SEC07-BP01 データ分類スキームを理解する
ワークロードが処理するデータの分類、その取り扱い要件、関連するビジネスプロセス、データの保管場所、データの所有者について把握します。 データの分類および取り扱いのスキームでは、ワークロードに適用される法的要件とコンプライアンス要件、必要なデータ統制を考慮する必要があります。データを把握することが、データ分類作業の第一歩です。
期待される成果: ワークロードに存在するデータの種類が十分に理解され、文書化されています。 適切な統制が効いていて、機密データがその分類に基づいて保護されています。 こうした統制では、データへのアクセス許可を持つユーザーとアクセスの目的、データの保存場所、データの暗号化ポリシーと暗号化キーの管理方法、データのライフサイクルとその保持要件、適切な破棄プロセス、実施されているバックアップと復旧のプロセス、アクセスの監査などの考慮事項が規定されています。
一般的なアンチパターン:
-
データの機密レベルと取り扱い要件を定義する正式なデータ分類ポリシーが導入されていない。
-
ワークロード内のデータの機密レベルが十分に理解されておらず、その情報がアーキテクチャや運用のドキュメントに記録されていない。
-
データに対し、その機密性と要件に基づいた適切な統制をデータの分類と取り扱いに関するポリシーに則って適用できていない。
-
データの分類と取り扱い要件に関するフィードバックを、ポリシーの所有者と共有できていない。
このベストプラクティスを活用するメリット: ワークロード内のデータの適切な取り扱いについて、曖昧さが解消されます。 組織内のデータの機密レベルと各レベルで求められる保護を定義した正式なポリシーを適用することで、法的規制やその他のサイバーセキュリティに関する証明書や認証に準拠しやすくなります。 ワークロードの所有者は、機密データがどこに保存されているか、どのような保護統制が実施されているかを確実に把握できます。 こうした情報を文書に記録することで、新しいチームメンバーが職務の早い段階でそれらを理解し、統制を維持できるようになります。これらを実践すると、データのタイプごとに統制の適切なサイジングを行い、コストも削減できます。
このベストプラクティスが確立されていない場合のリスクレベル: 高
実装のガイダンス
ワークロードを設計する際、機密データを保護する方法を直感的に考慮しているかもしれません。 例えば、マルチテナントアプリケーションの場合、各テナントのデータを機密と見なし、別のテナントのデータにはアクセスできないように保護するのは、直感的な対応です。 同様に、データを変更できるのは管理者だけで、他のユーザーは読み取り専用のアクセス権しかないか、一切アクセスできないというように、直感的にアクセス制御を設計する場合もあるでしょう。
こうしたデータ機密レベルをデータ保護要件と併せて定義し、ポリシーに取り込むことで、ワークロードに含まれるデータを正式に特定できます。そのうえで、適切な統制が効いているか、統制を監査できるか、データの取り扱いミスが判明した場合はどのような対応が適切かを判断できます。
ワークロード内のどこに機密データがあるか分類しやすくするため、可能な場合はリソースタグの使用を検討してください。 例えば、保護対象医療情報 (PHI) にはタグキーが Classification でタグ値が PHI のタグと、タグキーが Sensitivity でタグ値が High の別のタグを適用できます。 その後、AWS Config
実装手順
-
組織のデータ分類スキームと保護要件を理解します。
-
ワークロードによって処理される機密データの種類を特定します。
-
機密データがポリシーに従ってワークロード内に保存され、保護されていることを確認します。 自動テストなどの手法を用いて、統制の有効性を監査します。
-
可能であれば、リソースレベルとデータレベルのタグ付けを行い、監視やインシデント対応に役立ち得る機密レベルやその他の運用メタデータをデータにタグ付けすることを検討してください。
-
AWS Organizations タグポリシーを使用して、タグ付けの標準を適用できます。
-
リソース
関連するベストプラクティス:
関連するドキュメント:
関連する例:
関連ツール
