SEC07-BP01 了解您的資料分類機制
了解您的工作負載要處理的資料分類、其處理需求、相關聯的業務流程、資料儲存在何處，以及誰是資料負責人。 您的資料分類和處理機制應考慮工作負載的適用法律和合規要求，以及需要何種資料控制措施。了解資料是資料分類之旅的第一步。
預期成果：您的工作負載中存在的資料類型已得到充分了解並加以記錄。 設置了適當的控制措施，可根據資料分類來保護敏感資料。 這些控制措施左右著下列考量：允許誰存取資料及存取的目的為何、資料儲存在何處、該資料的加密政策及如何管理加密金鑰、資料的生命週期及其保留要求、適當的銷毀程序、設置了哪些備份和復原程序，以及存取權稽核。
常見的反模式：
-
未制定正式的資料分類政策來定義資料敏感程度及其處理需求
-
未充分了解工作負載內資料的敏感程度，也未在架構和營運文件中擷取這些資訊
-
未能根據您的資料分類和處理政策中規範的資料敏感程度和需求，對資料實施適當的控制措施
-
未能向政策負責人提供有關資料分類和處理需求的意見回饋。
建立此最佳實務的優勢：此實務能消除有關適當處理工作負載內資料的不確定性。 實施正式政策來定義組織中資料的敏感程度及其所需防護措施，有助於符合法律規範和其他網路安全鑑定與認證。 工作負載負責人清楚知道敏感資料儲存在何處以及設置了哪些保護控制措施，因而能夠放心。 將這些資訊納入文件中，可協助新的團隊成員更充分了解並在任職期間及早採取控制措施。這些實務還可針對每一種資料類型實施適當的控制措施，進而有助於降低成本。
未建立此最佳實務時的風險暴露等級：高
實作指引
在設計工作負載時，您可能會考量採取直接了當的方式保護敏感資料。 例如，在多租用戶應用程式中，直接將每一個租用戶的資料視為敏感資料並採取防護措施，讓租用戶無法存取其他租用戶的資料。 同樣地，您可能會直接設計存取控制，只讓管理員修改資料，而其他使用者只擁有讀取層級存取權，或完全無存取權。
藉由在政策中定義並擷取這些資料敏感程度，以及其資料保護需求，您就能正式確定哪些資料要放在您的工作負載中。接著您就可確定是否設置了正確的控制措施、是否可稽核控制措施，以及在發現資料遭不當處理的情況時，要採取何種適當的回應。
為協助分類敏感資料在工作負載內的位置，請考慮使用資源標籤 (如可用)。 例如，您可以對受保護醫療資訊 (PHI) 套用標籤索引鍵為分類且標籤值為 PHI 的標籤，以及另一個標籤索引鍵為敏感性且標籤值為高的標籤。 接著您可以使用 AWS Config
實作步驟
-
了解組織的資料分類機制和保護需求。
-
確定工作負載處理的敏感資料類型。
-
確認敏感資料根據您的政策儲存在工作負載內並受到保護。 使用自動化測試等技術來稽核控制措施的有效性。
-
考慮使用資源和資料層級標記 (如可用) 來標記資料的敏感程度和其他操作中繼資料，以協助監控和回應事件。
-
AWS Organizations 標籤政策可用來強制實施標記標準。
-
資源
相關的最佳實務：
相關文件：
相關範例：
相關工具：
