SEC07-BP01 データ分類スキームを理解する
ワークロードが処理するデータの分類、その取り扱い要件、関連するビジネスプロセス、データの保存場所、データの所有者について理解します。 データの分類および取り扱いのスキームでは、ワークロードに適用される法的要件とコンプライアンス要件、必要なデータ統制を考慮する必要があります。データを理解することが、データ分類作業の第一歩です。
期待される成果: ワークロードに存在するデータの種類が十分に理解され、文書化されます。 適切な統制が効き、機密データがその分類に基づいて保護されます。 こうした統制では、データへのアクセス許可を持つユーザーとアクセスの目的、データの保存場所、データの暗号化ポリシーと暗号化キーの管理方法、データのライフサイクルとその保持要件、適切な破棄プロセス、実施されているバックアップと復旧のプロセス、アクセスの監査などの考慮事項が規定されます。
一般的なアンチパターン:
-
データの機密レベルと取り扱い要件を定義する正式なデータ分類ポリシーが導入されていない。
-
ワークロード内のデータの機密レベルが十分に理解されておらず、その情報がアーキテクチャや運用のドキュメントに記録されていない。
-
データに対し、その機密性と要件に基づいた適切な統制を、データの分類と取り扱いに関するポリシーに従って適用できていない。
-
データの分類と取り扱い要件に関するフィードバックを、ポリシーの所有者と共有できていない。
このベストプラクティスを活用するメリット: このプラクティスは、ワークロード内のデータの適切な処理に関するあいまいさを排除します。 組織内のデータの機密レベルと各レベルで求められる保護を定義した正式なポリシーを適用することで、法的規制やサイバーセキュリティに関する証明書、認証に準拠しやすくなります。 ワークロードの所有者は、機密データがどこに保存されているか、どのような保護統制が実施されているかを確実に把握できます。 こうした情報を文書に記録することで、新しいチームメンバーが職務の早い段階でそれらを理解し、統制を維持できるようになります。これらを実践すると、データの種類ごとに統制の適切なサイジングを行い、コストも削減できます。
このベストプラクティスを活用しない場合のリスクレベル: 高
実装のガイダンス
ワークロードを設計する際、機密データを保護する方法を直感的に考慮しているかもしれません。 例えば、マルチテナントアプリケーションの場合、各テナントのデータを機密とみなし、任意のテナントが別のテナントのデータにはアクセスできないように保護するのは、直感的な対応です。 同様に、データを変更できるのは管理者だけで、他のユーザーは読み取り専用のアクセス権しかないか、一切アクセス権がないというように、直感的にアクセス制御を設計する場合もあるでしょう。
こうしたデータ機密レベルをデータ保護要件と併せて定義し、ポリシーに取り込むことで、ワークロードに含まれるデータを正式に特定できます。その上で、適切な統制が実施されているか、統制を監査できるか、データの取り扱いミスが判明した場合はどのような対応が適切かを判断できます。
ワークロード内の機密データが存在する場所を分類するには、利用可能な場合、リソースタグの使用を検討してください。 例えば、保護されたヘルス情報 (PHI) PHI のタグキー Classification とタグ値を持つタグ、およびタグキー Sensitivity とタグ値 High を持つ別のタグを適用できます。 その後、AWS Config
実装手順
-
組織のデータ分類スキームと保護要件を理解します。
-
ワークロードによって処理される機密データの種類を特定します。
-
機密データがポリシーに従ってワークロード内に保存され、保護されていることを確認します。 自動テストなどの手法を使用して、統制の有効性を監査します。
-
可能であれば、リソースレベルとデータレベルのタグ付けを行い、監視やインシデント対応に役立つ可能性のある機密レベルやその他の運用メタデータをデータにタグ付けすることを検討してください。
-
AWS Organizations タグポリシーを使用して、タグ付けの標準を適用できます。
-
リソース
関連するベストプラクティス:
関連ドキュメント:
関連する例:
関連ツール
