本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 采用 AWS 安全服务的决策树
<a name="decision-tree"></a>

下图显示了一个决策树，你可以用它来评估你的组织是否应该采用 AWS 安全服务。决策树分为两个部分：[公司背景](#company-context)和[AWS 安全服务评估](#service-evaluation)。第一部分 “*公司背景*” 旨在评估您当前的控制或解决方案（如果存在）。如果您没有当前的解决方案，或者您当前的控制或解决方案不符合您的业务或技术要求，则可以进入第二部分，即*AWS 安全服务评估*。在*AWS 安全服务评估*部分，您可以确定是否 AWS 服务 满足这些要求。



![采用 AWS 安全服务的决策树](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/strategy-evaluating-security-service/images/decision-mechanism.png)


## 评估当前安全控制措施或解决方案的公司背景
<a name="company-context"></a>

在本节中，您将评估您当前的控制或解决方案，以确保其满足组织的业务和技术要求。如果您没有控制措施或解决方案，则应评估 AWS 安全服务并直接跳至 [AWS 安全服务评估](#service-evaluation)部分。

### 1.1 合规、安全或隐私授权是否未得到遵守？
<a name="1-1"></a>

Organizations 受有关数据安全和隐私的法律法规的约束。任何违反这些任务的行为都可能导致严重后果。如果您的公司无法满足合规、安全或隐私要求，则应评估 AWS 安全服务。

### 1.2 你有没有解决的高风险吗？
<a name="1-2"></a>

Organizations 需要识别和管理其环境中的重大安全风险。高风险可能涉及潜在的数据泄露、系统漏洞、运营中断或其他关键安全问题。如果您当前的解决方案（或没有解决方案）不能充分降低这些高风险，请继续评估 AWS 安全服务。

### 1.3 你有手动或容易出错的解决方案吗？
<a name="1-3"></a>

需要手动步骤或人为交互的解决方案更容易出错。在这些场景中，不一致、数据可靠性低、资产不合规以及缺乏可扩展性是常见的。自动化控制对于 IT 系统和工作负载至关重要。如果您当前的解决方案不支持完全自动化，请考虑评估 AWS 安全服务。

### 1.4 您是否面临管理、敏捷性或可扩展性问题？
<a name="1-4"></a>

映射与管理有关的所有问题都很重要。以下是一些示例：缺乏兼容性，无法管理不同的资产，该解决方案无法涵盖所有设备，更新期间的错误和中断，以及对生产性能的负面影响。该解决方案必须提供敏捷性，以便团队能够从强大的安全态势中进行创新。您必须支持可扩展性才能实现指数级业务增长。如果您有任何管理、可用性或扩展问题，则应评估 AWS 安全服务。

### 1.5 您的总体拥有成本是否很高？
<a name="1-5"></a>

通过将成本与行业基准和内部指标进行比较，评估当前安全解决方案的总拥有成本 (TCO)。通常，组织将其IT预算的6-14％投资于网络安全，10％是平均水平。考虑诸如许可、实施、维护、支持和运营成本等因素，以保护您的资产。您可以添加涵盖相同数量的待保护资产的内部工具。工具的安全预算不平衡也可能表明总拥有成本过高，例如，如果60％的预算用于单个工具。如果您的 TCO 高于这些基准，请继续评估 AWS 安全服务。

## AWS 安全服务评估
<a name="service-evaluation"></a>

*技术验证 (POT)* 类似于概念验证。POT 的目标是确定技术问题的潜在解决方案是否可行。例如，你可以使用 POT 来证明特定的配置可以实现特定的结果。在本节中，您将使用 POT 来评估和演示给定的 AWS 安全服务是否符合您的业务和技术要求。

[AWS 安全参考架构 (AWS SRA)](https://docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/) 为在多账户环境中部署全套 AWS 安全服务提供了规范性指导。这种架构可以帮助您计划和执行 POT 评估。

本决策指南适用于所有 AWS 安全服务，包括最新产品。有关服务和当前最佳实践的 up-to-date列表，请参阅[AWS Cloud 安全](https://aws.amazon.com/security/)。

### 2.1 AWS 安全服务是否满足您的合规性、安全性或隐私要求？
<a name="2-1"></a>

 AWS 安全服务必须满足当前解决方案未涉及的任何合规性、安全和隐私要求。您可以在中找到有关安全性和合规性的 AWS 认证和报告[AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/what-is-aws-artifact.html)。此外，您还可以使用[AWS 服务 文档](https://docs.aws.amazon.com/)进行覆盖范围验证。

### 2.2 AWS 安全服务是否有助于降低风险？
<a name="2-2"></a>

风险管理是帮助保护公司免受多种威胁的关键因素。采用某项服务的决定可能与降低组织中的一个或多个高风险直接相关。 AWS 安全服务必须根据您的风险偏好和业务环境将风险降低到可接受的水平。

### 2.3 POT 是否显示安全服务的有效性？
<a name="2-3"></a>

必须根据每种 AWS 安全服务的不同指标，通过POT来证明安全服务的有效性。例如，POT 可以验证服务是否可以通过威胁情报算法快速检测和响应安全威胁。您可以通过确认在几分钟内检测到威胁以及自动通知和补救成功运行来评估成功。对于漏洞管理服务，您可以根据以下因素评估有效性：
+ 检测到多少漏洞？
+ 应用补丁和更新的成功率是多少？
+ 为了保护 Web，攻击性安全小组（也称为*红队*）执行的跨站脚本 (XSS) 和 SQL 注入攻击是否立即被阻止？

[AWS 专业服务和AWS](https://aws.amazon.com/professional-services/)[合作伙伴](https://partners.amazonaws.com/search/partners)可以在这次 POT 评估中为您提供支持。

### 2.4 TCO 是否低于当前控制或解决方案？
<a name="2-4"></a>

降低总拥有成本可以帮助您优化组织的成本。这些比较中使用的一些常见指标是：购置和实施成本、固定和可变费用、运营成本、维护和支持成本、扩展和可靠性成本以及培训成本。您可以根据自己的特定用例进行其他成本衡量和比较。[AWS 定价计算器](https://calculator.aws/)可以帮助您估算成本 AWS 服务. 此外，您可以使用试用版中的产品 AWS Free Tier 和免费试用版来评估许多产品 AWS 服务。有关更多信息，请参阅[免费 AWS Cloud 安全试用](https://aws.amazon.com/free/security/)。

### 2.5 权衡决定
<a name="2-5"></a>

权衡决策需要平衡多个因素，尤其是服务效率和总拥有成本考虑因素。当无法进行精确的计算或明确的确定时，请评估收益和局限性的总体平衡。

即使各种因素似乎相互冲突，也可能出现积极的平衡。例如，一项服务可能会增加成本，但可提供增强的可扩展性。这代表了一种积极的平衡，即效率的提高证明了增加费用的合理性。相反，即使一项服务可以节省大量成本，降低功能也可能是不可接受的。

您应权衡所有可用信息，以确定总体结果是正面还是负面。根据此分析，您可以做出权衡决定。