SEC07-BP01 了解您的数据分类方案
了解工作负载正在处理的数据的分类、数据处理要求、相关业务流程、数据存储位置以及数据所有者是谁。 您的数据分类和处理方案应考虑工作负载的适用法律和合规性要求，以及需要采取哪些数据控制措施。了解数据是数据分类之旅的第一步。
期望结果：您的工作负载中的数据类型已得到充分了解并记录在案。 根据敏感数据的分类，采取适当的控制措施来保护敏感数据。 这些控制措施要考虑的因素包括：谁被允许访问数据以及访问的目的、数据的存储位置、数据的加密策略以及加密密钥的管理方式、数据的生命周期及其留存要求、适当的销毁流程、备份和恢复流程以及访问审计。
常见反面模式：
-
没有正式的数据分类策略来定义数据敏感性级别及其处理要求
-
没有充分了解工作负载中数据的敏感性级别，也没有在架构和操作文档中记录这些信息
-
未能按照数据分类和处理策略的规定，根据数据的敏感性和要求，对数据采取适当的控制措施
-
未能向策略所有者提供有关数据分类和处理要求的反馈
建立这种最佳实践的好处：这种实践消除了工作负载中数据适当处理方面的模糊性。 运用正式策略来定义组织中数据的敏感性级别及其所需的保护措施，这有助于您遵守法律法规以及其它网络安全证明和认证。 工作负载所有者可以放心地了解敏感数据的存储位置和保护控制措施。 将这些内容记录在文档中，有助于团队新成员更好地理解这些内容，并在任职初期保持控制。这些实践还有助于通过合理调整各类数据的控制措施来降低成本。
在未建立这种最佳实践的情况下暴露的风险等级：高
实施指导
在设计工作负载时，您可能会直观地考虑保护敏感数据的方法。 例如，在多租户应用程序中，直观的做法是将每个租户的数据视为敏感数据，并采取保护措施，使一个租户无法访问另一个租户的数据。 同样，您也可以直观地设计访问控制措施，只有管理员可以修改数据，而其他用户只有读取级访问权限，或者根本没有访问权限。
通过在策略中定义和记录这些数据敏感性级别及其数据保护要求，您可以正式确定工作负载中存在哪些数据。然后，您可以确定是否制定了正确的控制措施，是否可以对控制措施进行审计，以及在发现数据处理不当时应采取哪些适当的应对措施。
为有助于对工作负载中的敏感数据进行分类，可考虑使用资源标签（如可用）。 例如，对于受保护健康信息（PHI），您可以应用标签键为 Classification、标签值为 PHI 的标签，以及标签键为 Sensitivity、标签值为 High 的标签。 然后，AWS Config
实施步骤
-
了解组织的数据分类方案和保护要求。
-
确定工作负载处理的敏感数据的类型。
-
验证敏感数据是否按照策略在工作负载中得到存储和保护。 使用自动测试等技术来审核控制措施的有效性。
-
考虑在可用的情况下使用资源和数据级标记，来标记数据的敏感性级别以及其它有助于监控和响应事件的操作元数据。
-
AWS Organizations 标签策略可用于执行标记标准。
-
资源
相关最佳实践：
相关文档：
相关示例：
相关工具
