Bonnes pratiques et fonctionnalités de chiffrement pour Services AWS

Kurt Kumar, Amazon Web Services (AWS)

Décembre 2022 (historique du document)

Les menaces de cybersécurité modernes incluent le risque de violation de données, c'est-à-dire lorsqu'une personne autorisée accède à votre réseau et vole les données de votre entreprise. Les données constituent un actif commercial propre à chaque organisation. Il peut s'agir des informations sur les clients, des business plans, des documents de conception ou du code. Protéger l'entreprise implique de protéger ses données.

Des mesures telles que les pare-feux peuvent aider à prévenir une violation de données. Cependant, le chiffrement des données peut aider à protéger les données métier même après une violation. Il fournit un autre niveau de défense contre les divulgations involontaires. Pour accéder aux données chiffrées dans le AWS Cloud, les utilisateurs ont besoin d'autorisations afin d'utiliser la clé pour déchiffrer et d'autorisations pour utiliser le service sur lequel se trouvent les données. Sans ces deux autorisations, les utilisateurs ne sont pas en mesure de déchiffrer et de consulter les données.

En général, il existe deux types de données que vous pouvez chiffrer. Les données en transit sont les données qui circulent activement sur votre réseau, par exemple entre les ressources du réseau. Les données au repos sont des données stationnaires et dormantes, telles que les données stockées. Les exemples incluent le stockage par blocs, le stockage d'objets, les bases de données, les archives et les appareils de l'Internet des objets (IoT). Ce guide décrit les points à prendre en compte et les bonnes pratiques en matière de chiffrement des deux types de données. Il passe également en revue les fonctionnalités et les contrôles de chiffrement disponibles dans de nombreux Services AWS afin que vous puissiez implémenter ces recommandations de chiffrement au niveau du service dans vos environnements AWS Cloud.

Public visé

Ce guide peut être utilisé par les petites, moyennes et grandes organisations des secteurs public et privé. Que votre organisation en soit aux premières étapes de l'évaluation et de la mise en œuvre d'une stratégie de protection des données ou qu'elle cherche à améliorer les contrôles de sécurité existants, les recommandations présentées dans ce guide sont les mieux adaptées aux publics suivants :

• Les dirigeants qui formulent les stratégies de leur entreprise, tels que les présidents-directeurs généraux (PDG), les directeurs techniques (DT), les directeurs informatiques (DSI) et les responsables de la sécurité des informations (CISO)

• Les responsables technologiques chargés de définir les normes techniques, tels que les vice-présidents et directeurs techniques

• Les parties prenantes de l'entreprise et les propriétaires d'applications qui ont les responsabilités suivantes :

  • Évaluation du niveau de risque, de la classification des données et des exigences de protection

  • Contrôle du respect des normes organisationnelles établies

• Responsables de la conformité, de l'audit interne et de la gouvernance chargés de contrôler le respect des stratégies de conformité, y compris les régimes de conformité statutaires et volontaires