos: 36
marcos: 12

Qué ocurre al conectar AWS

Conexión de solo lectura
Añade un rol, alcance OAuth o token de API de solo lectura para AWS. La credencial se cifra en reposo.
Descubrimiento de activos
CATAAM reúne las cuentas, usuarios, repositorios o dispositivos que encuentra en un único inventario de activos.
Ejecución de 40 controles automatizados
Cada control se ejecuta sobre tu configuración real y después sigue ejecutándose de forma programada.
Vinculación de resultados a 36 requisitos
Cada resultado se asigna a los requisitos que prueba y cuenta para todos los marcos que los comparten.
Evidencia guardada e incidencias abiertas
Los controles aprobados se convierten en evidencia de auditoría. Los fallos le aparecen al responsable del control y pueden abrir una incidencia de Jira.

Cree el rol de IAM de solo lectura

AWS se conecta mediante un rol de IAM entre cuentas en su propia cuenta, por lo que CATAAM nunca almacena claves de acceso. Despliegue una de las plantillas y pegue el ARN del rol en CATAAM.

CloudFormation

AWSTemplateFormatVersion: '2010-09-09'
Description: Read-only role for CATAAM
Resources:
  CataamReadRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: CATAAM-ReadRole
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              AWS: arn:aws:iam::615299771288:root
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/ReadOnlyAccess
Outputs:
  RoleArn:
    Value: !GetAtt CataamReadRole.Arn

Terraform

resource "aws_iam_role" "cataam" {
  name = "CATAAM-ReadRole"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect    = "Allow"
      Action    = "sts:AssumeRole"
      Principal = { AWS = "arn:aws:iam::615299771288:root" }
    }]
  })
}

resource "aws_iam_role_policy_attachment" "cataam_read" {
  role       = aws_iam_role.cataam.name
  policy_arn = "arn:aws:iam::aws:policy/ReadOnlyAccess"
}

output "cataam_role_arn" {
  value = aws_iam_role.cataam.arn
}

El nombre del rol debe empezar por CATAAM- (distingue mayúsculas). La política administrada ReadOnlyAccess es suficiente; SecurityAudit es opcional.

Las 40 comprobaciones que CATAAM ejecuta en AWS

Cada comprobación se ejecuta sobre tu configuración real de AWS y se repite de forma programada. Los nombres son los de la plataforma CATAAM.

AWS accounts deprovisioned when personnel leave
AWS accounts reviewed
Clocks on infrastructure system synchronized
CloudTrail enabled
Critical vulnerabilities identified in packages are addressed (AWS Container)
EBS volumes attached to EC2 instances are encrypted (AWS)
EC2 instances are Systems Manager managed and patch compliant (AWS)
EC2 instances do not expose management ports (SSH/RDP) to the internet (AWS)
EC2 instances require IMDSv2 (AWS)
EC2 instances run with an instance profile, not static keys (AWS)
Enabled IAM User Access Keys must not be older than 90 days
Firewall default disallows traffic
Groups manage employee accounts permissions
High vulnerabilities identified in packages are addressed (AWS Container)
Intrusion detection system enabled (AWS)
Intrusion detection system notifications configured (AWS)
Inventory items have active owners
Inventory items have descriptions
Inventory list tracks resources that contain user data
Load balancer used (AWS)
Low vulnerabilities identified in packages are addressed (AWS Container)
MFA on infrastructure provider
MFA on infrastructure root accounts (AWS)
Medium vulnerabilities identified in packages are addressed (AWS Container)
Network segregation
No user account has a policy attached directly
Old infrastructure accounts disabled (AWS)
Password policy configured for infrastructure
Root infrastructure account unused
S3 Block Public Access feature enabled (AWS)
S3 server access logs enabled
SSL configuration has no known issues
SSL/TLS certificate has not expired
SSL/TLS enforced on company website
SSL/TLS on admin page of infrastructure console
Server logs retained for 365 days (AWS)
Service accounts used
VPC Flow Logs enabled
Vulnerability scan
Vulnerability scanning is enabled (AWS)

Controles que respaldan estas comprobaciones (36)

Una comprobación superada se convierte en evidencia de cada control de abajo y cuenta para todos los marcos que lo comparten.

Control	Requisito	Marcos
AST-3	Production inventory maintained	SOC 2, ISO 27001, NIST CSF, COBIT 5, ITIL
CHG-1	Change management procedures enforced	SOC 2, ISO 27001, PCI DSS, NIST CSF, SOC 1 +2
CHG-2	Production deployment access restricted	SOC 2, ISO 27001, SOC 1, ITIL
CRY-1	Unique production database authentication enforced	SOC 2, ISO 27001
CRY-2	Encryption key access restricted	SOC 2, ISO 27001, SOC 1
CRY-4	Data encryption utilized	SOC 2, PCI DSS, NIST CSF, SOC 1, Australian Privacy Principles +1
CRY-5	Unique account authentication enforced	SOC 2
IAC-1	Production application access restricted	SOC 2, ISO 27001, SOC 1
IAC-3	Production database access restricted	SOC 2, ISO 27001, SOC 1
IAC-4	Firewall access restricted	SOC 2, SOC 1
IAC-5	Production OS access restricted	SOC 2, ISO 27001, SOC 1
IAC-6	Production network access restricted	SOC 2, ISO 27001, SOC 1
IAC-7	Access reviews conducted	SOC 2, ISO 27001, PCI DSS, NIST CSF, SOC 1 +2
IAC-8	Access revoked upon termination	SOC 2, ISO 27001, SOC 1
IAC-12	Remote access MFA enforced	SOC 2, ISO 27001, PCI DSS, NIST CSF, SOC 1 +1
MON-1	Intrusion detection system utilized	SOC 2, PCI DSS, NIST CSF, COBIT 5
MON-2	Log management utilized	SOC 2, PCI DSS, NIST CSF, COBIT 5, ITIL
MON-4	Infrastructure performance monitored	SOC 2, ISO 27001, PCI DSS, NIST CSF, COBIT 5 +1
NET-2	Network segmentation implemented	SOC 2, ISO 27001, PCI DSS, NIST CSF
NET-3	Network firewalls reviewed	SOC 2, ISO 27001, PCI DSS
NET-4	Network firewalls utilized	SOC 2, ISO 27001, PCI DSS, NIST CSF, COBIT 5
NET-5	Network and system hardening standards maintained	SOC 2, ISO 27001, PCI DSS, NIST CSF, COBIT 5
VPM-1	Service infrastructure maintained	SOC 2, COBIT 5, ITIL
VPM-2	Vulnerabilities scanned and remediated	SOC 2, ISO 27001, PCI DSS, NIST CSF, Essential Eight +3
AST-45	Production inventory maintained	GDPR
CRY-56	Data encryption utilized	GDPR, DPDP Act
IAC-85	Remote access MFA enforced	GDPR, DPDP Act
IAC-86	Production network access restricted	GDPR
IAC-87	Production deployment access restricted	GDPR
IAC-89	Unique account authentication enforced	GDPR
NET-37	Network firewalls utilized	GDPR, DPDP Act
NET-38	Network segmentation implemented	GDPR
NET-39	Network firewalls reviewed	GDPR
SEA-23	Network and system hardening standards maintained	GDPR, DPDP Act
THR-2	Intrusion detection system utilized	GDPR
VPM-38	Service infrastructure maintained	GDPR

Integración con AWS: preguntas frecuentes

¿Qué comprueba CATAAM en AWS?

CATAAM ejecuta 40 comprobaciones automatizadas en AWS, por ejemplo: AWS accounts deprovisioned when personnel leave; AWS accounts reviewed; Clocks on infrastructure system synchronized; CloudTrail enabled. La lista completa está en esta página.

¿Qué marcos de cumplimiento admite la integración con AWS?

Las comprobaciones de AWS se asignan a 36 controles y cuentan para SOC 2, ISO 27001, PCI DSS, GDPR, NIST CSF, SOC 1.

¿Necesita CATAAM acceso de escritura a AWS?

No. Los conectores usan roles, ámbitos o tokens de API de solo lectura y las credenciales se cifran en reposo. La única escritura opcional en CATAAM es abrir incidencias en Jira para las comprobaciones fallidas.

¿Cómo conecto AWS a CATAAM?

Añade en CATAAM un rol de solo lectura, un ámbito OAuth o un token de API de AWS. CATAAM descubre tus activos, ejecuta las comprobaciones y las repite de forma programada, guardando cada resultado como evidencia de auditoría.