Detección de datos confidenciales con Amazon Macie

No puede proteger datos cuya existencia desconoce. Con el tiempo, los buckets de S3 se llenan de archivos, y entre ellos puede haber información personal identificable de clientes, credenciales o registros financieros cuyo almacenamiento nadie recuerda.

Amazon Macie resuelve este problema al descubrir y clasificar automáticamente los datos confidenciales almacenados en S3.

Macie es un servicio de seguridad de datos que utiliza aprendizaje automático y coincidencia de patrones para encontrar datos confidenciales en S3.

Identifica PII (información personal identificable), como nombres, direcciones y documentos de identidad oficiales, además de datos financieros y credenciales; después informa de dónde se encuentran y de su nivel de exposición.

Macie ejecuta discovery jobs que toman muestras o analizan objetos de los buckets seleccionados y clasifican su contenido.

Un trabajo genera resultados detallados sobre el tipo de datos confidenciales encontrados, el objeto en el que aparecen y su cantidad. Puede ejecutar trabajos una vez o programarlos para mantener actualizadas las clasificaciones a medida que cambian los datos.

Macie incluye managed data identifiers para tipos habituales, como números de tarjetas de crédito, claves secretas de AWS y números de pasaporte.

También puede definir custom data identifiers mediante expresiones regulares para detectar patrones propios de su organización, como un formato interno de número de cuenta, de modo que Macie entienda qué datos son confidenciales para usted.

Además del contenido, Macie evalúa continuamente su security posture de S3. Señala los buckets que son accesibles públicamente, no están cifrados o se comparten con otras cuentas.

Esta vista de inventario responde de un vistazo a una pregunta fundamental: ¿qué buckets contienen datos confidenciales y están también expuestos? Esos son sus objetivos prioritarios.

Macie genera dos categorías de resultados: sensitive data findings (este objeto contiene PII) y policy findings (la configuración de este bucket es arriesgada).

Cada resultado incluye un nivel de gravedad y detalles. La combinación de mayor riesgo es que haya datos confidenciales en un bucket que también sea accesible públicamente o no esté cifrado.

Los resultados de Macie llegan a AWS Security Hub en el formato ASFF normalizado, junto con las alertas de GuardDuty y otros servicios en un único lugar.

También pueden activar reglas de EventBridge, de modo que el descubrimiento de PII expuesta pueda iniciar automáticamente un flujo de trabajo de corrección, como restringir el bucket o alertar al propietario de los datos.

Analizar continuamente cada objeto puede resultar caro, ya que Macie cobra según la cantidad de datos inspeccionados.

Utilice muestreo, diríjase solo a los buckets que probablemente contengan datos confidenciales y programe los trabajos de forma razonable. La función de descubrimiento automatizado de Macie toma muestras de los buckets de forma inteligente para ofrecer una cobertura amplia con un coste controlado.

El descubrimiento solo es útil si responde a sus resultados. Cuando Macie encuentre PII en un bucket expuesto, corríjalo: habilite Block Public Access, active el cifrado, restrinja la política de bucket o traslade los datos a una ubicación protegida correctamente.

Realice el seguimiento de los resultados hasta cerrarlos para que los datos confidenciales no permanezcan desprotegidos.

La función automated sensitive data discovery de Macie toma continuamente muestras de los buckets de su cuenta y crea un mapa actualizado de dónde se encuentran los datos confidenciales, sin que tenga que programar trabajos individuales.

Combínela con trabajos programados de descubrimiento exhaustivo en los buckets de mayor riesgo para obtener una cobertura completa que se mantenga al ritmo de los datos que se añaden y modifican.

Normativas como GDPR, HIPAA y PCI DSS le exigen saber dónde se encuentran los datos regulados. El descubrimiento y los informes automatizados de Macie proporcionan exactamente esa evidencia.

Convierte una auditoría manual y propensa a errores en un proceso continuo basado en máquinas, lo que respalda sólidamente tanto su seguridad como sus obligaciones de cumplimiento.

Identifique la función principal de Macie.

Amazon Macie descubre y clasifica automáticamente datos confidenciales, como PII, en S3 mediante aprendizaje automático, data identifiers administrados y personalizados, y trabajos de descubrimiento. También evalúa la postura de los buckets y señala los que son públicos o no están cifrados, para que pueda priorizar los datos confidenciales que además están expuestos. Los resultados llegan a Security Hub y EventBridge para su corrección, respaldan el cumplimiento de GDPR y HIPAA, y siempre deben gestionarse hasta su resolución.