Enkripsi Data saat istirahat untuk AWS HealthScribe

AWS HealthScribe menyediakan enkripsi secara default untuk melindungi data pelanggan sensitif saat istirahat menggunakan kunci Amazon S3 -managed.

• Amazon S3-managed Keys (SSE-S3) - AWS HealthScribe menggunakan kunci Amazon S3 -managed secara default untuk mengenkripsi file perantara secara otomatis. Anda tidak dapat melihat, mengelola, atau menggunakan kunci yang Amazon S3 dikelola, atau mengaudit penggunaannya. Namun, Anda tidak perlu mengambil tindakan apa pun atau mengubah program apa pun untuk melindungi kunci yang mengenkripsi data Anda. Untuk informasi lebih lanjut, lihat SSE-S3.

Enkripsi data saat istirahat secara default membantu mengurangi overhead operasional dan kompleksitas yang terlibat dalam melindungi data sensitif. Pada saat yang sama, ini memungkinkan Anda untuk membangun aplikasi aman yang memenuhi kepatuhan enkripsi yang ketat dan persyaratan peraturan.

Meskipun Anda tidak dapat menonaktifkan lapisan enkripsi ini atau memilih jenis enkripsi alternatif, Anda dapat menambahkan lapisan enkripsi kedua di atas kunci Amazon S3 -managed yang ada dengan memilih kunci yang dikelola pelanggan saat Anda membuat pekerjaan dengan AWS HealthScribe.

• Kunci terkelola pelanggan — AWS HealthScribe mendukung penggunaan kunci terkelola pelanggan simetris yang Anda buat, miliki, dan kelola untuk menambahkan enkripsi lapisan kedua di atas enkripsi milik AWS yang ada. Karena Anda memiliki kontrol penuh atas lapisan enkripsi ini, Anda dapat melakukan tugas-tugas seperti:

  • Menetapkan dan memelihara kebijakan utama

  • Menetapkan dan memelihara IAM kebijakan dan hibah

  • Mengaktifkan dan menonaktifkan kebijakan utama

  • Memutar bahan kriptografi kunci

  • Menambahkan tanda

  • Membuat alias kunci

  • Kunci penjadwalan untuk penghapusan

Untuk informasi selengkapnya, lihat kunci terkelola pelanggan di Panduan AWS Key Management Service Pengembang.

catatan

AWS HealthScribe secara otomatis mengaktifkan enkripsi saat istirahat menggunakan kunci yang AWS dimiliki untuk melindungi data yang dapat diidentifikasi secara pribadi tanpa biaya. Namun, AWS KMS biaya berlaku untuk menggunakan kunci yang dikelola pelanggan. Untuk informasi lebih lanjut tentang harga, lihat Harga AWS Key Management Service.

Untuk informasi lebih lanjut tentangAWS KMS, lihat Apa itu AWS Key Management Service.

Buat kunci terkelola pelanggan

Anda dapat membuat kunci terkelola pelanggan simetris dengan menggunakanAWS Management Console, atau AWS KMS API. Untuk membuat kunci terkelola pelanggan simetris, ikuti langkah-langkah untuk Membuat kunci terkelola pelanggan simetris di Panduan AWS Key Management Service Pengembang.

Kebijakan utama mengontrol akses ke kunci yang dikelola pelanggan Anda. Setiap kunci yang dikelola pelanggan harus memiliki persis satu kebijakan utama, yang berisi pernyataan yang menentukan siapa yang dapat menggunakan kunci dan bagaimana mereka dapat menggunakannya. Saat membuat kunci terkelola pelanggan, Anda dapat menentukan kebijakan kunci. Untuk informasi selengkapnya, lihat Mengelola akses ke kunci terkelola pelanggan di Panduan AWS Key Management Service Pengembang.

Jika Anda menggunakan kunci di akun yang sama dengan IAM peran yang Anda tentukan sebagai StartMedicalScribeJobpermintaan Anda, Anda tidak perlu memperbarui Kebijakan Kunci. DataAccessRoleArn Untuk menggunakan kunci yang dikelola pelanggan Anda di akun yang berbeda seperti Anda DataAccessRole, Anda harus mempercayai Kebijakan Kunci untuk tindakan berikut: DataAccessRoleArn

• kms:Encrypt— Memungkinkan enkripsi menggunakan kunci yang dikelola pelanggan

• kms:Decrypt— Memungkinkan dekripsi menggunakan kunci yang dikelola pelanggan

• kms:DescribeKey— Memberikan detail kunci yang dikelola pelanggan untuk memungkinkan AWS HealthScribe memvalidasi kunci

Berikut ini adalah contoh pernyataan kebijakan yang dapat Anda tambahkan untuk memberikan izin lintas akun IAM peran Anda untuk menggunakan kunci terkelola pelanggan Anda:

"Statement" : [ 
  {
    "Sid": "Allow access to the DataAcessRole for StartMedicalScribeJob",
    "Effect": "Allow",
    "Principal": {
      "AWS": "arn:aws:iam::111122223333:role/DataAccessRole"
    },
    "Action": [ 
      "kms:DescribeKey", 
      "kms:Encrypt",
      "kms:Decrypt",
      "kms:GenerateDataKey"
    ],
    "Resource" : "*"
  }
]

Terlepas dari apakah kunci yang dikelola pelanggan Anda dan DataAccessRole berada di akun yang sama atau akun yang berbeda, Anda DataAccessRole akan memerlukan izin untuk melakukan tindakan yang disebutkan di atas menggunakan kunci yang dikelola pelanggan Anda. Berikut adalah contoh pernyataan kebijakan yang dapat Anda tambahkan ke DataAccessRole:

"Statement" : [ 
  {
    "Sid": "Allow role to perform AWS KMS actions for customer managed key",
    "Effect": "Allow",
    "Action": [ 
      "kms:DescribeKey", 
      "kms:Encrypt",
      "kms:Decrypt"
    ],
    "Resource": "*"
  }
]

Untuk informasi selengkapnya tentang menentukan izin dalam kebijakan, lihat Panduan AWS Key Management Service Pengembang. Untuk informasi selengkapnya tentang akses kunci pemecahan masalah, lihat Panduan AWS Key Management Service Pengembang.

Menentukan kunci yang dikelola pelanggan untuk AWS HealthScribe

Anda dapat menentukan kunci yang dikelola pelanggan sebagai enkripsi lapisan kedua untuk StartMedicalScribeJob permintaan. Saat membuat StartMedicalScribeJobpermintaan, Anda dapat menentukan kunci yang dikelola pelanggan dengan menyertakan KeyId bidang OutputEncryptionKMS dalam permintaan Anda.

AWS KMSkonteks enkripsi

AWS KMSkonteks enkripsi adalah peta teks biasa, pasangan kunci non-rahasia: nilai. Peta ini mewakili data tambahan yang diautentikasi, yang dikenal sebagai pasangan konteks enkripsi, yang menyediakan lapisan keamanan tambahan untuk data Anda. AWS HealthScribe memerlukan kunci enkripsi simetris untuk mengenkripsi AWS HealthScribe output ke dalam bucket yang ditentukan pelangganAmazon S3. Untuk mempelajari lebih lanjut, lihat Kunci asimetris di AWS KMS.

Saat membuat pasangan konteks enkripsi Anda, jangan sertakan informasi sensitif. Konteks enkripsi bukanlah rahasia — ini terlihat dalam teks biasa di dalam CloudTrail log Anda (sehingga Anda dapat menggunakannya untuk mengidentifikasi dan mengkategorikan operasi kriptografi Anda). Pasangan konteks enkripsi Anda dapat menyertakan karakter khusus, seperti garis bawah (_), tanda hubung (), garis miring (,-) dan / titik dua (\). :

Tip

Ini dapat berguna untuk menghubungkan nilai-nilai dalam pasangan konteks enkripsi Anda dengan data yang dienkripsi. Meskipun tidak diperlukan, kami sarankan Anda menggunakan metadata non-sensitif yang terkait dengan konten terenkripsi Anda, seperti nama file, nilai header, atau bidang database yang tidak terenkripsi.

Untuk menggunakan enkripsi output dengan API, atur EncryptionContext parameter KMS dalam StartMedicalScribeJoboperasi. Untuk menyediakan konteks enkripsi untuk operasi enkripsi output, KeyId parameter OutputEncryptionKMS harus mereferensikan ID AWS KMS kunci simetris.

Anda dapat menggunakan kunci AWS KMS kondisi dengan IAM kebijakan untuk mengontrol akses ke AWS KMS kunci enkripsi simetris berdasarkan konteks enkripsi yang digunakan dalam permintaan operasi kriptografi. Untuk contoh kebijakan konteks enkripsi, lihat kebijakan konteks AWS KMS enkripsi.

Menggunakan konteks enkripsi adalah opsional, tetapi disarankan. Untuk informasi selengkapnya, lihat Konteks enkripsi.