Noções básicas sobre políticas de proteção de dados

O que são políticas de proteção de dados?

CloudWatch O Logs usa políticas de proteção de dados para selecionar os dados confidenciais que você deseja verificar e as ações que você deseja tomar para proteger esses dados. Para selecionar os dados confidenciais de interesse, você usa identificadores de dados. CloudWatch A proteção de dados de registros e, em seguida, detecta os dados confidenciais usando aprendizado de máquina e correspondência de padrões. Para agir sobre identificadores de dados encontrados, você pode definir operações de auditoria e desidentificação. Essas operações permitem registrar os dados confidenciais encontrados (ou não encontrados) e mascarar os dados sensíveis quando os eventos de log são exibidos.

Como a política de proteção de dados é estruturada?

Como mostrado na figura abaixo, um documento de política de proteção de dados inclui os seguintes elementos:

• Informações opcionais da política na parte superior do documento

• Uma declaração que define as ações de auditoria e desidentificação

Somente uma política de proteção de dados pode ser definida por grupo de CloudWatch registros de registros. A política de proteção de dados pode ter uma ou mais instruções de negação ou desidentificação, mas somente uma instrução de auditoria.

Propriedades JSON para a política de proteção de dados

Uma política de proteção de dados requer as seguintes informações básicas de política para identificação:

• Nome: o nome da política.

• Descrição (Opcional): a descrição da política.

• Versão: a versão do idioma das políticas. A versão atual é 2021-06-01.

• Declaração: uma lista de declarações que especificam as ações da política de proteção de dados.

{
  "Name": "CloudWatchLogs-PersonalInformation-Protection",
  "Description": "Protect basic types of sensitive data",
  "Version": "2021-06-01",
  "Statement": [
        ...
  ]
}

Propriedades JSON para uma declaração de política

Uma declaração de política define o contexto de detecção para a operação de proteção de dados.

• Sid (Opcional): o identificador da declaração.

• DataIdentifier— Os dados confidenciais que os CloudWatch registros devem verificar. Por exemplo, nome, endereço ou número de telefone.

• Operação — As ações subsequentes, seja Auditoria ou Desidentificação. CloudWatch O Logs executa essas ações quando encontra dados confidenciais.

{
  ...
  "Statement": [
    {
      "Sid": "audit-policy",
      "DataIdentifier": [
        "arn:aws:dataprotection::aws:data-identifier/Address"
      ],
      "Operation": {
        "Audit": {
          "FindingsDestination": {}
        }
      }
    },

Propriedades JSON para uma operação de declaração de política

Uma declaração de política define uma das operações de proteção de dados a seguir.

• Auditoria — emite relatórios de métricas e descobertas sem interromper os logs. As sequências de caracteres correspondentes incrementam a LogEventsWithFindingsmétrica que o CloudWatch Logs publica no namespace AWS/Logs. CloudWatch É possível usar essas métricas para criar alarmes.

  Para obter um exemplo de um relatório de descobertas, consulte Relatórios de descobertas de auditoria.

  Para obter mais informações sobre as métricas para as CloudWatch quais o Logs envia CloudWatch, consulteMonitoramento com CloudWatch métricas.

• Desidentificar — mascare os dados confidenciais sem interromper os logs.