O armazenamento de objetos S3 se tornou uma base popular para armazenamento não estruturado documentos e tipos de arquivos mistos com escala elástica. No entanto, como acontece com qualquer data lake amplo e profundo, ele cria desafios e riscos únicos de segurança de dados que exigem mecanismos diferentes para serem abordados.
Identificando dados confidenciais no S3
A medição do risco de dados dentro do S3 começa com identificando com precisão os dados dentro dos buckets do S3. Devido à natureza do armazenamento de objetos, praticamente qualquer tipo de dado pode ser depositado em buckets do S3, sejam eles estruturados, não estruturados ou uma combinação deles. Isso cria complexidade para a análise da grande variedade de dados. Como um data lake aberto e escalável sem limites, ele também pode criar um desafio em termos de volume e velocidade de análise de dados.
Para entender o risco de dados, é importante entender quais são as joias da coroa armazenadas e inseridas no S3. Esses dados de alto valor e alto risco podem assumir diferentes formas. Podem ser dados regulamentados, como GLBA, PHI, PCI ou NPI. Também podem ser dados pessoais relevantes para a privacidade. Podem ser credenciais e segredos. Ou pode ser qualquer item essencial definido pelo cliente, como propriedade intelectual, dados do cliente, receita ou qualquer coisa entre os dois.
Para inventariar com precisão dados sensíveis, críticos e regulamentados no S3, varreduras de metadados são normalmente insuficientes, uma vez que metadados nem sempre será rotulado com precisão, nem capturará toda a gama de conteúdo possível. Em vez disso, é necessário que exista uma maneira de escalar a varredura de conteúdo de dados para o S3. Além disso, é necessário haver meios para personalizar a definição do que é sensível, crítico e regulamentado. Por exemplo, dados de GPS podem ser dados pessoais sob o GDPR para alguns e não para outros. Segredos como senhas e credenciais privilegiadas podem ser dados pessoais em alguns contextos, mas não em outros. Uma solução única para todos classificando dados não funcionará para a maioria das empresas.
Por último, a construção de um inventário ou catálogo persistente também é vital para usar as descobertas de forma eficaz. privacidade, segurança e governança de dados casos de uso, garantindo ao mesmo tempo uma estratégia de remediação gerenciável. Soluções sem estado que apenas enviam alertas exigem ação imediata e criarão ruído incontrolável para um Centro de Operações de Segurança. Incorporar as descobertas em um inventário e catálogo atualizados dinamicamente facilita a delegação e o rastreamento da remediação, ao mesmo tempo em que aproveita as descobertas para casos de uso comuns de privacidade, como DSAR e casos de uso de governança, como Catalogação e Pesquisa de Metadados.
Medindo o risco de dados S3
O risco de dados pode ter diversas origens. Entender a localização e o volume de dados sensíveis, críticos ou regulamentados é, por si só, útil para compreender o risco. Destacar este mapa de calor de dados arriscados é um ponto de partida para compreender o risco mais amplo de exfiltração interna ou externa. sensibilidade dos dados, criticidade (como senhas) e regulamentação de cobertura.
Proteger com senha os arquivos do bucket S3
Relacionado ao risco direto de dados está o problema do risco de acesso. Isso pode estar relacionado a um funcionário com acesso excessivo a dados confidenciais ou a pessoas de fora que têm acesso inadvertido a dados confidenciais devido a configurações incorretas. Tanto para pessoas de dentro quanto de fora, o risco de acesso começa com a identificação de qualquer acesso aberto em buckets ou pastas. Para o S3, isso significaria em buckets protegidos por senha. Para pessoas de dentro, isso também pode significar entender quais indivíduos têm privilégios excessivos em buckets com dados confidenciais. Para pessoas de dentro, esse problema do S3 é semelhante ao privilégio de menor acesso problema na análise de pastas de arquivos — conhecimento sobre funcionários abertos e com privilégios excessivos.
Além do acesso, a localização e a transferência transfronteiriça representam novos tipos de risco à privacidade. Regulamentações de privacidade emergentes em estados e países frequentemente trazem restrições de residência e transferência transfronteiriça correspondentes. A residência, por sua vez, exigirá o conhecimento da localização dos dados para fins de soberania e também da cidadania do titular dos dados a quem os dados pertencem. A sinalização de residência ou violações transfronteiriças é um importante indicador de risco.
Evite o risco de exfiltração de dados do S3
Duplicação e redundância de dados são outro exemplo de risco que pode ser facilmente minimizado. Na maioria dos casos, dados duplicados, sejam eles estruturados ou não estruturados, representam uma superfície de ataque adicional. A capacidade de sinalizar onde os dados estão duplicados oferece às organizações a oportunidade de reduzir sua pegada de dados e o risco de exfiltração associado. Para buckets S3, onde você pode ter dados estruturados, semiestruturados e não estruturados, isso representa um tipo fácil de prevenção de incidentes e também uma maneira de reduzir custos.
Criptografia S3
Identificar dados que não estão criptografados também é uma vitória rápida contra riscos. Nem todos os dados são criptografados em todos os lugares, mas conseguir enumerar casos em que dados sensíveis, críticos ou regulamentados estão claros – e onde não deveriam estar – pode ajudar as organizações a evitar violações impactantes.
Remediando e reduzindo o risco de dados S3
Uma vez identificados os dados sensíveis e o risco associado aos dados, a pergunta que as organizações se fazem é: e agora? A resposta geralmente assume a forma de: remediação ou restrições de acesso bloqueando o acesso de pessoas internas e externas aos dados.
A remediação envolve delegar um conjunto de ações a um proprietário de dados, manual ou automaticamente, para que ele possa remediar os dados. Isso pode assumir a forma de ações como criptografia, mascaramento, exclusão ou arquivamento. Todas essas são medidas preventivas.
Alternativamente, o acesso aberto e superprivilegiado pode ser controlado dinamicamente usando ferramentas como BigID e seus controles nativos para AWS.
Protegendo dados do S3 com BigID
O BigID oferece o ciclo de vida completo do gerenciamento de risco de dados para dados sensíveis. Isso inclui tudo, desde a identificação de dados, a sinalização de riscos associados a partir da configuração, violações de localização ou política e fornecer um mecanismo integrado para reduzir riscos. Obtenha uma demonstração individual.
Autor
