Security Hub CSPM adota políticas declarativas do AWS Organizations

O que mudou

O AWS Security Hub CSPM (o módulo de postura de segurança do Security Hub) passou a suportar políticas declarativas do AWS Organizations, segundo anúncio publicado em 13 de novembro de 2026 no What's New da AWS. As políticas declarativas definem, para toda a organização, quais padrões e controles de segurança ficam ativos em cada conta e região.

Uma política pode valer para todas as contas e todas as regiões de uma vez, ou mirar combinações específicas de conta e região. O ponto central é a prevenção de desvio de configuração (configuration drift): cada conta precisa permanecer alinhada à política que está vinculada a ela, em vez de depender de alguém reaplicar a configuração manualmente depois de uma mudança.

Há também aplicação automática a contas novas: assim que uma conta é criada dentro da organização, ela já nasce com a configuração-base de Security Hub CSPM definida na política, sem passo manual do time de segurança.

Onde está disponível

As políticas declarativas para Security Hub CSPM estão disponíveis em todas as regiões comerciais da AWS, além das regiões AWS GovCloud (US) e das regiões da China. Como América do Sul (São Paulo), sa-east-1, é uma região comercial padrão, o recurso está disponível para contas que operam por lá, lado a lado com regiões como us-east-1 e eu-west-1.

Isso é relevante porque dá para escrever uma política específica para sa-east-1 (por exemplo, controles adicionais por exigência local de compliance) sem precisar replicar a mesma lógica em todas as outras regiões.

Quanto custa

A fonte não detalha um preço específico para o uso de políticas declarativas em si; o anúncio só menciona que é possível testar o Security Hub CSPM sem custo por 30 dias através da oferta do AWS Free Tier. O anúncio não traz nenhum outro detalhe sobre o modelo de cobrança do Security Hub CSPM, nem indica que esse recurso altera a precificação já existente do serviço.

Como começar

Quem já usa a configuração central (central configuration) do Security Hub CSPM não precisa migrar imediatamente: a AWS deixa claro que dá para continuar com o modelo atual até decidir trocar. O caminho de migração funciona assim:

1. Abrir o console do Security Hub CSPM e localizar o processo de migração descrito no guia Migrating central configuration policies;
2. Rodar a migração, que converte as políticas de configuração central existentes em políticas declarativas equivalentes;
3. Conferir se a conversão aplicou as políticas às contas e regiões corretas, já que o processo faz essa aplicação automaticamente;
4. Consultar as páginas Declarative policies (no guia do Security Hub CSPM) e Security Hub CSPM policies (no guia do AWS Organizations) para entender a sintaxe de políticas específicas por região;
5. Assinar o tópico SNS do Security Hub para ser avisado quando novos controles e funcionalidades forem lançados.

O que muda para quem já usa

Para quem desenha e opera ambiente multi-conta, o ganho prático está em três frentes: baseline automático em conta nova, controle fino por região e alinhamento com o resto do portfólio de segurança da AWS.

Esse último ponto importa para quem já padronizou Organizations com GuardDuty e Amazon Inspector: agora o Security Hub CSPM segue a mesma lógica de política declarativa, o que reduz a quantidade de modelos mentais diferentes para manter um ambiente seguro em escala.

Para quem responde por compliance e LGPD, a mudança resolve um problema recorrente em auditoria: provar que todas as contas da organização seguem o mesmo padrão de controle, sem depender de relatório manual conta por conta. Com a política declarativa como fonte única da verdade, a evidência de que um determinado controle está ativo em todas as contas (inclusive nas que operam dados pessoais em sa-east-1) vem direto da configuração publicada, não de uma checagem posterior.

Fica em aberto, pelo que a fonte traz, o prazo em que a AWS vai manter o suporte à configuração central em paralelo, já que o anúncio só diz que a migração pode acontecer "quando você estiver pronto", sem data-limite declarada.

Fonte 1: AWS What's New (https://aws.amazon.com/about-aws/whats-new/2026/11/security-hub-cspm-org-policies/)

AWS Security Hub CSPM now supports centralized configuration with AWS Organizations declarative policies - AWS

Skip to main content

AWS Security Hub CSPM now supports centralized configuration with AWS Organizations declarative policies

Posted on: Nov 13, 2026

AWS Security Hub CSPM now supports AWS Organizations declarative policies. You can use them to enable Security Hub CSPM across all accounts and Regions in your organization and to define which security standards and controls are enabled.

Policies can apply broadly to every account and Region, or target specific account and Region combinations. Declarative policies help keep each account's configuration aligned with its attached policy, which helps prevent configuration drift. You can also apply them automatically to new accounts, so each account starts with a baseline configuration as soon as it's created.

Declarative policies are now the recommended way to manage Security Hub CSPM across an organization. They align with how other security services, such as Amazon GuardDuty, Amazon Inspector, and AWS Security Hub allow customers to manage configuration of the service. They also provide more flexibility, such as configuring Region-specific settings. You can continue to use central configuration until you're ready to migrate. When you are, use the migration process in the Security Hub CSPM console. It converts your existing central configuration policies into declarative policies and applies them to the appropriate accounts and regions.

Declarative policies for Security Hub CSPM are available in all commercial, AWS GovCloud (US), and China Regions. To get started, see Migrating central configuration policies . To learn more, see Declarative policies in the AWS Security Hub CSPM User Guide and Security Hub CSPM policies in the AWS Organizations User Guide. To receive notifications about new Security Hub CSPM features and controls, subscribe to the Security Hub SNS topic . You can also try Security Hub CSPM at no cost for 30 days with the AWS Free Tier offering.

Fonte: AWS What's New