SEC07-BP03 Automatiser l’identification et la classification
L’automatisation de l’identification et de la classification des données peut vous aider à mettre en œuvre les contrôles appropriés. L’utilisation de l’automatisation pour améliorer la détermination manuelle réduit le risque d’erreur humaine et d’exposition.
Résultat souhaité : vous êtes en mesure de vérifier si les contrôles appropriés sont en place en fonction de votre politique de classification et de traitement. Les outils et services automatisés vous aident à identifier et à classer le niveau de sensibilité de vos données. L’automatisation vous aide également à surveiller en permanence vos environnements afin de détecter et d’alerter si des données sont stockées ou traitées de manière non autorisée, pour que des mesures correctives puissent être prises rapidement.
Anti-modèles courants :
-
S’appuyer uniquement sur des processus manuels pour l’identification et la classification des données, ce qui peut être source d’erreur et prendre beaucoup de temps. Cela peut entraîner une classification des données inefficace et incohérente, en particulier lorsque les volumes de données augmentent.
-
Ne pas disposer de mécanismes pour suivre et gérer les ressources de données dans l’ensemble de l’organisation.
-
Perdre de vue la nécessité d’une surveillance et d’une classification continues des données au fur et à mesure de leur évolution au sein de l’organisation.
Avantages de la mise en place de cette bonne pratique : l’automatisation de l’identification et de la classification des données peut permettre une application plus cohérente et plus précise des contrôles de protection des données, réduisant ainsi le risque d’erreur humaine. L’automatisation peut également fournir une visibilité sur l’accès et le mouvement des données sensibles, ce qui vous permet de détecter les manipulations non autorisées et de prendre des mesures correctives.
Niveau d’exposition au risque si cette bonne pratique n’est pas établie : moyen
Directives d’implémentation
Bien que le discernement humain soit souvent utilisé pour classer les données pendant les phases initiales de conception d’une charge de travail, envisagez de mettre en place des systèmes qui automatisent l’identification et la classification des données de test à titre de contrôle préventif. Par exemple, les développeurs peuvent disposer d’un outil ou d’un service leur permettant d’analyser des données représentatives afin de déterminer leur sensibilité. Dans AWS, vous pouvez télécharger des jeux de données dans Amazon S3
À des fins de détection, utilisez une surveillance continue de vos environnements pour identifier si des données sensibles sont stockées de manière non conforme. Cela peut permettre de détecter des situations telles que l’émission de données sensibles dans des fichiers journaux ou leur copie dans un environnement d’analytique des données sans anonymisation ou suppression appropriée. Les données stockées dans Amazon S3 peuvent être surveillées en permanence afin de détecter les données sensibles à l’aide d’Amazon Macie.
Étapes d’implémentation
-
Effectuez une analyse initiale de vos environnements pour une identification et une classification automatisées.
-
Une analyse initiale complète de vos données peut vous aider à comprendre de manière exhaustive où se trouvent les données sensibles dans vos environnements. Lorsqu’une analyse complète n’est pas requise au départ ou ne peut pas être réalisée en amont pour des raisons de coût, évaluez si les techniques d’échantillonnage des données sont appropriées pour obtenir vos résultats. Par exemple, Amazon Macie peut être configuré de façon à effectuer une vaste opération automatisée de découverte des données sensibles dans vos compartiments S3. Cette capacité utilise des techniques d’échantillonnage pour effectuer de manière rentable une analyse préliminaire de l’emplacement des données sensibles. Une analyse plus approfondie des compartiments S3 peut ensuite être réalisée à l’aide d’une tâche de découverte des données sensibles. D’autres magasins de données peuvent également être exportés vers S3 en vue de leur analyse par Macie.
-
-
Configurez des analyses continues de vos environnements.
-
La capacité de découverte automatique des données sensibles de Macie peut être utilisée afin d’effectuer des analyses continues de vos environnements. Les compartiments S3 connus qui sont autorisés à stocker des données sensibles peuvent être exclus à l’aide d’une liste d’autorisation dans Macie.
-
-
Intégrez l’identification et la classification à vos processus de construction et de test.
-
Identifiez les outils que les développeurs peuvent utiliser pour analyser la sensibilité des données pendant le développement des charges de travail. Utilisez ces outils dans le cadre des tests d’intégration pour vous avertir lorsque des données sensibles sont inattendues et empêcher tout déploiement ultérieur.
-
-
Mettez en œuvre un système ou un runbook pour agir lorsque des données sensibles sont détectées dans des emplacements non autorisés.
Ressources
Documents connexes :
Exemples connexes :
Outils associés :
