HIPAA 安全操作最佳实践

Conformance Pack 提供了一个通用的合规框架，旨在使您能够使用托管或自定义 AWS Config 规则和 AWS Config 补救措施来创建安全、运营或成本优化治理检查。作为示例模板，合规包并不是为了完全确保遵守特定的治理或合规标准而设计的。您有责任自行评估自己对服务的使用是否符合适用的法律和监管要求。

以下内容提供了《健康保险流通与责任法案》(HIPAA) 与托管 AWS Config 规则之间的映射示例。每条 Config 规则都适用于特定 AWS 资源，并与一个或多个 HIPAA 控件相关。一个 HIPAA 控制可以与多个 Config 规则相关联。有关这些映射的更多详细信息和指导，请参阅下表。

该合规包已通过 AWS 安全保障服务有限责任公司（AWS SAS）的验证，该团队由支付卡行业合格的安全评估员（QSAs）、HITRUST认证的通用安全框架从业人员（CCSFPs）和经过认证的合规专业人员组成，可以为各种行业框架提供指导和评估。 AWS SAS 专业人员设计此一致性包是为了让客户能够与 HIPAA 的子集保持一致。

控制 ID	控制描述	AWS Config 规则	指南
164.308(a)(1)(ii)(A)	(A) 风险分析（必填）。对所涵盖实体持有的受保护电子健康信息的机密性、完整性和可用性方面的潜在风险和漏洞进行准确、彻底的评估。	annual-risk-assessment-performed （流程检查）	对您的组织进行年度风险评估。风险评估可以帮助确定已发现的风险 and/or 漏洞影响组织的可能性和影响。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	cloud-trail-log-file-已启用验证	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	codebuild-project-envvar-awscred-检查	请确保身份验证凭据 AWS_ACCESS_KEY_ID ，并且 AWS_SECRET_ACCESS_KEY 不存在于 AWS Codebuild 项目环境中。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	codebuild-project-source-repo-url-check	确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 个人访问令牌或登录凭证来授予访问 GitHub 或 Bitbucket 存储库的授权。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张表可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ec2-stopped-instance	根据组织的标准，启用此规则可检查 Amazon EC2 实例停止运行的天数是否超过允许的天数，从而帮助进行 Amazon Elastic Compute Cloud (Amazon EC2) 实例的基线配置。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	elasticsearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	internet-gateway-authorized-vpc-只有	通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	kms-cmk-not-scheduled-用于删除	为了帮助保护静态数据，请确保在密钥管理服务 (KMSCMKs) 中没有计划删除必要的客户主 AWS 密AWS 钥 ()。由于有时需要删除密钥，因此此规则可以帮助检查所有计划删除的密钥，以防密钥被无意中安排删除。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	rds-multi-az-support	Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	s3-bucket-default-lock-enabled	确保默认情况下 Amazon Simple Storage Service（Amazon S3）存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	s3-bucket-replication-enabled	Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	vpc-vpn-2-tunnels-up	可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。
164.308(a)(1)(ii)(B)	(B) 风险管理（必填）。实施足够的安全措施，将风险和漏洞降低到合理适当的水平，以符合第 164.306(a) 款的规定。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ec2-imdsv2-check	确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	internet-gateway-authorized-vpc-只有	通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	codebuild-project-envvar-awscred-检查	请确保身份验证凭据 AWS_ACCESS_KEY_ID ，并且 AWS_SECRET_ACCESS_KEY 不存在于 AWS Codebuild 项目环境中。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	codebuild-project-source-repo-url-check	确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 个人访问令牌或登录凭证来授予访问 GitHub 或 Bitbucket 存储库的授权。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
164.308(a)(3)(i)	(3)(i) 标准：工作人员安全。实施政策和程序，以确保其所有员工均可根据本节第 (a)(4) 段规定适当访问受保护电子健康信息，并防止本节第 (a)(4) 段未授予访问权限的员工访问受保护电子健康信息。	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	s3-bucket-logging-enabled	Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	elasticsearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
164.308(a)(3)(ii)(A)	(A) 授权 and/or 监督（可寻址）。实施对使用电子保护健康信息或在可能被访问的地点工作的员工进行授权 and/or 监督的程序。	opensearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
164.308(a)(3)(ii)(B)	(B) 劳动力许可程序（可处理）。实施相关程序，确定员工对受保护电子健康信息的访问权限是否适当。	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.308(a)(3)(ii)(C)	(C) 终止程序（可处理）。实施相关程序，在员工雇佣关系终止时或根据本款第 (a)(3)(ii)(B) 段规定的决议要求，终止访问受保护电子健康信息。	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.308(a)(4)(i)	(4)(i) 标准：信息访问管理。实施符合本部分 E 小节适用要求的授权访问受保护电子健康信息的政策和程序。	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ec2-imdsv2-check	确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	internet-gateway-authorized-vpc-只有	通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	codebuild-project-envvar-awscred-检查	请确保身份验证凭据 AWS_ACCESS_KEY_ID ，并且 AWS_SECRET_ACCESS_KEY 不存在于 AWS Codebuild 项目环境中。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	codebuild-project-source-repo-url-check	确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 个人访问令牌或登录凭证来授予访问 GitHub 或 Bitbucket 存储库的授权。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.308(a)(4)(ii)(A)	(A) 隔离医疗保健信息交换中心的职能（必填）。如果医疗保健信息交换中心是大型组织的一部分，则信息交换中心必须实施政策和程序，保护信息交换中心的受保护电子健康信息免遭大型组织未经授权的访问。	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	access-keys-rotated	通过确保按照组织政策轮换 IAM 访问密钥，对授权的设备、用户和流程的凭证进行审核。定期更改访问密钥是一种安全最佳实践。它会缩短访问密钥的有效期，并降低密钥泄露时对业务的影响。此规则需要访问密钥轮换值（配置默认值：90）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	secretsmanager-rotation-enabled-check	此规则可确保 S AWS ecrets Manager 密钥已启用轮换。定期轮换机密可以缩短机密的有效期，并有可能减少机密泄露时对业务的影响。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.308(a)(4)(ii)(B)	(B) 访问授权（可处理）。实施允许访问受保护的电子健康信息的政策和程序，例如，通过访问工作站、交易、程序、流程或其他机制。	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ec2-imdsv2-check	确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	internet-gateway-authorized-vpc-只有	通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	codebuild-project-envvar-awscred-检查	请确保身份验证凭据 AWS_ACCESS_KEY_ID ，并且 AWS_SECRET_ACCESS_KEY 不存在于 AWS Codebuild 项目环境中。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	codebuild-project-source-repo-url-check	确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 个人访问令牌或登录凭证来授予访问 GitHub 或 Bitbucket 存储库的授权。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.308(a)(4)(ii)(C)	(C) 访问权限的建立和修改（可处理）。实施政策和程序，根据实体的访问授权策略，建立、记录、审查和修改用户访问工作站、交易、程序或流程的权利。	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.308(a)(5)(ii)(A)	(A) 安全提醒（可处理）。定期安全更新。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。
164.308(a)(5)(ii)(A)	(A) 安全提醒（可处理）。定期安全更新。	elastic-beanstalk-managed-updates-已启用	为 Amazon Elastic Beanstalk 环境启用受管平台更新可确保安装环境的最新可用平台修复、更新和功能。及时安装补丁是保护系统的最佳实践。
164.308(a)(5)(ii)(A)	(A) 安全提醒（可处理）。定期安全更新。	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。
164.308(a)(5)(ii)(A)	(A) 安全提醒（可处理）。定期安全更新。	rds-automatic-minor-version-已启用升级	启用 Amazon Relational Database Service（RDS）实例的自动次要版本升级，以确保安装关系数据库管理系统（RDBMS）的最新次要版本更新，其中可能包括安全补丁和错误修复。
164.308(a)(5)(ii)(B)	(B) 防范恶意软件（可处理）。防御、检测和报告恶意软件的程序。	ec2-管理instance-managed-by-systems器	通过使用 Systems Man AWS ager 管理亚马逊弹性计算云 (Amazon EC2) 实例，可以清点组织内的软件平台和应用程序。使用 AWS Systems Manager 提供详细的系统配置、操作系统补丁级别、服务名称和类型、软件安装、应用程序名称、发行商和版本以及有关您的环境的其他详细信息。
164.308(a)(5)(ii)(B)	(B) 防范恶意软件（可处理）。防御、检测和报告恶意软件的程序。	ec2-managedinstance-association-compliance-status-check	使用 AWS Systems Manager Associations 来帮助清点组织内的软件平台和应用程序。 AWS Systems Manager 会为您的托管实例分配配置状态，并允许您设置操作系统补丁级别、软件安装、应用程序配置以及有关您的环境的其他详细信息的基准。
164.308(a)(5)(ii)(B)	(B) 防范恶意软件（可处理）。防御、检测和报告恶意软件的程序。	ec2-managedinstance-patch-compliance-status-check	启用此规则以帮助识别和记录 Amazon Elastic Compute Cloud（Amazon EC2）漏洞。该规则根据贵组织的政策和程序的要求检查 S AWS ystems Manager 中的 Amazon EC2 实例补丁是否合规。
164.308(a)(5)(ii)(C)	(C) 登录监控（可处理）。监控登录尝试和报告差异的程序。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
164.308(a)(5)(ii)(C)	(C) 登录监控（可处理）。监控登录尝试和报告差异的程序。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
164.308(a)(5)(ii)(C)	(C) 登录监控（可处理）。监控登录尝试和报告差异的程序。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
164.308(a)(5)(ii)(D)	(D) 密码管理（可处理）。创建、更改和保护密码的程序。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
164.308(a)(6)(i)	(6)(i) 标准：安全事件程序。实施应对安全事件的政策和程序。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
164.308(a)(6)(ii)	(ii) 实施规范：响应和报告（必需）。识别和响应可疑或已知的安全事件；在可行的范围内减轻所涵盖实体已知的安全事件的有害影响；并记录安全事件及其结果。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	elb-cross-zone-load-启用平衡	为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	rds-cluster-deletion-protection-已启用	确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	rds-multi-az-support	Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	vpc-vpn-2-tunnels-up	可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	dynamodb-in-backup-plan	为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	ebs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	efs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	rds-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	s3-bucket-replication-enabled	Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
164.308(a)(7)(i)	(7)(i) 标准：应急计划。制定（并根据需要实施）政策和程序，以应对破坏包含受保护电子健康信息的系统的紧急情况或其他事件（例如火灾、蓄意破坏、系统故障和自然灾害）。	s3-version-lifecycle-policy-check	确保配置了 Amazon S3 生命周期策略，以帮助定义您希望 Amazon S3 在对象生命周期内采取的操作（例如，将对象过渡到其他存储类、将其存档或在指定时间后删除）。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	dynamodb-in-backup-plan	为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	ebs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	efs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	rds-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	s3-bucket-replication-enabled	Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	s3-version-lifecycle-policy-check	确保配置了 Amazon S3 生命周期策略，以帮助定义您希望 Amazon S3 在对象生命周期内采取的操作（例如，将对象过渡到其他存储类、将其存档或在指定时间后删除）。
164.308(a)(7)(ii)(A)	(A) 数据备份计划（必需）。制定并实施程序，以创建和维护受保护电子健康信息的可检索精确副本。	redshift-cluster-maintenancesettings-check	此规则可确保 Amazon Redshift 集群具有适合贵组织的首选设置。具体而言，就是确保它们有首选的数据库维护窗口和自动快照保留期。此规则要求您设置 allowVersionUpgrade. 默认值为 true。它还允许你选择性地设置 preferredMaintenanceWindow （默认值为 sat：16:00-sat：16:30）和周 automatedSnapshotRetention期（默认值为 1）。实际值应反映贵组织的策略。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	dynamodb-in-backup-plan	为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	ebs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	efs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	rds-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	s3-bucket-replication-enabled	Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
164.308(a)(7)(ii)(B)	(B) 灾难恢复计划（必需）。建立（并根据需要实施）恢复任何数据丢失的程序。	s3-version-lifecycle-policy-check	确保配置了 Amazon S3 生命周期策略，以帮助定义您希望 Amazon S3 在对象生命周期内采取的操作（例如，将对象过渡到其他存储类、将其存档或在指定时间后删除）。
164.308(a)(7)(ii)(C)	(C) 紧急模式操作计划（必需）。建立（并根据需要实施）程序，以便在应急模式下继续执行关键业务流程，保护受保护电子健康信息的安全。	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。
164.308(a)(7)(ii)(C)	(C) 紧急模式操作计划（必需）。建立（并根据需要实施）程序，以便在应急模式下继续执行关键业务流程，保护受保护电子健康信息的安全。	elb-cross-zone-load-启用平衡	为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
164.308(a)(7)(ii)(C)	(C) 紧急模式操作计划（必需）。建立（并根据需要实施）程序，以便在应急模式下继续执行关键业务流程，保护受保护电子健康信息的安全。	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
164.308(a)(7)(ii)(C)	(C) 紧急模式操作计划（必需）。建立（并根据需要实施）程序，以便在应急模式下继续执行关键业务流程，保护受保护电子健康信息的安全。	rds-cluster-deletion-protection-已启用	确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
164.308(a)(7)(ii)(C)	(C) 紧急模式操作计划（必需）。建立（并根据需要实施）程序，以便在应急模式下继续执行关键业务流程，保护受保护电子健康信息的安全。	rds-multi-az-support	Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
164.308(a)(7)(ii)(C)	(C) 紧急模式操作计划（必需）。建立（并根据需要实施）程序，以便在应急模式下继续执行关键业务流程，保护受保护电子健康信息的安全。	vpc-vpn-2-tunnels-up	可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。
164.308(a)(8)	(8) 标准：评估。定期进行技术和非技术评估，首先基于根据本规则实施的标准，然后根据影响受保护电子健康信息安全的环境或运营变化，确定实体的安全政策和程序在多大程度上符合本子部分的要求。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
164.308(a)(8)	(8) 标准：评估。定期进行技术和非技术评估，首先基于根据本规则实施的标准，然后根据影响受保护电子健康信息安全的环境或运营变化，确定实体的安全政策和程序在多大程度上符合本子部分的要求。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ec2-imdsv2-check	确保启用实例元数据服务版本 2（IMDSv2）方法，以帮助保护对 Amazon Elastic Compute Cloud（Amazon EC2）实例元数据的访问和控制。该 IMDSv2 方法使用基于会话的控件。使用 IMDSv2，可以实现控制以限制对实例元数据的更改。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	emr-kerberos-enabled	通过为 Amazon EMR 集群启用 Kerberos，可以按照最低权限和职责分离的原则管理和纳入访问权限和授权。在 Kerberos 中，需要进行身份验证的服务和用户称为委托人。委托人存在于 Kerberos 领域中。在该领域中，Kerberos 服务器被称为密钥分配中心（KDC）。它为委托人提供一种进行身份验证的方法。KDC 通过颁发用于身份验证的票证进行身份验证。KDC 维护一个包含其领域中的委托人、它们的密码及其它有关每个委托人的管理信息的数据库。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-no-inline-policy-检查	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有控制系统和资产访问权限的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-user-unused-credentials-检查	AWS 身份与访问管理 (IAM) Access Management 可以通过检查指定时间段内未使用的 IAM 密码和访问密钥来帮助您获得访问权限和授权。如果发现了这些未使用的凭证，则应禁用 and/or 删除凭证，因为这可能违反最低权限原则。此规则要求您为 “ maxCredentialUsage年龄” 设置一个值（Config 默认值：90）。实际值应反映贵组织的策略。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ec2-instance-profile-attached	EC2 实例配置文件将 IAM 角色传递给 EC2 实例。将实例配置文件附加到您的实例可以帮助实现最低权限和权限管理。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	internet-gateway-authorized-vpc-只有	通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	codebuild-project-envvar-awscred-检查	请确保身份验证凭据 AWS_ACCESS_KEY_ID ，并且 AWS_SECRET_ACCESS_KEY 不存在于 AWS Codebuild 项目环境中。不要以明文形式存储这些变量。以明文形式存储这些变量会导致意外的数据泄露和未经授权的访问。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	codebuild-project-source-repo-url-check	确保 GitHub 或 Bitbucket 源存储库网址不包含个人访问令牌，即 AWS Codebuild 项目环境中的登录凭证。使用 OAuth 个人访问令牌或登录凭证来授予访问 GitHub 或 Bitbucket 存储库的授权。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.312(a)(1)	(a)(1) 标准：访问控制。为维护受保护电子健康信息的电子信息系统实施技术政策和程序，仅允许那些已获得 ¤ 164.308(a)(4) 中规定的访问权限的人员或软件程序进行访问。	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.312(a)(2)(i)	(2) 实施规范：(i) 唯一用户标识（必需）。分配一个用于 and/or 识别和跟踪用户身份的唯一姓名。	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	db-instance-backup-enabled	Amazon RDS 的备份功能可创建数据库和事务日志的备份。Amazon RDS 会自动创建数据库实例的存储卷快照，备份整个数据库实例。系统允许您设置特定的保留期以满足您的弹性要求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	elasticache-redis-cluster-automatic-备份检查	启用自动备份后，Amazon ElastiCache 会每天创建集群的备份。备份可保留的天数由贵组织规定。自动备份可以帮助防止数据丢失。发生故障时，您可以通过从最新的备份还原数据来创建新集群。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	s3-bucket-replication-enabled	Amazon Simple Storage Service（Amazon S3）跨区域复制（CRR）支持保持足够的容量和可用性。CRR 可在 Amazon S3 存储桶间自动异步复制对象，以帮助确保数据的可用性。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	dynamodb-in-backup-plan	为了帮助完成数据备份流程，请确保备份计划中包含您的 Amazon DynamoDB 表。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	ebs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性区块存储 (Amazon EBS) 卷包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	efs-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊弹性文件系统（Amazon EFS）文件系统包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	redshift-backup-enabled	为了帮助完成数据备份流程，请确保您的 Amazon Redshift 集群具有自动快照。当某个集群的自动快照处于启用状态时，Redshift 会定期拍摄该集群的快照。默认情况下，Redshift 大约每 8 小时或在每节点数据更改达到 5 GB 时拍摄一次快照，以先到者为准。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	rds-in-backup-plan	为了帮助完成数据备份流程，请确保您的亚马逊关系数据库服务 (Amazon RDS) 实例包含在 AWS 备份计划中。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	ec2 resources-protected-by-backup-计划	为了帮助完成数据备份流程，请确保您的亚马逊弹性计算云 (Amazon EC2) 资源包含在备份计划中。 AWS AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	aurora-resources-protected-by-备份计划	为了帮助完成数据备份流程，请确保 AWS 备份计划中包含您的 Amazon Aurora 资源。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	backup-plan-min-frequency-and-min-retention-check	为了帮助完成数据 AWS 备份流程，请确保将 Backup 计划设置为最低频率和保留期限。 AWS Backup 是一项完全托管的备份服务，具有基于策略的备份解决方案。该解决方案可简化您的备份管理，使您能够满足业务和监管备份合规性要求。此规则允许您设置 requiredFrequencyValue （配置默认：1）、 requiredRetentionDays （配置默认值：35）和 requiredFrequencyUnit （配置默认值：天）参数。实际值应反映贵组织的需求。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	backup-recovery-point-manual-删除-禁用	确保您的 AWS Backup 恢复点附有基于资源的策略，以防止删除恢复点。使用基于资源的策略来防止删除恢复点有助于防止意外或故意删除。
164.312(a)(2)(ii)	(ii) 紧急访问程序（必需）。制定（并根据需要实施）程序，以便在紧急情况下获取必要的受保护电子健康信息。	backup-recovery-point-encrypted	确保您的 AWS Backup 恢复点已启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	elasticsearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(a)(2)(iv)	(iv) 加密和解密（可处理）。实施一种机制来加密和解密受保护电子健康信息。	kinesis-stream-encrypted	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	api-gw-execution-logging-已启用	API Gateway 日志显示访问 API 的用户以及他们访问 API 的方式的详细视图。这种洞察可实现用户活动的可见性。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	autoscaling-group-elb-healthcheck-必填项	Amazon Elastic Compute Cloud（Amazon EC2）Auto Scaling 组的 Elastic Load Balancer（ELB）运行状况检查支持维持足够的容量和可用性。负载均衡器会定期发送 ping、尝试进行连接或者发送请求来测试自动扩缩组中的 Amazon EC2 实例。如果实例没有返回报告，则流量会发送到新的 Amazon EC2 实例。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	cloud-trail-cloud-watch-启用日志	使用 Amazon CloudWatch 集中收集和管理日志事件活动。包含 AWS CloudTrail 数据可提供您内部的 API 调用活动的详细信息 AWS 账户。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	cloudtrail-enabled	AWS CloudTrail 可以通过记录 AWS 管理控制台操作和 API 调用来帮助实现不可否认性。您可以识别用户和 AWS 账户调用 AWS 服务的用户、生成呼叫的源 IP 地址以及呼叫的时间。捕获数据的详细信息可在 “ AWS CloudTrail 记录内容” 中查看。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	cloudtrail-s3-dataevents-enabled	收集 Simple Storage Service（Amazon S3）数据事件有助于检测任何异常活动。详细 AWS 账户信息包括访问 Amazon S3 存储桶的信息、IP 地址和事件时间。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	cloudwatch-alarm-action-check	当某个指标在指定数量的评估周期内突破阈值时，Amazon 会发出 CloudWatch 警报。告警根据指标或表达式在多个时间段内相对于某阈值的值执行一项或多项操作。此规则需要 alarmActionRequired （配置默认值：True）、 insufficientDataAction必填项（配置默认值：True）、 okActionRequired （配置默认值：False）的值。实际值应反映您的环境的警报操作。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	dynamodb-throughput-limit-check	启用此规则可确保检查您的 Amazon DynamoDB 表上的预置吞吐容量。这是每张表可以支持的 read/write 活动量。DynamoDB 使用这些信息来预留足够的系统资源，以满足吞吐量需求。当吞吐量接近客户账户的最大限制时，此规则会生成警报。此规则允许您选择性地设置账户RCUThreshold百分比（配置默认值：80）和账户WCUThreshold百分比（配置默认值：80）参数。实际值应反映贵组织的策略。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	elb-logging-enabled	Elastic Load Balancing 活动是环境中的一个通信中心点。确保已启用 ELB 日志记录。收集的数据将提供有关发送到 ELB 的请求的详细信息。每个日志都包含信息（例如，收到请求的时间、客户端的 IP 地址、延迟、请求路径和服务器响应）。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	guardduty-enabled-centralized	Amazon GuardDuty 可以通过使用威胁情报源来帮助监控和检测潜在的网络安全事件。其中包括恶意 IPs 和机器学习列表，用于识别 AWS 云环境中意外、未经授权和恶意的活动。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	multi-region-cloudtrail-enabled	AWS CloudTrail 记录 AWS 管理控制台操作和 API 调用。您可以识别哪些用户和帐户拨打了电话 AWS、发出呼叫的源 IP 地址以及呼叫发生的时间。 CloudTrail 如果启用了 MULTI_REGION_CLOUD_TRAIL_ENABLED，则会将来自所有 AWS 区域的日志文件传输到您的 S3 存储桶。此外， AWS 启动新区域时， CloudTrail 将在新区域中创建相同的跟踪。因此，您无需采取任何措施，即可收到包含新区域的 API 活动的日志文件。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	rds-enhanced-monitoring-enabled	启用 Amazon Relational Database Service（Amazon RDS），以帮助监控 Amazon RDS 可用性。这让您可以详细了解您的 Amazon RDS 数据库实例的运行状况。当 Amazon RDS 存储使用多个底层物理设备时，“增强监控”会收集每台设备的数据。此外，当 Amazon RDS 数据库实例在多可用区部署中运行时，会收集辅助主机上每个设备的数据和辅助主机指标。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	rds-logging-enabled	为了帮助在环境中进行日志记录和监控，请确保已启用 Amazon Relational Database Service（Amazon RDS）日志记录。利用 Amazon RDS 日志记录，您可以捕获诸如连接、断开连接、查询或查询的表之类的事件。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	s3-bucket-logging-enabled	Amazon Simple Storage Service（Amazon S3）服务器访问日志记录可提供一种监控网络中是否存在潜在网络安全事件的方法。通过捕获向 Amazon S3 存储桶发出的请求的详细记录，来监控事件。每条访问日志记录都提供有关单个访问请求的详细信息。这些详细信息包括请求者、存储桶名称、请求时间、请求操作、响应状态和错误代码（如果相关）。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	securityhub-enabled	AWS Security Hub 有助于监控未经授权的人员、连接、设备和软件。 AWS Security Hub 汇总、整理来自多个服务的安全警报或发现，并对其进行优先排序。 AWS 其中一些服务包括Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS 身份和访问管理 (IAM) Access Analyzer、Firewall Manager 以及 AWS 合作伙伴解决方案。 AWS
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	vpc-flow-logs-enabled	VPC 流日志详细记录进出 Amazon Virtual Private Cloud（Amazon VPC）网络接口的 IP 流量信息。默认情况下，流日志记录包括 IP 流的不同组件的值，包括源、目标和协议。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	wafv2-logging-enabled	要帮助在您的环境中进行日志记录和监控，请在区域和全球 Web 上启用 AWS WAF (V2) 日志记录。 ACLs AWS WAF 日志记录提供有关您的 Web ACL 所分析的流量的详细信息。这些日志记录了 AWS WAF 从您的 AWS 资源收到请求的时间、有关请求的信息以及每个请求匹配的规则的操作。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	elasticsearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。域错误日志可以帮助进行安全和访问审核，还可以帮助诊断可用性问题。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	s3-event-notifications-enabled	Amazon S3 事件通知可以提醒相关人员注意对您的存储桶对象的任何意外或故意修改。示例警报包括：创建了新对象、对象移除、对象恢复、丢失和复制的对象。
164.312(b)	(b) 标准：审计控制。实施硬件、软件和 and/or 程序机制，以记录和检查包含或使用电子保护健康信息的信息系统中的活动。	opensearch-logs-to-cloudwatch	确保 Amazon S OpenSearch ervice 域已启用错误日志，并将其流式传输到 Amazon CloudWatch Logs 以进行保留和响应。 OpenSearch 服务错误日志可以帮助进行安全和访问审计，还可以帮助诊断可用性问题。
164.312(c)(1)	(c)(1) 标准：完整性。实施政策和程序，保护受保护的电子健康信息免遭不当更改或破坏。	s3-bucket-default-lock-enabled	确保默认情况下 Amazon Simple Storage Service（Amazon S3）存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。
164.312(c)(1)	(c)(1) 标准：完整性。实施政策和程序，保护受保护的电子健康信息免遭不当更改或破坏。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
164.312(c)(1)	(c)(1) 标准：完整性。实施政策和程序，保护受保护的电子健康信息免遭不当更改或破坏。	cloud-trail-log-file-已启用验证	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。
164.312(c)(1)	(c)(1) 标准：完整性。实施政策和程序，保护受保护的电子健康信息免遭不当更改或破坏。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.312(c)(1)	(c)(1) 标准：完整性。实施政策和程序，保护受保护的电子健康信息免遭不当更改或破坏。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(c)(2)	(2) 实施规范：受保护电子健康信息的认证机制（可处理）。实施电子机制，以证实受保护电子健康信息没有被以未经授权的方式更改或销毁。	cloud-trail-log-file-已启用验证	利用 AWS CloudTrail 日志文件验证来检查 CloudTrail 日志的完整性。日志文件验证有助于确定日志文件在 CloudTrail 传送后是否被修改、删除或未更改。该功能是使用业界标准算法构建的：哈希采用 SHA-256，数字签名采用带 RSA 的 SHA-256。这使得在没有检测到的情况下修改、删除或伪造 CloudTrail 日志文件在计算上是不可行的。
164.312(c)(2)	(2) 实施规范：受保护电子健康信息的认证机制（可处理）。实施电子机制，以证实受保护电子健康信息没有被以未经授权的方式更改或销毁。	s3-bucket-default-lock-enabled	确保默认情况下 Amazon Simple Storage Service（Amazon S3）存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。
164.312(c)(2)	(2) 实施规范：受保护电子健康信息的认证机制（可处理）。实施电子机制，以证实受保护电子健康信息没有被以未经授权的方式更改或销毁。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
164.312(c)(2)	(2) 实施规范：受保护电子健康信息的认证机制（可处理）。实施电子机制，以证实受保护电子健康信息没有被以未经授权的方式更改或销毁。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(c)(2)	(2) 实施规范：受保护电子健康信息的认证机制（可处理）。实施电子机制，以证实受保护电子健康信息没有被以未经授权的方式更改或销毁。	s3-bucket-versioning-enabled	Amazon Simple Storage Service（Amazon S3）存储桶版本控制有助于将对象的多个变体保存在同一 Amazon S3 存储桶中。对于 Amazon S3 存储桶中存储的每个对象，使用版本控制功能来保存、检索和还原它们的各个版本。版本控制功能可帮助您轻松地从用户意外操作和应用程序故障中恢复。
164.312(d)	(d) 标准：个人或实体身份验证。实施程序，以验证寻求访问受保护电子健康信息的个人或实体是否为所声称的个人或实体。	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
164.312(d)	(d) 标准：个人或实体身份验证。实施程序，以验证寻求访问受保护电子健康信息的个人或实体是否为所声称的个人或实体。	iam-user-mfa-enabled	启用此规则可限制对 AWS 云中资源的访问。此规则可确保为所有用户启用多重身份验证（MFA）。MFA 在登录凭证之上添加一层额外的保护。要求用户进行多重身份验证，从而减少账户被盗事件。
164.312(d)	(d) 标准：个人或实体身份验证。实施程序，以验证寻求访问受保护电子健康信息的个人或实体是否为所声称的个人或实体。	mfa-enabled-for-iam-控制台访问权限	确保所有拥有控制台密码的 AWS 身份和访问管理 (IAM) Access Management 用户都启用 MFA，从而管理对 AWS 云中资源的访问权限。MFA 在登录凭证之上添加一层额外的保护。通过要求用户进行 MFA，您可以减少账户被盗事件，防止未经授权的用户访问敏感数据。
164.312(d)	(d) 标准：个人或实体身份验证。实施程序，以验证寻求访问受保护电子健康信息的个人或实体是否为所声称的个人或实体。	root-account-hardware-mfa-已启用	通过确保为根用户启用硬件 MFA 来管理对 AWS 云中资源的访问。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
164.312(d)	(d) 标准：个人或实体身份验证。实施程序，以验证寻求访问受保护电子健康信息的个人或实体是否为所声称的个人或实体。	root-account-mfa-enabled	通过确保为根用户启用 MFA 来管理对 AWS 云中资源的访问权限。根用户是 AWS 账户中权限最高的用户。MFA 为登录凭证增加了一层额外的保护。通过要求根用户进行 MFA，可以减少泄露事件。 AWS 账户
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	dms-replication-not-public	通过确保 DMS 复制实例无法公开访问来管理对 AWS 云的访问权限。DMS 复制实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	ebs-snapshot-public-restorable-检查	通过确保 EBS 快照不可公开还原来管理对 AWS 云的访问权限。EBS 卷快照可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	ec2-instance-no-public-ip	通过确保无法公开访问亚马逊弹性计算云 (Amazon EC2) 实例来管理对云的访问。 AWS Amazon EC2 实例可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	elasticsearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务（OpenSearch 服务）域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。Amazon VPC 中的 OpenSearch 服务域可实现 OpenSearch 服务与 Amazon VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	emr-master-no-public-ip	通过确保无法公开访问 Amazon EMR 集群主节点来管理对 AWS 云的访问。Amazon EMR 集群主节点可能包含敏感信息，因此需要对此类账户进行访问控制。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	ec2-instances-in-vpc	在 Amazon Virtual Private Cloud（Amazon VPC）内部署 Amazon Elastic Compute Cloud（Amazon EC2）实例，以实现实例与 Amazon VPC 内其他服务之间的安全通信，而无需互联网网关、NAT 设备或 VPN 连接。所有流量都安全地保存在 AWS 云中。由于进行了逻辑隔离，与使用公共终端节点的域相比，驻留在 Amazon VPC 中的域有一层额外的安全保护。将 Amazon EC2 实例分配给 Amazon VPC 以正确管理访问权限。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	internet-gateway-authorized-vpc-只有	通过确保互联网网关仅连接到授权的亚马逊虚拟私有 AWS 云（Amazon VPC），来管理对云中资源的访问。互联网网关允许进出 Amazon VPC 的双向互联网访问，这可能会导致未经授权访问 Amazon VPC 资源。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	lambda-function-public-access-禁止	通过确保无法公开访问 AWS Lambda 函数来管理对 AWS 云中资源的访问。公开访问可能导致资源可用性下降。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon 内部工作负载的互联网访问权限 VPCs 可以减少您环境中的意外访问。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	rds-instance-public-access-检查	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	rds-snapshots-public-prohibited	通过确保亚马逊关系数据库服务 (Amazon RDS) 实例不公开，管理对 AWS 云中资源的访问权限。Amazon RDS 数据库实例可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	restricted-common-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。此规则允许您选择设置 blockedPort1 - blockedPort5 参数（Config 默认值：20,21,3389,3306,4333）。实际值应反映贵组织的策略。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 不允许您资源上的入口（或远程）流量从 0.0.0.0/0 进入端口 22 有助于限制远程访问。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	s3--account-level-public-access 区块-周期性	确保无法公开访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。该规则通过防止公众访问，来帮助保护敏感数据免受未经授权的远程用户的访问。此规则允许您选择设置（配置默认值：True）、 ignorePublicAcls （配置默认值：True）、 blockPublicPolicy （配置默认值：True）和参数 blockPublicAcls （配置默认值：True）和 restrictPublicBuckets 参数（配置默认值：True）。实际值应反映贵组织的策略。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	sagemaker-notebook-no-direct-互联网接入	通过确保 Amazon SageMaker 笔记本电脑不允许直接访问互联网，管理对 AWS 云端资源的访问。通过防止直接访问互联网，您可以防止未经授权的用户访问敏感数据。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	ssm-document-not-public	确保 S AWS ystems Manager (SSM) 文档不公开，因为这可能会允许意外访问您的 SSM 文档。公开 SSM 文档可能会公开有关您的账户、资源和内部流程的信息。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	subnet-auto-assign-public-ip 已禁用	通过确保亚马逊虚拟私有 AWS 云 (VPC) Virtual Private Cloud 子网不会自动分配公有 IP 地址来管理对云的访问。Amazon Elastic Compute Cloud（EC2）实例在启用此属性的子网中启动时，其主网络接口会分配一个公有 IP 地址。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	alb-waf-enabled	确保在弹性负载均衡器 (ELB) 上启用 AWS WAF，以帮助保护 Web 应用程序。WAF 有助于保护您的 Web 应用程序或防 APIs 范常见的 Web 漏洞。这些 Web 漏洞可能会影响可用性、损害安全性或消耗环境中过多的资源。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	api-gw-associated-with-waf	AWS WAF 允许您配置一组规则（称为 Web 访问控制列表 (Web ACL)），这些规则根据您定义的可自定义 Web 安全规则和条件允许、阻止或计数 Web 请求。确保您的 Amazon API Gateway 阶段与某个 WAF Web ACL 关联，以保护其免受恶意攻击
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	vpc-default-security-group-已关闭	Amazon Elastic Compute Cloud (Amazon EC2) 安全组可以对资源的入口和出口网络流量进行状态筛选，从而帮助管理网络访问。 AWS 限制默认安全组上的所有流量有助于限制对 AWS 资源的远程访问。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	vpc-sg-open-only-to-authorized-ports	通过确保限制亚马逊弹性计算 AWS 云 (Amazon EC2) 安全组的常用端口，管理对云中资源的访问。如果不将端口访问限制为可信来源，可能会导致针对系统可用性、完整性和机密性的攻击。通过限制从互联网 (0.0.0.0/0) 访问安全组内的资源，可以控制对内部系统的远程访问。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	autoscaling-launch-config-public-ip 已禁用	如果您使用公有 IP 地址配置网络接口，则可以从互联网访问这些网络接口的相关资源。EC2 资源不应可公开访问，因为这可能会允许意外地访问您的应用程序或服务器。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.312(e)(1)	(e)(1) 标准：传输安全。实施技术安全措施，防止未经授权访问通过电子通信网络传输的受保护的电子健康信息。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.312(e)(2)(i)	(i) 完整性控制（可处理）。实施安全措施，确保以电子方式传输的受保护的电子健康信息在处置之前不会在未被发现的情况下被不当修改。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	elasticsearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	secretsmanager-using-cmk	为了帮助保护静态数据，请确保为 S AWS ecrets Manager 密 AWS 钥启用密钥管理服务 (AWS KMS) 加密。由于 Secrets Manager 机密中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.312(e)(2)(ii)	(ii) 加密（可处理）。实施一种机制，在适当时对受保护的电子健康信息进行加密。	kinesis-stream-encrypted	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	elasticsearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
164.314(b)(1)	(b)(1) 标准：团体健康计划的要求。除非根据 ¤ 164.504(f)(1)(ii) 或 (iii) 或者根据 ¤ 164.508 的授权，来披露已披露给计划发起人的唯一受保护电子健康信息，否则团体健康计划必须确保其计划文件规定计划发起人将合理而适当地保护计划发起人创建、接收、维护，或由计划发起人代表团体健康计划创建、接收、维护，或传输给计划发起人或由计划发起人传输的受保护电子健康信息。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	elasticsearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	rds-snapshot-encrypted	确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	redshift-cluster-public-access-检查	通过确保 Amazon Redshift 集群不公开，管理对 AWS 云端资源的访问权限。Amazon Redshift 集群可能包含敏感信息，因此需要对此类账户实施相应原则和访问控制。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	s3-bucket-public-read-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	s3-bucket-public-write-prohibited	仅允许授权用户、进程和设备访问亚马逊简单存储服务 (Amazon S3) 存储桶，从而管理对 AWS 云端资源的访问权限。访问管理应与数据的分类保持一致。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
164.314(b)(2)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；(ii) 确保通过合理和适当的安全措施来支持 ¤ 164.504(f)(2)(iii) 所要求的适当分离；(iii) 确保向其提供这些信息的任何代理人，包括分包商，同意采取合理和适当的安全措施来保护信息；以及 (iv) 向团体健康计划报告其发现的任何安全事件。	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	iam-customer-policy-blocked-kms 动作	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，从而限制策略包含对 AWS 所有密钥管理服务密钥的封锁操作。拥有超过完成任务所需的权限可能会违反最低权限和职责分离的原则。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	iam-inline-policy-blocked-kms 动作	确保 AWS 身份和访问管理 (IAM) Access Management 用户、IAM 角色或 IAM 群组没有允许对 AWS 所有密钥管理服务密钥执行阻止操作的内联策略。 AWS 建议使用托管策略而不是内联策略。托管策略允许可重用性、版本控制、回滚和委托权限管理。此规则允许您设置 blockedActionsPatterns 参数。（AWS 基础安全最佳实践价值： kms:解密，）。 kms: ReEncryptFrom实际值应反映贵组织的策略。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) 可以帮助您将最低权限和职责分离原则与访问权限和授权相结合，限制策略包含 “效果”：“允许” 和 “操作”：“” 而不是 “资源”：“”。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	iam-root-access-key-检查	通过检查根用户的 AWS 身份和访问管理 (IAM) 角色是否没有附加访问密钥，可以控制对系统和资产的访问权限。确保删除根访问密钥。相反，创建和使用基于角色的 AWS 账户方法来帮助整合功能最少的原则。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	iam-user-no-policies-检查	该规则确保 AWS 身份和访问管理 (IAM) Access Management 策略仅附加到组或角色以控制对系统和资产的访问权限。在组或角色级别分配权限有助于减少身份获得或保留过多权限的机会。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	iam-policy-no-statements-with-full-access	确保 IAM 操作仅限于需要的那些操作。允许用户拥有超过完成任务所需的权限，可能会违反最低权限和职责分离的原则。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	ecs-task-definition-user-for-host-mode-check	如果任务定义具有提升的权限，那是因为客户专门选择了这些配置。当任务定义启用了主机联网，但客户未选择使用提升权限时，此控制会检查权限是否意外提升。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	ecs-containers-readonly-access	启用对 Amazon Elastic Container Service（ECS）容器的只读访问有助于遵守最低权限原则。此选项可以减少攻击载体，因为除非容器实例具有明确的读写权限，否则无法修改其文件系统。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	s3-bucket-acl-prohibited	此规则检查访问控制列表 (ACLs) 是否用于对 Amazon S3 存储桶进行访问控制。 ACLs 是 Amazon S3 存储桶的传统访问控制机制，早于 AWS 身份和访问管理 (IAM) Access Management (IAM)。取而代之的是 ACLs，最佳做法是使用 IAM 策略或 S3 存储桶策略来更轻松地管理对 S3 存储桶的访问权限。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	iam-password-policy	身份和凭证是根据组织 IAM 密码策略颁发、管理和验证的。它们符合或超过了 NIST SP 800-63 和密码强度 AWS 基础安全最佳实践标准规定的要求。此规则允许您选择为自己的 IAM 设置 RequireUppercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireLowercaseCharacters （AWS 基础安全最佳实践值：true）、 RequireSymbols （AWS 基础安全最佳实践值：true）、 RequireNumbers （AWS 基础安全最佳实践值：true）、 MinimumPasswordLength （AWS 基础安全最佳实践值：14）、 PasswordReusePrevention （AWS 基础安全最佳实践值：24）和 MaxPasswordAge （AWS 基础安全最佳实践值：90）密码政策。实际值应反映贵组织的策略。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	acm-certificate-expiration-check	通过确保 X509 证书由 ACM 颁发，确保网络完整性得到保护。 AWS 这些证书必须有效且未过期。此规则需要一个值 daysToExpiration （AWS 基础安全最佳实践值：90）。实际值应反映贵组织的策略。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	alb-http-to-https-重定向检查	为帮助保护传输中的数据，请确保应用负载均衡器自动将未加密的 HTTP 请求重定向到 HTTPS。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	api-gw-ssl-enabled	确保 Amazon API Gateway REST API 阶段配置了 SSL 证书，以允许后端系统验证请求来自 API Gateway。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elb-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elb-predefined-security-policy-ssl-check	为了帮助保护传输中数据，请确保您的经典 Elastic Load Balancing SSL 侦听器使用预定义的安全策略。Elastic Load Balancing 将提供预定义的 SSL 协商配置，在客户端与您的负载均衡器之间建立连接时，这些配置用于进行 SSL 协商。SSL 协商配置提供了广泛的客户端兼容性，并使用高强度加密算法。此规则要求您为 SSL 侦听器设置预定义安全策略。默认的安全策略是：Policy ELBSecurity-tls-1-2-2017-0。实际值应反映贵组织的策略
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elb-tls-https-listeners-只有	确保您的弹性负载均衡器 (ELBs) 配置了 SSL 或 HTTPS 侦听器。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	s3-bucket-ssl-requests-only	为了帮助保护传输中的数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶需要请求使用安全套接字层（SSL）。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elbv2-acm-certificate-required	由于可能存在敏感数据，并且为了帮助保护传输中的数据，应确保 Elastic Load Balancing 启用了加密。使用 AWS Certifice Manager 通过 AWS 服务和内部资源管理、配置和部署公有和私有 SSL/TLS 证书。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	cloud-trail-encryption-enabled	由于可能存在敏感数据，为了帮助保护静态数据，请确保为您的 AWS CloudTrail 跟踪启用了加密。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	ec2-ebs-encryption-by-default	为了帮助保护静态数据，请确保为您的 Amazon Elastic Block Store（Amazon EBS）卷启用加密。由于这些卷中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	efs-encrypted-check	由于可能存在敏感数据，并且为了帮助保护静态数据，请确保为您的 Amazon Elastic File System（EFS）启用加密。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elasticsearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保您的亚马逊 OpenSearch 服务（OpenSearch 服务）域已启用加密。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elasticsearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	encrypted-volumes	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Elastic Block Store (Amazon EBS) 卷启用了加密。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	rds-snapshot-encrypted	确保为 Amazon Relational Database Service（Amazon RDS）快照启用加密。由于可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	rds-storage-encrypted	为了帮助保护静态数据，请确保您的 Amazon Relational Database Service（Amazon RDS）实例启用了加密。由于 Amazon RDS 实例中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	redshift-cluster-configuration-check	要保护静态数据，请确保您的 Amazon Redshift 集群启用了加密。您还必须确保在 Amazon Redshift 集群上部署所需的配置。应启用审计日志记录，以提供有关数据库中连接和用户活动的信息。此规则要求为 clusterDbEncrypted （配置默认：TRUE）和启用 LoggingEnabled（配置默认值：TRUE）设置一个值。实际值应反映贵组织的策略。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	redshift-require-tls-ssl	确保您的 Amazon Redshift 集群需要 TLS/SSL 加密才能连接 SQL 客户端。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	s3-已bucket-server-side-encryption启用	为了帮助保护静态数据，请确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	s3-default-encryption-kms	确保您的 Amazon Simple Storage Service（Amazon S3）存储桶启用了加密。由于 Amazon S3 存储桶中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	sagemaker-endpoint-configuration-kms-密钥已配置	为了帮助保护静态数据，请确保您的 SageMaker 终端节点启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 端点中，因此启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	sagemaker-notebook-instance-kms-密钥已配置	为帮助保护静态数据，请确保您的 SageMaker 笔记本电脑启用了 AWS 密钥管理服务 (AWS KMS) 的加密。由于敏感数据可以静态存在于 SageMaker 笔记本中，因此启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	sns-encrypted-kms	为了帮助保护静态数据，请确保您的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 主题需要 AWS 使用密钥管理服务AWS (KMS) 进行加密。由于已发布的消息中可能存在敏感的静态数据，因此应启用静态加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	dynamodb-autoscaling-enabled	Amazon DynamoDB 自动扩展 AWS 使用 Application Auto Scaling 服务来调整自动响应实际流量模式的预配置吞吐容量。这使表或全局二级索引能够增加其预配置 read/write 容量，以应对突然增加的流量，而不会受到限制。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	dynamodb-pitr-enabled	启用此规则可检查信息是否已备份。它还通过确保在 Amazon DynamoDB 中启用 point-in-time恢复功能来维护备份。恢复过程会维持表在过去 35 天的连续备份。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elb-cross-zone-load-启用平衡	为您的弹性负载均衡器 (ELBs) 启用跨区域负载均衡，以帮助保持足够的容量和可用性。跨区域负载均衡可降低在每个启用的可用区维持相同数量实例的需求。它还将提高应用程序处理一个或多个实例丢失情况的能力。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	elb-deletion-protection-enabled	此规则可确保 Elastic Load Balancing 已启用删除保护。使用此功能可防止负载均衡器被意外或恶意删除，因为这可能导致应用程序丧失可用性。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	rds-cluster-deletion-protection-已启用	确保 Amazon Relational Database Service（Amazon RDS）实例已启用删除保护。使用删除保护可防止您的 Amazon RDS 实例被意外或恶意删除，这可能会导致您的应用程序丧失可用性。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	rds-multi-az-support	Amazon Relational Database Service（Amazon RDS）中的多可用区支持为数据库实例提供了增强的可用性和耐久性。当您预置多可用区数据库实例时，Amazon RDS 会自动创建一个主数据库实例，并将数据同步复制到不同可用区中的备用实例。每个可用性区域都在各自独立的物理基础设施上运行，具有高度可靠性。如果基础设施出现故障，Amazon RDS 会自动失效转移到备用服务器，这样您就可以在失效转移完成后立即恢复数据库操作。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	s3-bucket-default-lock-enabled	确保默认情况下 Amazon Simple Storage Service（Amazon S3）存储桶已启用锁定。由于 S3 存储桶中可能存在敏感的静态数据，因此应强制执行静态对象锁定以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	vpc-vpn-2-tunnels-up	可以实施冗余 Site-to-Site VPN 隧道来满足弹性要求。它使用两条隧道来帮助确保连接，以防其中一个 Site-to-Site VPN 连接不可用。为了防止连接中断，在您的客户网关不可用时，您可以使用第二个客户网关设置与您的亚马逊虚拟私有云 (Amazon VPC) 和虚拟私有网关的第二个 VP Site-to-Site N 连接。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	no-unrestricted-route-to-igw	确保 Amazon EC2 路由表中没有指向互联网网关的无限制路由。移除或限制 Amazon 内部工作负载的互联网访问权限 VPCs 可以减少您环境中的意外访问。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	opensearch-encrypted-at-rest	由于敏感数据可能存在，并且为了帮助保护静态数据，请确保对您的 Amazon S OpenSearch ervice 域启用加密。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	opensearch-https-required	由于敏感数据可能存在，并且为了帮助保护传输中的数据，请确保为与您的 Amazon S OpenSearch ervice 域的连接启用 HTTPS。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	opensearch-in-vpc-only	通过确保亚马逊 OpenSearch 服务域位于亚马逊虚拟私有 AWS 云（亚马逊 VPC）内来管理对云的访问。亚马逊 VPC 内的亚马逊 OpenSearch 服务域可实现亚马逊 OpenSearch 服务与亚马逊 VPC 内的其他服务之间的安全通信，无需互联网网关、NAT 设备或 VPN 连接。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	opensearch-node-to-node-加密检查	确保启用了 Amazon OpenSearch 服务的 node-to-node加密。 Node-to-node加密为亚马逊虚拟私有云（亚马逊 VPC）内的所有通信启用 TLS 1.2 加密。由于可能存在敏感数据，因此应启用传输中加密以帮助保护这些数据。
164.314(b)(2)(i)	(2) 实施规范（必填）。必须修改团体健康计划的计划文件，以纳入相关规定，要求计划发起人：(i) 实施管理、物理和技术保障措施，合理而适当地保护其代表团体健康计划创建、接收、维护或传输的受保护的电子健康信息的机密性、完整性和可用性；	kinesis-stream-encrypted	由于可能存在敏感数据，并且为了帮助保护静态数据，应确保您的 Amazon Kinesis Streams 启用了加密。

模板

该模板可在以下网址获得 GitHub：HIPAA 安全最佳运营实践。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

GxP 欧盟附件 11 操作最佳实践

IRS 1075 操作最佳实践