SEC07-BP02 Aplicar controles de proteção de dados com base na confidencialidade dos dados
Aplique controles de proteção de dados que ofereçam um nível apropriado de controle para cada classe de dados definida em sua política de classificação. Essa prática pode permitir que você proteja dados confidenciais contra acesso e uso não autorizados, preservando a disponibilidade e o uso dos dados.
Resultado desejado: você tem uma política de classificação que define os diferentes níveis de confidencialidade dos dados em sua organização. Para cada um desses níveis de confidencialidade, você tem diretrizes claras publicadas para serviços e locais de armazenamento e manuseio aprovados e as respectivas configurações necessárias. Você implementa os controles para cada nível conforme o nível de proteção necessário e os custos correspondentes. Você dispõe de monitoramento e alertas para detectar se há dados em locais não autorizados, se eles são processados em ambientes não autorizados, se eles são acessados por agentes não autorizados ou se a configuração dos serviços relacionados está irregular.
Antipadrões comuns:
-
Aplicar o mesmo nível de controles de proteção em todos os dados. Isso pode levar ao superprovisionamento de controles de segurança para dados com baixo nível de confidencialidade ou à proteção insuficiente dos dados altamente confidenciais.
-
Não envolver as partes interessadas relevantes das equipes de segurança, conformidade e negócios ao definir os controles de proteção de dados.
-
Ignorar as despesas operacionais indiretas e os custos associados à implementação e manutenção dos controles de proteção de dados.
-
Não realizar revisões periódicas de controle de proteção de dados para manter o alinhamento com as políticas de classificação.
Benefícios do estabelecimento desta prática recomendada: ao alinhar seus controles com o nível de classificação de dados, sua organização pode investir em níveis mais altos de controle quando necessário. Isso pode incluir a ampliação dos recursos de proteção, monitoramento, medição, correção e geração de relatórios. Nas circunstâncias em que é apropriado usar menos controles, você pode melhorar a acessibilidade e a completude dos dados para seu quadro de funcionários, clientes ou membros. Essa abordagem possibilita que sua organização use os dados da forma mais flexível possível e, ao mesmo, cumpra os requisitos de proteção de dados.
Nível de exposição a riscos se esta prática recomendada não for estabelecida: alto
Orientações para a implementação
A implementação de controles de proteção de dados com base nos níveis de confidencialidade dos dados envolve várias etapas importantes. Primeiro, identifique os diferentes níveis de confidencialidade de dados em sua arquitetura de workload (como público, interno, confidencial e restrito) e avalie onde você armazena e processa esses dados. Em seguida, defina limites de isolamento em torno dos dados com base no respectivo nível de confidencialidade. Recomendamos que você separe os dados em diferentes Contas da AWS, usando políticas de controle de serviços (SCPs) a fim de restringir os serviços e ações permitidos para cada nível de confidencialidade de dados. Dessa forma, você pode criar limites de isolamento robustos e aplicar o princípio de privilégio mínimo.
Após a definição dos limites de isolamento, implemente controles de proteção apropriados com base nos níveis de confidencialidade dos dados. Consulte as práticas recomendadas para proteção de dados em repouso e proteção de dados em trânsito a fim de implementar controles relevantes, como criptografia, controles de acesso e auditoria. Considere técnicas como tokenização ou anonimização para reduzir o nível de confidencialidade dos dados. Simplifique a aplicação de políticas de dados consistentes em sua empresa com um sistema centralizado para tokenização e destokenização.
Monitore e teste continuamente a eficácia dos controles implementados. Analise e atualize regularmente o esquema de classificação de dados, as avaliações de risco e os controles de proteção à medida que as ameaças e o cenário de dados de sua organização evoluírem. Alinhe os controles de proteção de dados implementados com as regulamentações, os padrões e os requisitos legais relevantes do setor. Além disso, ofereça conscientização e treinamento sobre segurança para ajudar os funcionários a entender o esquema de classificação de dados e suas responsabilidades no tratamento e proteção de dados confidenciais.
Etapas da implementação
-
Identifique os níveis de classificação e confidencialidade dos dados em sua workload.
-
Defina limites de isolamento para cada nível e determine uma estratégia de imposição.
-
Avalie os controles definidos por você que regem acesso, criptografia, auditoria, retenção e outras questões exigidas por sua política de classificação de dados.
-
Avalie as opções para reduzir o nível de confidencialidade dos dados quando apropriado, como usar tokenização ou anonimização.
-
Verifique os controles usando testes e monitoramento automatizados dos recursos configurados.
Recursos
Práticas recomendadas relacionadas:
Documentos relacionados:
Exemplos relacionados:
Ferramentas relacionadas:
