Rechercher des données sensibles avec Amazon Macie

Vous ne pouvez pas protéger des données dont vous ignorez l'existence. Au fil du temps, les compartiments S3 se remplissent de fichiers, parmi lesquels peuvent se trouver des données personnelles PII de clients, des identifiants ou des dossiers financiers que personne ne se souvient avoir stockés.

Amazon Macie résout ce problème en découvrant et en classifiant automatiquement les données sensibles dans votre stockage S3.

Macie est un service de sécurité des données qui utilise l'apprentissage automatique et la reconnaissance de motifs pour trouver les données sensibles dans S3.

Il identifie les PII (informations personnelles identifiables), comme les noms, les adresses et les pièces d'identité officielles, ainsi que les données financières et les identifiants, puis indique où elles se trouvent et dans quelle mesure elles sont exposées.

Macie exécute des tâches de découverte qui échantillonnent ou analysent les objets des compartiments sélectionnés et classifient leur contenu.

Une tâche produit des résultats détaillant le type de données sensibles trouvé, l'objet concerné et la quantité détectée. Vous pouvez exécuter les tâches une seule fois ou selon une planification afin de maintenir les classifications à jour lorsque les données évoluent.

Macie fournit des identifiants de données gérés pour les types courants, comme les numéros de carte bancaire, les clés secrètes AWS et les numéros de passeport.

Vous pouvez également définir des identifiants de données personnalisés à l'aide d'expressions régulières pour détecter les motifs propres à votre organisation — par exemple, un format interne de numéro de compte — afin que Macie sache ce qui est sensible pour vous.

Au-delà du contenu, Macie évalue en continu votre posture de sécurité S3. Il signale les compartiments qui sont accessibles publiquement, non chiffrés ou partagés avec d'autres comptes.

Cette vue d'inventaire répond immédiatement à une question essentielle : quels compartiments contiennent des données sensibles et sont également exposés ? Ce sont vos priorités principales.

Macie produit deux catégories de résultats : les résultats de données sensibles (cet objet contient des PII) et les résultats de politique (les paramètres de ce compartiment sont risqués).

Chaque résultat comporte un niveau de gravité et des détails. La combinaison la plus risquée est la présence de données sensibles dans un compartiment également accessible publiquement ou non chiffré.

Les résultats de Macie sont transmis à AWS Security Hub au format ASFF normalisé, où ils rejoignent les alertes de GuardDuty et d'autres services en un seul endroit.

Ils peuvent également déclencher des règles EventBridge, de sorte que la découverte de PII exposées puisse lancer automatiquement un processus de correction, par exemple en restreignant le compartiment ou en alertant le propriétaire des données.

L'analyse continue de chaque objet peut coûter cher, car Macie facture la quantité de données inspectées.

Utilisez l'échantillonnage, ciblez uniquement les compartiments susceptibles de contenir des données sensibles et planifiez les tâches judicieusement. La fonctionnalité de découverte automatisée de Macie échantillonne intelligemment les compartiments afin d'offrir une couverture étendue à un coût maîtrisé.

La découverte n'a de valeur que si vous agissez. Lorsque Macie trouve des PII dans un compartiment exposé, corrigez la situation : activez Block Public Access, activez le chiffrement, renforcez la politique du compartiment ou déplacez les données vers un emplacement correctement sécurisé.

Suivez les résultats jusqu'à leur clôture afin que les données sensibles ne restent pas sans protection.

La découverte automatisée des données sensibles de Macie échantillonne en continu les compartiments de votre compte et construit une cartographie évolutive de l'emplacement des données sensibles, sans que vous ayez à planifier des tâches individuelles.

Associez-la à des tâches de découverte approfondie planifiées sur vos compartiments les plus risqués pour obtenir une couverture complète, qui suit l'évolution des données ajoutées ou modifiées.

Des réglementations comme GDPR, HIPAA et PCI DSS vous imposent de savoir où se trouvent les données réglementées. La découverte et les rapports automatisés de Macie fournissent précisément ces éléments.

Macie transforme un audit manuel et sujet aux erreurs en un processus continu piloté par une machine, ce qui renforce à la fois votre sécurité et le respect de vos obligations de conformité.

Identifiez la fonction principale de Macie.

Amazon Macie découvre et classe automatiquement les données sensibles, comme les PII, dans S3 grâce à l'apprentissage automatique, aux identifiants de données gérés et personnalisés et aux tâches de découverte. Il évalue également la posture des compartiments et signale ceux qui sont publics ou non chiffrés, afin que vous puissiez prioriser les données sensibles également exposées. Les résultats sont transmis à Security Hub et à EventBridge pour permettre la correction, soutenir la conformité à GDPR et HIPAA, et doivent toujours être traités jusqu'à leur résolution.