Trovare dati sensibili con Amazon Macie

Non è possibile proteggere dati di cui non si conosce l'esistenza. Nel tempo, i bucket S3 si riempiono di file e tra questi potrebbero trovarsi dati personali dei clienti, credenziali o documenti finanziari di cui nessuno ricorda l'archiviazione.

Amazon Macie risolve il problema individuando e classificando automaticamente i dati sensibili presenti nello storage S3.

Macie è un servizio di sicurezza dei dati che utilizza machine learning e il riconoscimento di pattern per individuare dati sensibili in S3.

Identifica le PII (informazioni di identificazione personale), come nomi, indirizzi e documenti d'identità, oltre a dati finanziari e credenziali, quindi segnala dove si trovano e quanto sono esposti.

Macie esegue discovery job che campionano o analizzano gli oggetti nei bucket selezionati e ne classificano il contenuto.

Un job genera risultati dettagliati sul tipo di dati sensibili individuati, sull'oggetto in cui si trovano e sulla loro quantità. Può eseguire i job una sola volta oppure pianificarli, così da mantenere aggiornate le classificazioni al variare dei dati.

Macie include managed data identifiers per tipi comuni di dati, come numeri di carte di credito, chiavi segrete AWS e numeri di passaporto.

Può anche definire custom data identifiers tramite espressioni regolari per individuare pattern specifici dell'organizzazione, ad esempio un formato interno per i numeri di conto, così Macie può riconoscere ciò che è sensibile per Lei.

Oltre al contenuto, Macie valuta continuamente la postura di sicurezza di S3. Segnala i bucket accessibili pubblicamente, non crittografati o condivisi con altri account.

Questa vista dell'inventario risponde immediatamente a una domanda fondamentale: quali bucket contengono dati sensibili e sono anche esposti? Questi sono i problemi prioritari.

Macie produce due categorie di risultati: risultati sui dati sensibili (questo oggetto contiene PII) e risultati sulle policy (le impostazioni di questo bucket sono rischiose).

Ogni risultato include una gravità e informazioni dettagliate. La combinazione più rischiosa è la presenza di dati sensibili in un bucket accessibile pubblicamente o non crittografato.

I risultati di Macie confluiscono in AWS Security Hub nel formato ASFF normalizzato, insieme agli avvisi di GuardDuty e di altri servizi in un unico luogo.

Possono inoltre attivare regole di EventBridge, così l'individuazione di PII esposte può avviare automaticamente un flusso di lavoro di correzione, ad esempio limitando il bucket o avvisando il proprietario dei dati.

L'analisi continua di ogni oggetto può essere costosa, perché Macie applica un costo in base alla quantità di dati esaminati.

Utilizzi il campionamento, scelga come obiettivo solo i bucket che probabilmente contengono dati sensibili e pianifichi i job con criterio. La funzione di individuazione automatica di Macie campiona in modo intelligente i bucket per offrire una copertura ampia a costi controllati.

L'individuazione è utile solo se si interviene. Quando Macie trova PII in un bucket esposto, esegua la correzione: abiliti Block Public Access, attivi la crittografia, renda più restrittiva la policy del bucket oppure sposti i dati in una posizione adeguatamente protetta.

Segua i risultati fino alla chiusura, così i dati sensibili non rimarranno a lungo senza protezione.

La automated sensitive data discovery di Macie campiona continuamente i bucket dell'account, creando una mappa aggiornata della posizione dei dati sensibili senza dover pianificare singoli job.

La abbini a job pianificati di individuazione approfondita sui bucket a rischio più elevato, per ottenere una copertura completa che segua l'aggiunta e la modifica dei dati.

Normative come GDPR, HIPAA e PCI DSS richiedono di sapere dove risiedono i dati regolamentati. L'individuazione e la reportistica automatizzate di Macie forniscono esattamente questa evidenza.

Trasformano un audit manuale e soggetto a errori in un processo continuo e basato sulle macchine, offrendo un supporto concreto sia alla sicurezza sia agli obblighi di conformità.

Individui la funzione principale di Macie.

Amazon Macie individua e classifica automaticamente dati sensibili come le PII in S3 utilizzando machine learning, data identifiers gestiti e personalizzati e discovery job. Valuta inoltre la postura dei bucket, segnalando quelli pubblici o non crittografati, così può dare priorità ai dati sensibili che sono anche esposti. I risultati confluiscono in Security Hub e EventBridge per la correzione, supportano la conformità a GDPR e HIPAA e dovrebbero essere sempre portati alla risoluzione.