Qual nível de acesso os usuários da conta de auditoria devem ter a outras contas AWS na zona de pouso?

Alternativa C - Acesso somente leitura

No contexto de segurança da AWS e boas práticas de governança, como as definidas pela AWS Control Tower, a conta de auditoria tem uma função específica: monitorar e verificar a conformidade sem interferir nas operações.

Para garantir a integridade das evidências e evitar conflitos de interesse, o princípio fundamental é o da separação de funções. Isso significa que quem verifica não deve ser a mesma pessoa ou conta que pode alterar os dados sendo verificados.

Análise

Abaixo detalhamos por que a alternativa correta é "Acesso somente leitura" e por que as outras estão incorretas:

• Princípio do Privilégio Mínimo: Usuários de auditoria devem ter apenas as permissões necessárias para realizar sua função (ler logs, visualizar recursos), nada mais.
• Integridade dos Logs: Se um usuário de auditoria tivesse acesso de gravação ou administração, ele poderia apagar registros de atividade maliciosa ou modificar configurações para esconder falhas de segurança.
• Controle de Mudanças: Contas de administração são responsáveis por fazer alterações. Contas de auditoria são responsáveis por observar essas alterações.

Alternativa A (Acesso de auditoria): Termo genérico, não define tecnicamente o nível de permissão (poderia implicar escrita em alguns contextos).
Alternativa B (Acesso de administrador): Viola a segurança ao permitir mudanças totais na infraestrutura auditada.
Alternativa D (Leitura/gravação): Permite modificar dados, comprometendo a validade da auditoria.

Portanto, a única configuração segura e recomendada é o Acesso somente leitura, garantindo que os dados permaneçam imutáveis enquanto são analisados.