Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

SEC07-BP01 Comprenez votre schéma de classification des données

Comprenez la classification des données traitées par votre charge de travail, ses exigences en matière de traitement, les processus métier associés, l’endroit où les données sont stockées et qui en est le propriétaire.  Votre système de classification et de traitement des données doit tenir compte des exigences légales et de conformité applicables à votre charge de travail, ainsi que des contrôles de données nécessaires. La compréhension des données est la première étape du processus de classification des données. 

Résultat souhaité : les types de données présents dans votre charge de travail sont bien compris et documentés.  Des contrôles appropriés sont en place pour protéger les données sensibles en fonction de leur classification.  Ces contrôles régissent les considérations suivantes : qui est autorisé à accéder aux données et dans quel but, où les données sont stockées, la politique de chiffrement de ces données et la manière dont les clés de chiffrement sont gérées, le cycle de vie des données et leurs exigences de conservation, les processus de destruction appropriés, les processus de sauvegarde et de restauration mis en place et l’audit de l’accès.

Anti-modèles courants :

Avantages liés au respect de cette bonne pratique : cette pratique élimine toute ambiguïté quant au traitement approprié des données dans le cadre de votre charge de travail.  L’application d’une politique officielle qui définit les niveaux de sensibilité des données de votre organisation et les protections requises peut vous aider à vous conformer aux réglementations légales et aux autres attestations et certifications de cybersécurité.  Les propriétaires de la charge de travail peuvent savoir en toute confiance où sont stockées les données sensibles et quels contrôles de protection sont en place.  La consignation de ces informations dans la documentation aide les nouveaux membres de l’équipe à mieux les comprendre et à gérer les contrôles dès qu’ils commencent à occuper leur fonction. Ces pratiques peuvent également contribuer à réduire les coûts en dimensionnant correctement les contrôles pour chaque type de données.

Niveau d’exposition au risque si cette bonne pratique n’est pas respectée : élevé

Directives d’implémentation

Lors de la conception d’une charge de travail, vous pouvez réfléchir aux moyens de protéger les données sensibles de manière intuitive.  Par exemple, dans une application multilocataire, il est intuitif de considérer les données de chaque locataire comme sensibles et de mettre en place des protections afin qu’un locataire ne puisse pas accéder aux données d’un autre.  De même, vous pouvez concevoir des contrôles d’accès intuitifs de telle sorte que seuls les administrateurs puissent modifier les données, tandis que les autres utilisateurs ne bénéficient que d’un accès en lecture, voire d’aucun accès.

En définissant et en saisissant ces niveaux de sensibilité des données dans les politiques, ainsi que leurs exigences en matière de protection des données, vous pouvez identifier formellement quelles données se trouvent dans votre charge de travail. Vous pouvez ensuite déterminer si les contrôles appropriés sont en place, s’ils peuvent être audités et quelles réponses sont pertinentes en cas de mauvaise gestion des données.

Pour vous aider à classer les données sensibles présentes dans votre charge de travail, pensez à utiliser des balises de ressources lorsqu’elles sont disponibles.  Par exemple, vous pouvez appliquer une balise dont la clé Classification et la valeur de balise sont PHI pour les informations de santé protégées (PHI), et une autre balise dont la clé Sensitivity et la valeur de balise sont deHigh.  Les services tels que AWS Config peuvent ensuite être utilisés pour surveiller les modifications apportées à ces ressources et vous avertir si elles font l’objet d’une modification les rendant non conformes à vos exigences de protection (telles que la modification des paramètres de chiffrement).  Vous pouvez capturer la définition standard de vos clés de balise et les valeurs acceptables à l’aide des politiques de balises, une fonctionnalité d’ AWS Organizations. Il est déconseillé d’avoir une clé ou une valeur de balise qui contient des données privées ou sensibles.

Étapes d’implémentation

Ressources

Bonnes pratiques associées :

Documents connexes :

Exemples connexes :

Outils associés