Protection des données dès la conception et par défaut
Chaque fois qu'un utilisateur ou une application tente d'utiliser AWS Management Console, l'API AWS ou l'interface de ligne de commande AWS CLI, une demande est envoyée à AWS. Le service AWS reçoit la demande et exécute plusieurs autres étapes afin de déterminer s'il faut autoriser ou refuser la demande, conformément à une logique d'évaluation de stratégies précise. À l'exception des demandes d'informations d'identification racines, toutes les demandes sur AWS sont refusées par défaut (la stratégie de refus par défaut est appliquée). Cela signifie que tout ce qui n'est pas explicitement autorisé par la stratégie est refusé. AWS recommande d'appliquer dans la définition des stratégies le principe du moindre privilège, c.-à-d. que chaque composant (tel que les utilisateurs, les modules ou les services) doit pouvoir accéder uniquement aux ressources nécessaires à l'exécution de ses tâches.
Cette approche est conforme à l'article 25 du RGPD, qui stipule que le responsable du traitement « doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. »
AWS fournit également des outils permettant de mettre en œuvre le puissant mécanisme Infrastructure as Code, qui permet de tenir compte de la sécurité dès le début de la conception d'une architecture. AWS CloudFormation fournit un langage commun pour décrire et allouer toutes les ressources d'infrastructure, y compris les stratégies et les processus de sécurité. Grâce à ces outils et pratiques, la sécurité fait partie intégrante de votre code et peut être gérée par version, surveillée et modifiée (à l'aide d'un système de gestion des versions) en fonction des exigences de votre organisation. Cela permet de protéger les données dès la conception, car les processus et les stratégies de sécurité peuvent être inclus dans la définition de votre architecture. Ils peuvent aussi être surveillés en permanence par des mesures de sécurité dans votre organisation.
