Intégration · Cloud et infrastructure

Intégration AWS pour la conformité continue SOC 2, ISO 27001 et PCI DSS

CATAAM se connecte à AWS en lecture seule et exécute 40 contrôles automatisés sur votre configuration réelle. Les résultats correspondent à 36 exigences de 12 référentiels, dont SOC 2, ISO 27001, PCI DSS, GDPR, NIST CSF, SOC 1.

contrôles automatisés: 40
exigences couvertes: 36
référentiels: 12

Ce qui se passe quand vous connectez AWS

Connexion en lecture seule
Ajoutez un rôle, une portée OAuth ou un jeton API en lecture seule pour AWS. L'identifiant est chiffré au repos.
Découverte des actifs
CATAAM rassemble les comptes, utilisateurs, dépôts ou appareils trouvés dans un inventaire d'actifs unique.
Exécution de 40 contrôles automatisés
Chaque contrôle s'exécute sur votre vraie configuration, puis continue selon un planning.
Rattachement des résultats à 36 exigences
Chaque résultat est rattaché aux exigences qu'il prouve — et compte pour chaque référentiel qui les partage.
Preuves conservées, tickets ouverts
Les contrôles réussis deviennent des preuves d'audit. Les échecs apparaissent chez le responsable du contrôle et peuvent ouvrir un ticket Jira.

Créer le rôle IAM en lecture seule

AWS se connecte via un rôle IAM inter-comptes dans votre propre compte : CATAAM ne stocke donc aucune clé d’accès. Déployez l’un des modèles, puis collez l’ARN du rôle dans CATAAM.

CloudFormation

AWSTemplateFormatVersion: '2010-09-09'
Description: Read-only role for CATAAM
Resources:
  CataamReadRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: CATAAM-ReadRole
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Effect: Allow
            Principal:
              AWS: arn:aws:iam::615299771288:root
            Action: sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/ReadOnlyAccess
Outputs:
  RoleArn:
    Value: !GetAtt CataamReadRole.Arn

Terraform

resource "aws_iam_role" "cataam" {
  name = "CATAAM-ReadRole"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect    = "Allow"
      Action    = "sts:AssumeRole"
      Principal = { AWS = "arn:aws:iam::615299771288:root" }
    }]
  })
}

resource "aws_iam_role_policy_attachment" "cataam_read" {
  role       = aws_iam_role.cataam.name
  policy_arn = "arn:aws:iam::aws:policy/ReadOnlyAccess"
}

output "cataam_role_arn" {
  value = aws_iam_role.cataam.arn
}

Le nom du rôle doit commencer par CATAAM- (sensible à la casse). La politique gérée ReadOnlyAccess suffit ; SecurityAudit est facultative.

Les 40 contrôles exécutés par CATAAM sur AWS

Chaque contrôle s’exécute sur votre configuration AWS réelle, puis se répète selon un calendrier. Les intitulés sont ceux de la plateforme CATAAM.

AWS accounts deprovisioned when personnel leave
AWS accounts reviewed
Clocks on infrastructure system synchronized
CloudTrail enabled
Critical vulnerabilities identified in packages are addressed (AWS Container)
EBS volumes attached to EC2 instances are encrypted (AWS)
EC2 instances are Systems Manager managed and patch compliant (AWS)
EC2 instances do not expose management ports (SSH/RDP) to the internet (AWS)
EC2 instances require IMDSv2 (AWS)
EC2 instances run with an instance profile, not static keys (AWS)
Enabled IAM User Access Keys must not be older than 90 days
Firewall default disallows traffic
Groups manage employee accounts permissions
High vulnerabilities identified in packages are addressed (AWS Container)
Intrusion detection system enabled (AWS)
Intrusion detection system notifications configured (AWS)
Inventory items have active owners
Inventory items have descriptions
Inventory list tracks resources that contain user data
Load balancer used (AWS)
Low vulnerabilities identified in packages are addressed (AWS Container)
MFA on infrastructure provider
MFA on infrastructure root accounts (AWS)
Medium vulnerabilities identified in packages are addressed (AWS Container)
Network segregation
No user account has a policy attached directly
Old infrastructure accounts disabled (AWS)
Password policy configured for infrastructure
Root infrastructure account unused
S3 Block Public Access feature enabled (AWS)
S3 server access logs enabled
SSL configuration has no known issues
SSL/TLS certificate has not expired
SSL/TLS enforced on company website
SSL/TLS on admin page of infrastructure console
Server logs retained for 365 days (AWS)
Service accounts used
VPC Flow Logs enabled
Vulnerability scan
Vulnerability scanning is enabled (AWS)

Exigences couvertes par ces contrôles (36)

Un contrôle réussi devient une preuve pour chaque exigence ci-dessous et compte pour tous les référentiels qui la partagent.

Exigence	Intitulé	Référentiels
AST-3	Production inventory maintained	SOC 2, ISO 27001, NIST CSF, COBIT 5, ITIL
CHG-1	Change management procedures enforced	SOC 2, ISO 27001, PCI DSS, NIST CSF, SOC 1 +2
CHG-2	Production deployment access restricted	SOC 2, ISO 27001, SOC 1, ITIL
CRY-1	Unique production database authentication enforced	SOC 2, ISO 27001
CRY-2	Encryption key access restricted	SOC 2, ISO 27001, SOC 1
CRY-4	Data encryption utilized	SOC 2, PCI DSS, NIST CSF, SOC 1, Australian Privacy Principles +1
CRY-5	Unique account authentication enforced	SOC 2
IAC-1	Production application access restricted	SOC 2, ISO 27001, SOC 1
IAC-3	Production database access restricted	SOC 2, ISO 27001, SOC 1
IAC-4	Firewall access restricted	SOC 2, SOC 1
IAC-5	Production OS access restricted	SOC 2, ISO 27001, SOC 1
IAC-6	Production network access restricted	SOC 2, ISO 27001, SOC 1
IAC-7	Access reviews conducted	SOC 2, ISO 27001, PCI DSS, NIST CSF, SOC 1 +2
IAC-8	Access revoked upon termination	SOC 2, ISO 27001, SOC 1
IAC-12	Remote access MFA enforced	SOC 2, ISO 27001, PCI DSS, NIST CSF, SOC 1 +1
MON-1	Intrusion detection system utilized	SOC 2, PCI DSS, NIST CSF, COBIT 5
MON-2	Log management utilized	SOC 2, PCI DSS, NIST CSF, COBIT 5, ITIL
MON-4	Infrastructure performance monitored	SOC 2, ISO 27001, PCI DSS, NIST CSF, COBIT 5 +1
NET-2	Network segmentation implemented	SOC 2, ISO 27001, PCI DSS, NIST CSF
NET-3	Network firewalls reviewed	SOC 2, ISO 27001, PCI DSS
NET-4	Network firewalls utilized	SOC 2, ISO 27001, PCI DSS, NIST CSF, COBIT 5
NET-5	Network and system hardening standards maintained	SOC 2, ISO 27001, PCI DSS, NIST CSF, COBIT 5
VPM-1	Service infrastructure maintained	SOC 2, COBIT 5, ITIL
VPM-2	Vulnerabilities scanned and remediated	SOC 2, ISO 27001, PCI DSS, NIST CSF, Essential Eight +3
AST-45	Production inventory maintained	GDPR
CRY-56	Data encryption utilized	GDPR, DPDP Act
IAC-85	Remote access MFA enforced	GDPR, DPDP Act
IAC-86	Production network access restricted	GDPR
IAC-87	Production deployment access restricted	GDPR
IAC-89	Unique account authentication enforced	GDPR
NET-37	Network firewalls utilized	GDPR, DPDP Act
NET-38	Network segmentation implemented	GDPR
NET-39	Network firewalls reviewed	GDPR
SEA-23	Network and system hardening standards maintained	GDPR, DPDP Act
THR-2	Intrusion detection system utilized	GDPR
VPM-38	Service infrastructure maintained	GDPR

Intégration AWS : questions fréquentes

Que contrôle CATAAM dans AWS ?

CATAAM exécute 40 contrôles automatisés sur AWS, par exemple : AWS accounts deprovisioned when personnel leave; AWS accounts reviewed; Clocks on infrastructure system synchronized; CloudTrail enabled. La liste complète figure sur cette page.

Quels référentiels de conformité l’intégration AWS prend-elle en charge ?

Les contrôles AWS correspondent à 36 exigences et comptent pour SOC 2, ISO 27001, PCI DSS, GDPR, NIST CSF, SOC 1.

CATAAM a-t-il besoin d’un accès en écriture à AWS ?

Non. Les connecteurs utilisent des rôles, portées ou jetons d’API en lecture seule, et les identifiants sont chiffrés au repos. La seule écriture facultative dans CATAAM est la création de tickets Jira pour les contrôles en échec.

Comment connecter AWS à CATAAM ?

Ajoutez dans CATAAM un rôle en lecture seule, une portée OAuth ou un jeton d’API pour AWS. CATAAM découvre ensuite vos actifs, exécute les contrôles et les répète selon un calendrier, en conservant chaque résultat comme preuve d’audit.