Práticas recomendadas e recursos de criptografia dos Serviços da AWS

Kurt Kumar, Amazon Web Services (AWS)

Dezembro de 2022 (histórico do documento)

As ameaças modernas de segurança cibernética incluem o risco de uma violação de dados, o que ocorre quando uma pessoa autorizada obtém acesso à sua rede e rouba os dados da empresa. Os dados são um ativo comercial exclusivo de cada organização. Eles podem incluir informações do cliente, planos de negócios, documentos de design ou código. Proteger a empresa significa proteger seus dados.

Medidas como firewalls podem ajudar a evitar a ocorrência de uma violação de dados. No entanto, a criptografia de dados pode ajudar a proteger os dados da sua empresa mesmo após a ocorrência de uma violação. Ela fornece outra camada de defesa contra divulgação não intencional dos dados. Para acessar dados criptografados na Nuvem AWS, os usuários precisam de permissões para usar a chave para descriptografar e precisam de permissões para usar o serviço em que os dados residem. Sem essas duas permissões, os usuários não conseguem descriptografar e visualizar os dados.

Geralmente, há dois tipos de dados que você pode criptografar. Dados em trânsito que estão se movendo ativamente pela sua rede, como entre os recursos da rede. Dados em repouso são dados estacionários e inativos, como dados armazenados. Os exemplos incluem armazenamento em blocos, armazenamento de objetos, bancos de dados, arquivos e dispositivos de Internet das Coisas (IoT). Este guia discute considerações e práticas recomendadas para criptografar os dois tipos de dados. Ele também analisa os recursos e controles de criptografia disponíveis em muitos Serviços da AWS para que você possa implementar essas recomendações de criptografia no nível de serviço em seus ambientes de Nuvem AWS.

Público-alvo

Este guia pode ser usado por organizações de pequeno, médio e grande porte nos setores público e privado. Se sua organização está nos estágios iniciais de avaliação e implementação de uma estratégia de proteção de dados ou tem como objetivo aprimorar os controles de segurança existentes, as recomendações descritas neste guia são mais adequadas para os seguintes públicos:

• Líderes executivos que formulam políticas para suas empresas, como diretores executivos (CEOs), diretores de tecnologia (CTOs), diretores de informações (CIOs) e diretores de segurança da informação (CISOs)

• Líderes de tecnologia responsáveis pela definição de padrões técnicos, como vice-presidentes e diretores técnicos

• Partes envolvidas da empresa e proprietários de aplicações que são responsáveis por:

  • Avaliação da postura de risco, classificação de dados e requisitos de proteção

  • Monitoramento da conformidade com padrões organizacionais estabelecidos

• Diretores de conformidade, auditoria interna e governança encarregados de monitorar a adesão às políticas de conformidade, incluindo regimes de conformidade estatutários e voluntários