Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Données personnelles OU — Compte d'application PDF

Le compte d'application de données personnelles (DP) est l'endroit où votre organisation héberge les services qui collectent et traitent les données personnelles. Plus précisément, vous pouvez stocker ce que vous définissez comme des données personnelles dans ce compte. Le AWS PRA présente un certain nombre d'exemples de configurations de confidentialité via une architecture Web sans serveur à plusieurs niveaux. Lorsqu'il s'agit d'exploiter des charges de travail dans une zone d' AWS atterrissage, les configurations de confidentialité ne doivent pas être considérées comme one-size-fits-all des solutions. Par exemple, votre objectif peut être de comprendre les concepts sous-jacents, comment ils peuvent améliorer la confidentialité et comment votre organisation peut appliquer des solutions à vos cas d'utilisation et à vos architectures particuliers.

Comptes AWS En effet, au sein de votre organisation qui collecte, stocke ou traite des données personnelles, vous pouvez utiliser AWS Organizations et AWS Control Tower déployer des garde-fous fondamentaux et reproductibles. La mise en place d'une unité organisationnelle (UO) dédiée à ces comptes est essentielle. Par exemple, vous souhaiterez peut-être appliquer des mesures de protection relatives à la résidence des données uniquement à un sous-ensemble de comptes où la résidence des données est une considération de conception essentielle. Pour de nombreuses entreprises, il s'agit des comptes qui stockent et traitent les données personnelles.

Votre organisation peut envisager de créer un compte de données dédié, dans lequel vous stockez la source officielle de vos ensembles de données personnels. Une source de données faisant autorité est un emplacement où vous stockez la version principale des données, qui peut être considérée comme la version la plus fiable et la plus précise des données. Par exemple, vous pouvez copier les données de la source de données officielle vers d'autres emplacements, tels que les compartiments Amazon Simple Storage Service (Amazon S3) du compte d'application DP qui sont utilisés pour stocker les données de formation, un sous-ensemble de données clients et des données expurgées. En adoptant cette approche multi-comptes pour séparer les ensembles de données personnelles complets et définitifs du compte Data des charges de travail des consommateurs en aval dans le compte d'application DP, vous pouvez réduire l'impact en cas d'accès non autorisé à vos comptes.

Le schéma suivant illustre les services AWS de sécurité et de confidentialité configurés dans les comptes DP Application et Data.

Amazon Athena

Vous pouvez envisager des contrôles de limitation des requêtes de données pour atteindre vos objectifs de confidentialité. Amazon Athena est un service de requête interactif qui vous permet d'analyser les données directement dans Amazon S3 à l'aide du SQL standard. Il n'est pas nécessaire de charger les données dans Athena ; cela fonctionne directement avec les données stockées dans des compartiments S3.

Un cas d'utilisation courant pour Athena consiste à fournir aux équipes d'analyse des données des ensembles de données personnalisés et nettoyés. Si les ensembles de données contiennent des données personnelles, vous pouvez nettoyer l'ensemble de données en masquant des colonnes entières de données personnelles qui n'apportent que peu de valeur aux équipes d'analyse des données. Pour plus d'informations, consultez Anonymiser et gérer les données de votre lac de données avec Amazon Athena AWS Lake Formation et AWS (article de blog).

Si votre approche de transformation des données nécessite une flexibilité supplémentaire en dehors des fonctions prises en charge par Athena, vous pouvez définir des fonctions personnalisées, appelées fonctions définies par l'utilisateur (UDF). Vous pouvez les invoquer UDFs dans une requête SQL soumise à Athena, et elles s'exécutent. AWS Lambda Vous pouvez utiliser SELECT des FILTER SQL requêtes UDFs in et vous pouvez en invoquer plusieurs UDFs dans la même requête. Pour des raisons de confidentialité, vous pouvez créer UDFs des types spécifiques de masquage des données, par exemple en n'affichant que les quatre derniers caractères de chaque valeur d'une colonne.

Amazon Bedrock

Amazon Bedrock est un service entièrement géré qui donne accès aux modèles de base des principales sociétés d'IA telles que AI21 Labs, Anthropic, Meta, Mistral AI et Amazon. Il aide les organisations à créer et à faire évoluer des applications d'IA génératives. Quelle que soit la plateforme utilisée, lorsqu'elles utilisent l'IA générative, les entreprises peuvent être confrontées à des risques de confidentialité, notamment à l'exposition potentielle de données personnelles, à l'accès non autorisé aux données et à d'autres violations de conformité.

Amazon Bedrock Guardrails est conçu pour atténuer ces risques en appliquant les meilleures pratiques en matière de sécurité et de conformité à toutes vos charges de travail basées sur l'IA générative dans Amazon Bedrock. Le déploiement et l'utilisation des ressources d'IA ne sont pas toujours conformes aux exigences de confidentialité et de conformité d'une organisation. Organisations peuvent avoir du mal à préserver la confidentialité des données lorsqu'elles utilisent des modèles d'IA générative, car ces modèles peuvent potentiellement mémoriser ou reproduire des informations sensibles. Amazon Bedrock Guardrails contribue à protéger la confidentialité en évaluant les entrées des utilisateurs et en modélisant les réponses. Dans l'ensemble, si les données d'entrée contiennent des données personnelles, il peut y avoir un risque que ces informations soient exposées dans les résultats du modèle.

Amazon Bedrock Guardrails fournit des mécanismes permettant de faire appliquer les politiques de protection des données et d'empêcher toute exposition non autorisée aux données. Il offre des fonctionnalités de filtrage de contenu pour détecter et bloquer les données personnelles dans les entrées, des restrictions thématiques pour empêcher l'accès à des sujets inappropriés ou risqués, et des filtres de mots pour masquer ou supprimer les termes sensibles dans les invites et réponses des modèles. Ces fonctionnalités aident à prévenir les événements susceptibles d'entraîner des violations de la vie privée, tels que des réponses biaisées ou une érosion de la confiance des clients. Ces fonctionnalités peuvent vous aider à vous assurer que les données personnelles ne sont pas traitées ou divulguées par inadvertance par vos modèles d'IA. Amazon Bedrock Guardrails prend également en charge l'évaluation des entrées et des réponses en dehors d'Amazon Bedrock. Pour plus d'informations, consultez Mettre en œuvre des mesures de sécurité indépendantes du modèle avec Amazon Bedrock Guardrails (article de blog).AWS

Avec Amazon Bedrock Guardrails, vous pouvez limiter le risque d'hallucinations modélisées en utilisant des vérifications contextuelles de base, qui évaluent le fondement factuel et la pertinence des réponses. Le déploiement d'une application d'IA générative destinée aux clients qui utilise des sources de données tierces dans une application RAG (Retrieval Augmented Generation) en est un exemple. Les vérifications contextuelles de base peuvent être utilisées pour valider les réponses du modèle par rapport à ces sources de données et filtrer les réponses inexactes. Dans le contexte du AWS PRA, vous pouvez implémenter Amazon Bedrock Guardrails sur tous les comptes de charge de travail, où il applique des garde-fous de confidentialité spécifiques adaptés aux exigences de chaque charge de travail.

AWS Clean Rooms

Alors que les entreprises cherchent des moyens de collaborer les unes avec les autres grâce à l'analyse d'ensembles de données sensibles qui se recoupent ou se chevauchent, le maintien de la sécurité et de la confidentialité de ces données partagées est une préoccupation. AWS Clean Roomsvous aide à déployer des salles blanches de données, qui sont des environnements sécurisés et neutres dans lesquels les entreprises peuvent analyser des ensembles de données combinés sans partager les données brutes elles-mêmes. Il peut également générer des informations uniques en fournissant un accès à d'autres organisations AWS sans déplacer ou copier les données de leurs propres comptes et sans révéler le jeu de données sous-jacent. Toutes les données restent dans l'emplacement source. Les règles d'analyse intégrées limitent le résultat et les requêtes SQL. Toutes les requêtes sont enregistrées et les membres de la collaboration peuvent voir comment leurs données sont consultées.

Vous pouvez créer une AWS Clean Rooms collaboration et inviter d'autres AWS clients à devenir membres de cette collaboration. Vous autorisez un membre à interroger les ensembles de données des membres, et vous pouvez choisir des membres supplémentaires pour recevoir les résultats de ces requêtes. Si plusieurs membres doivent interroger les ensembles de données, vous pouvez créer des collaborations supplémentaires avec les mêmes sources de données et des paramètres de membre différents. Chaque membre peut filtrer les données partagées avec les membres de la collaboration, et vous pouvez utiliser des règles d'analyse personnalisées pour définir des limites quant à la manière dont les données qu'ils fournissent à la collaboration peuvent être analysées.

En plus de restreindre les données présentées à la collaboration et la manière dont elles peuvent être utilisées par les autres membres, AWS Clean Rooms fournit les fonctionnalités suivantes qui peuvent vous aider à protéger la confidentialité :

Dans le AWS PRA, nous vous recommandons de créer AWS Clean Rooms des collaborations dans le compte Data. Vous pouvez les utiliser pour partager des données clients cryptées avec des tiers. Utilisez-les uniquement en cas de chevauchement entre les ensembles de données fournis. Pour plus d'informations sur la façon de déterminer le chevauchement, consultez la section Règle d'analyse des listes dans la AWS Clean Rooms documentation.

Amazon CloudWatch Logs

Amazon CloudWatch Logs vous aide à centraliser les journaux de tous vos systèmes et applications, Services AWS afin que vous puissiez les surveiller et les archiver en toute sécurité. Dans CloudWatch Logs, vous pouvez utiliser une politique de protection des données pour les groupes de journaux nouveaux ou existants afin de minimiser le risque de divulgation de données personnelles. Les politiques de protection des données peuvent détecter des données sensibles, telles que des données personnelles, dans vos journaux. La politique de protection des données peut masquer ces données lorsque les utilisateurs accèdent aux journaux via le AWS Management Console. Lorsque les utilisateurs ont besoin d'un accès direct aux données personnelles, conformément à l'objectif global de votre charge de travail, vous pouvez logs:Unmask leur attribuer des autorisations. Vous pouvez également créer une politique de protection des données à l'échelle du compte et appliquer cette politique de manière cohérente à tous les comptes de votre organisation. Cela permet de configurer le masquage par défaut pour tous les groupes de journaux actuels et futurs dans CloudWatch Logs. Nous vous recommandons également d'activer les rapports d'audit et de les envoyer à un autre groupe de journaux, à un compartiment Amazon S3 ou à Amazon Data Firehose. Ces rapports contiennent un enregistrement détaillé des résultats relatifs à la protection des données pour chaque groupe de journaux.

CodeGuru Réviseur Amazon

Pour des raisons de confidentialité et de sécurité, il est essentiel pour de nombreuses entreprises de garantir une conformité continue pendant les phases de déploiement et après le déploiement. Le AWS PRA inclut des contrôles proactifs dans les pipelines de déploiement pour les applications qui traitent des données personnelles. Amazon CodeGuru Reviewer peut détecter les défauts potentiels susceptibles d'exposer des données personnelles dans du code Java et Python. JavaScript Il propose des suggestions aux développeurs pour améliorer le code. CodeGuru Le réviseur peut identifier les défauts dans un large éventail de pratiques générales recommandées en matière de sécurité, de confidentialité et de pratiques générales recommandées. Il est conçu pour fonctionner avec plusieurs fournisseurs de sources AWS CodeCommit, notamment Bitbucket et Amazon S3. GitHub Parmi les défauts liés à la confidentialité que le CodeGuru réviseur peut détecter, citons :

Pour obtenir la liste complète de ce que CodeGuru Reviewer peut détecter, consultez la bibliothèque Amazon CodeGuru Detector.

Amazon Comprehend

Amazon Comprehend est un service de traitement du langage naturel (NLP) qui utilise l'apprentissage automatique pour découvrir des informations et des connexions précieuses dans des documents texte en anglais. Amazon Comprehend peut détecter et supprimer des données personnelles dans des documents texte structurés, semi-structurés ou non structurés. Pour plus d'informations, consultez la section Informations personnelles identifiables (PII) dans la documentation Amazon Comprehend.

Vous pouvez utiliser l'AWS SDKs et l'API Amazon Comprehend pour intégrer Amazon Comprehend à de nombreuses applications. Par exemple, Amazon Comprehend permet de détecter et de supprimer des données personnelles avec Amazon S3 Object Lambda. Organisations peuvent utiliser S3 Object Lambda pour ajouter du code personnalisé aux requêtes GET d'Amazon S3 afin de modifier et de traiter les données lorsqu'elles sont renvoyées à une application. S3 Object Lambda peut filtrer les lignes, redimensionner les images de manière dynamique, supprimer des données personnelles, etc. Alimenté par AWS Lambda des fonctions, le code s'exécute sur une infrastructure entièrement gérée par AWS, ce qui élimine le besoin de créer et de stocker des copies dérivées de vos données ou d'exécuter des proxys. Vous n'avez pas besoin de modifier vos applications pour transformer des objets avec S3 Object Lambda. Vous pouvez utiliser la fonction ComprehendPiiRedactionS3Object Lambda AWS Serverless Application Repository pour supprimer des données personnelles. Cette fonction utilise Amazon Comprehend pour détecter les entités de données personnelles et les expédie en les remplaçant par des astérisques. Pour plus d'informations, consultez la section Détection et suppression de données personnelles avec S3 Object Lambda et Amazon Comprehend dans la documentation Amazon S3.

Amazon Comprehend propose de nombreuses options d'intégration d'applications via AWS. Vous pouvez SDKs donc utiliser Amazon Comprehend pour identifier les données personnelles dans de nombreux endroits où vous collectez, stockez et traitez des données. Vous pouvez utiliser les fonctionnalités d'Amazon Comprehend ML pour détecter et supprimer les données personnelles dans les journaux des applications (article de AWS blog), les e-mails des clients, les tickets d'assistance, etc. Le schéma d'architecture du compte d'application DP montre comment exécuter cette fonction pour les journaux d'applications sur Amazon EC2. Amazon Comprehend propose deux modes de rédaction :

Amazon Data Firehose

Amazon Data Firehose peut être utilisé pour capturer, transformer et charger des données de streaming dans des services en aval, tels qu'Amazon Managed Service pour Apache Flink ou Amazon S3. Firehose est souvent utilisé pour transporter de grandes quantités de données en streaming, telles que les journaux d'applications, sans avoir à créer des pipelines de traitement à partir de zéro.

Vous pouvez utiliser les fonctions Lambda pour effectuer un traitement personnalisé ou intégré avant que les données ne soient envoyées en aval. Pour des raisons de confidentialité, cette fonctionnalité prend en charge les exigences de minimisation des données et de transfert de données transfrontalier. Par exemple, vous pouvez utiliser Lambda et Firehose pour transformer les données de journaux multirégionales avant qu'elles ne soient centralisées dans le compte Log Archive. Pour plus d'informations, voir Biogen : solution de journalisation centralisée pour plusieurs comptes (YouTube vidéo). Dans le compte DP Application, vous configurez Amazon CloudWatch et vous pouvez AWS CloudTrail transférer les journaux vers un flux de diffusion Firehose. Une fonction Lambda transforme les journaux et les envoie vers un compartiment S3 central dans le compte Log Archive. Vous pouvez configurer la fonction Lambda pour masquer des champs spécifiques contenant des données personnelles. Cela permet d'empêcher le transfert de données personnelles d'un côté à l'autre Régions AWS. En utilisant cette approche, les données personnelles sont masquées avant le transfert et la centralisation, plutôt qu'après. Pour les demandes émanant de juridictions qui ne sont pas soumises à des exigences de transfert transfrontalier, il est généralement plus efficace sur le plan opérationnel et rentable d'agréger les journaux tout au long du processus organisationnel. CloudTrail Pour plus d'informations, consultez AWS CloudTrail la section Security OU — Security Tooling account de ce guide.

Amazon DataZone

À mesure que les entreprises adaptent leur approche en matière de partage de données AWS Lake Formation, elles veulent s'assurer que l'accès différentiel est contrôlé par ceux qui connaissent le mieux les données : les propriétaires des données. Services AWS Cependant, ces propriétaires de données peuvent être conscients des exigences de confidentialité, telles que le consentement ou les considérations relatives au transfert de données transfrontalier. Amazon DataZone aide les propriétaires des données et l'équipe de gouvernance des données à partager et à utiliser les données au sein d'une organisation conformément à vos politiques de gouvernance des données. Sur Amazon DataZone, les secteurs d'activité (LOBs) gèrent leurs propres données, et un catalogue permet de suivre cette propriété. Les parties intéressées peuvent trouver et demander l'accès aux données dans le cadre de leurs tâches commerciales. Tant qu'il respecte les politiques établies par les éditeurs de données, le propriétaire des données peut autoriser l'accès aux tables sous-jacentes, sans avoir à faire appel à un administrateur ni à déplacer les données.

Dans le contexte de la confidentialité, Amazon DataZone peut être utile dans les exemples de cas d'utilisation suivants :

Dans le AWS PRA, vous pouvez connecter les données du compartiment Amazon S3 partagé à Amazon DataZone en tant que producteur de données.

AWS Glue

La gestion des ensembles de données contenant des données personnelles est un élément clé de la protection de la vie privée dès la conception. Les données d'une organisation peuvent exister sous des formes structurées, semi-structurées ou non structurées. Les ensembles de données personnelles dépourvus de structure peuvent compliquer l'exécution d'un certain nombre d'opérations visant à renforcer la confidentialité, notamment la minimisation des données, le suivi des données attribuées à une seule personne dans le cadre d'une demande de la personne concernée, la garantie d'une qualité constante des données et la segmentation globale des ensembles de données. AWS Glueest un service d'extraction, de transformation et de chargement (ETL) entièrement géré. Il peut vous aider à classer, nettoyer, enrichir et déplacer les données entre les magasins de données et les flux de données. AWS Glue les fonctionnalités sont conçues pour vous aider à découvrir, préparer, structurer et combiner des ensembles de données à des fins d'analyse, d'apprentissage automatique et de développement d'applications. Vous pouvez l'utiliser AWS Glue pour créer une structure prévisible et commune au-dessus de vos ensembles de données existants. AWS Glue Data Catalog AWS Glue DataBrew, et la qualité AWS Glue des données sont des AWS Glue fonctionnalités qui peuvent contribuer à répondre aux exigences de confidentialité de votre entreprise.

AWS Glue Data Catalog

AWS Glue Data Catalogvous aide à établir des ensembles de données maintenables. Le catalogue de données contient des références aux données utilisées comme sources et cibles pour les tâches d'extraction, de transformation et de chargement (ETL) dans AWS Glue. Les informations du catalogue de données sont stockées sous forme de tables de métadonnées, et chaque table indique un magasin de données unique. Vous exécutez un AWS Glue robot d'exploration pour inventorier les données dans différents types de magasins de données. Vous ajoutez des classificateurs intégrés et personnalisés au robot d'exploration, et ces classificateurs déduisent le format des données et le schéma des données personnelles. Le robot d'exploration écrit ensuite les métadonnées dans le catalogue de données. Une table de métadonnées centralisée peut faciliter la réponse aux demandes des personnes concernées (telles que le droit à l'effacement), car elle ajoute de la structure et de la prévisibilité aux différentes sources de données personnelles de votre environnement. AWS Pour un exemple complet de la façon d'utiliser Data Catalog pour répondre automatiquement à ces demandes, consultez Gérer les demandes d'effacement de données dans votre lac de données avec Amazon S3 Find and Forget (article de AWS blog). Enfin, si votre organisation a l'habitude d'AWS Lake Formationadministrer et de fournir un accès précis aux bases de données, aux tables, aux lignes et aux cellules, le catalogue de données est un élément clé. Data Catalog permet le partage de données entre comptes et vous aide à utiliser le contrôle d'accès basé sur des balises pour gérer votre lac de données à grande échelle (article de AWS blog). Pour plus d'informations, consultez AWS Lake Formation cette section.

AWS Glue DataBrew

AWS Glue DataBrewvous aide à nettoyer et à normaliser les données, et il peut effectuer des transformations sur les données, telles que la suppression ou le masquage d'informations personnelles identifiables et le chiffrement de champs de données sensibles dans des pipelines de données. Vous pouvez également cartographier visuellement le lignage de vos données afin de comprendre les différentes sources de données et les étapes de transformation par lesquelles les données ont été soumises. Cette fonctionnalité devient de plus en plus importante à mesure que votre organisation s'efforce de mieux comprendre et suivre la provenance des données personnelles. DataBrew vous aide à masquer les données personnelles lors de la préparation des données. Vous pouvez détecter les données personnelles dans le cadre d'un travail de profilage des données et recueillir des statistiques, telles que le nombre de colonnes susceptibles de contenir des données personnelles et les catégories potentielles. Vous pouvez ensuite utiliser des techniques intégrées de transformation des données réversibles ou irréversibles, notamment la substitution, le hachage, le chiffrement et le déchiffrement, le tout sans écrire de code. Vous pouvez ensuite utiliser les ensembles de données nettoyés et masqués en aval pour des tâches d'analyse, de reporting et d'apprentissage automatique. Certaines des techniques de masquage de données disponibles DataBrew incluent :

Les techniques de chiffrement disponibles sont les suivantes :

Pour une liste complète des recettes de transformation des données personnelles fournies dans DataBrew, voir Étapes de recette relatives aux informations personnelles identifiables (PII).

AWS Glue Qualité des données

AWS Glue Data Quality vous aide à automatiser et à opérationnaliser la diffusion de données de haute qualité dans les pipelines de données, de manière proactive, avant qu'elles ne soient livrées à vos consommateurs de données. AWS Glue Data Quality fournit une analyse statistique des problèmes de qualité des données dans l'ensemble de vos pipelines de données, peut déclencher des alertes sur Amazon EventBridge et peut recommander des règles de qualité pour y remédier. AWS Glue Data Quality prend également en charge la création de règles dans un langage spécifique au domaine afin que vous puissiez créer des règles de qualité des données personnalisées.

AWS Key Management Service

AWS Key Management Service (AWS KMS) vous aide à créer et à contrôler des clés cryptographiques afin de protéger vos données. AWS KMS utilise des modules de sécurité matériels pour protéger et valider AWS KMS keys dans le cadre du programme de validation des modules cryptographiques FIPS 140-2. Pour plus d'informations sur la manière dont ce service est utilisé dans un contexte de sécurité, consultez l'architecture AWS de référence de sécurité.

AWS KMS s'intègre à la plupart Services AWS des solutions de chiffrement, et vous pouvez utiliser des clés KMS dans vos applications qui traitent et stockent des données personnelles. Vous pouvez AWS KMS les utiliser pour répondre à diverses exigences en matière de confidentialité et protéger les données personnelles, notamment :

Par défaut, les clés KMS sont stockées et ne peuvent être utilisées que dans la région où elles ont été créées. Si votre organisation a des exigences spécifiques en matière de résidence et de souveraineté des données, déterminez si les clés KMS multirégionales sont adaptées à votre cas d'utilisation. Les clés multirégionales sont des clés KMS spécifiques, différentes, Régions AWS qui peuvent être utilisées de manière interchangeable. Le processus de création d'une clé multirégionale déplace votre matériel clé au-delà des Région AWS frontières internes AWS KMS, de sorte que cette absence d'isolement régional peut ne pas être compatible avec les objectifs de souveraineté et de résidence de votre organisation. L'un des moyens de résoudre ce problème consiste à utiliser un autre type de clé KMS, par exemple une clé gérée par le client spécifique à une région.

Magasins de clés externes

Pour de nombreuses entreprises, le magasin de AWS KMS clés par défaut AWS Cloud peut satisfaire à leurs exigences en matière de souveraineté des données et de réglementation générale. Mais certains peuvent exiger que les clés de chiffrement soient créées et maintenues en dehors d'un environnement cloud et que vous disposiez de voies d'autorisation et d'audit indépendantes. Grâce aux stockages de clés externes AWS KMS intégrés, vous pouvez chiffrer les données personnelles à l'aide de documents clés que votre organisation possède et contrôle en dehors de AWS Cloud celui-ci. Vous interagissez toujours avec l' AWS KMS API comme d'habitude, mais uniquement AWS KMS avec le logiciel proxy de stockage de clés externe (proxy XKS) que vous fournissez. Votre proxy de stockage de clés externe assure ensuite la médiation de toutes les communications entre AWS KMS et votre gestionnaire de clés externe.

Lorsque vous utilisez un magasin de clés externe pour le chiffrement des données, il est important de prendre en compte la surcharge opérationnelle supplémentaire par rapport à la conservation des clés AWS KMS. Avec un magasin de clés externe, vous devez créer, configurer et gérer le magasin de clés externe. En outre, en cas d'erreur dans l'infrastructure supplémentaire que vous devez gérer, telle que le proxy XKS, et que la connectivité est perdue, les utilisateurs risquent d'être temporairement incapables de déchiffrer les données et d'y accéder. Travaillez en étroite collaboration avec vos parties prenantes en matière de conformité et de réglementation pour comprendre les obligations légales et contractuelles relatives au chiffrement des données personnelles et vos accords de niveau de service en matière de disponibilité et de résilience.

AWS Lake Formation

De nombreuses organisations qui cataloguent et classent leurs ensembles de données par le biais de catalogues de métadonnées structurés souhaitent partager ces ensembles de données au sein de leur organisation. Vous pouvez utiliser des politiques d'autorisation AWS Identity and Access Management (IAM) pour contrôler l'accès à des ensembles de données complets, mais un contrôle plus précis est souvent nécessaire pour les ensembles de données contenant des données personnelles de sensibilité variable. Par exemple, la spécification de l'objectif et la limitation d'utilisation (site Web du FPC) peuvent indiquer qu'une équipe marketing a besoin d'accéder aux adresses des clients, mais pas une équipe de science des données.

Les lacs de données, qui centralisent l'accès à de grandes quantités de données sensibles dans leur format d'origine, posent également des problèmes de confidentialité. La plupart des données d'une organisation étant accessibles de manière centralisée en un seul endroit, la séparation logique des ensembles de données, en particulier ceux contenant des données personnelles, peut être primordiale. AWS Lake Formationpeut vous aider à configurer la gouvernance et la surveillance lors du partage de données, qu'elles proviennent d'une source unique ou de plusieurs sources contenues dans un lac de données. Dans le AWS PRA, vous pouvez utiliser Lake Formation pour fournir un contrôle d'accès précis aux données du compartiment de données partagé du compte Data.

Vous pouvez utiliser la fonction de contrôle d'accès basée sur des balises dans Lake Formation. Le contrôle d'accès basé sur des balises est une stratégie d'autorisation qui définit les autorisations en fonction des attributs. Dans Lake Formation, ces attributs sont appelés balises LF. À l'aide d'une balise LF, vous pouvez associer ces balises aux bases de données, aux tables et aux colonnes du catalogue de données et accorder les mêmes balises aux principaux IAM. Lake Formation autorise les opérations sur ces ressources lorsque le principal a obtenu l'accès à une valeur de balise qui correspond à la valeur de l'étiquette de ressource. L'image suivante montre comment attribuer des balises LF et des autorisations pour fournir un accès différencié aux données personnelles.

Cet exemple utilise la nature hiérarchique des balises. Les deux bases de données contiennent des informations personnellement identifiables (PII:true), mais les balises au niveau des colonnes limitent les colonnes spécifiques aux différentes équipes. Dans cet exemple, les principaux IAM dotés de la PII:true balise LF peuvent accéder aux ressources de AWS Glue base de données dotées de cette balise. Les principaux dotés de la LOB:DataScience balise LF peuvent accéder à des colonnes spécifiques dotées de cette balise, et les principaux dotés de la balise LOB:Marketing LF ne peuvent accéder qu'aux colonnes dotées de cette balise. Le service marketing peut accéder uniquement aux informations personnelles pertinentes pour les cas d'utilisation marketing, et l'équipe de science des données ne peut accéder qu'aux informations personnelles pertinentes pour leurs cas d'utilisation.

Zones locales AWS

Si vous devez respecter les exigences relatives à la résidence des données, vous pouvez déployer des ressources qui stockent et traitent les données personnelles spécifiquement Régions AWS pour répondre à ces exigences. Vous pouvez également utiliser Zones locales AWS, ce qui vous permet de placer des ressources de calcul, de stockage, de base de données et d'autres AWS ressources sélectionnées à proximité de grands centres industriels et peuplés. Une zone locale est une extension d'une Région AWS zone située à proximité géographique d'une grande région métropolitaine. Vous pouvez placer des types spécifiques de ressources dans une zone locale, à proximité de la région à laquelle correspond la zone locale. Les Zones Locales peuvent vous aider à satisfaire aux exigences de résidence des données lorsqu'une région n'est pas disponible au sein de la même juridiction légale. Lorsque vous utilisez des Zones Locales, tenez compte des contrôles de résidence des données déployés au sein de votre organisation. Par exemple, vous pourriez avoir besoin d'un contrôle pour empêcher les transferts de données d'une zone locale spécifique vers une autre région. Pour plus d'informations sur la manière de SCPs maintenir des barrières de sécurité en matière de transfert de données transfrontalier, consultez Bonnes pratiques pour gérer la résidence des données lors de Zones locales AWS l'utilisation des contrôles de zone d'atterrissage (article de AWS blog).

AWS Enclaves Nitro

Réfléchissez à votre stratégie de segmentation des données du point de vue du traitement, par exemple le traitement des données personnelles avec un service informatique tel qu'Amazon Elastic Compute Cloud (Amazon EC2). L'informatique confidentielle dans le cadre d'une stratégie d'architecture plus large peut vous aider à isoler le traitement des données personnelles dans une enclave CPU isolée, protégée et fiable. Les enclaves sont des machines virtuelles distinctes, renforcées et soumises à des contraintes élevées. AWS Nitro Enclaves est EC2 une fonctionnalité d'Amazon qui peut vous aider à créer ces environnements informatiques isolés. Pour plus d'informations, consultez La conception de la sécurité du système AWS Nitro (AWS livre blanc).

Les enclaves Nitro déploient un noyau séparé du noyau de l'instance parent. Le noyau de l'instance parent n'a pas accès à l'enclave. Les utilisateurs ne peuvent pas utiliser le protocole SSH ou accéder à distance aux données et aux applications de l'enclave. Les applications qui traitent des données personnelles peuvent être intégrées dans l'enclave et configurées pour utiliser le Vsock de l'enclave, le socket qui facilite la communication entre l'enclave et l'instance parent.

L'un des cas d'utilisation dans lesquels Nitro Enclaves peut être utile est le traitement conjoint entre deux processeurs de données distincts Régions AWS et susceptibles de ne pas se faire confiance. L'image suivante montre comment vous pouvez utiliser une enclave pour le traitement centralisé, une clé KMS pour chiffrer les données personnelles avant leur envoi à l'enclave et une AWS KMS key politique qui vérifie que l'enclave demandant le déchiffrement possède les mesures uniques indiquées dans son document d'attestation. Pour plus d'informations et d'instructions, consultez la section Utilisation d'une attestation cryptographique avec AWS KMS. Pour un exemple de politique clé, consultez Exiger une attestation pour utiliser une AWS KMS clé ce guide.

Avec cette implémentation, seuls les processeurs de données respectifs et l'enclave sous-jacente ont accès aux données personnelles en texte clair. Le seul endroit où les données sont exposées, en dehors de l'environnement des processeurs de données respectifs, est dans l'enclave elle-même, qui est conçue pour empêcher l'accès et la falsification.

AWS PrivateLink

De nombreuses entreprises souhaitent limiter l'exposition des données personnelles à des réseaux non fiables. Par exemple, si vous souhaitez améliorer la confidentialité de la conception globale de votre architecture d'application, vous pouvez segmenter les réseaux en fonction de la sensibilité des données (comme dans le cas de la séparation logique et physique des ensembles de données décrite dans la Services AWS et des fonctionnalités qui aident à segmenter les données section). AWS PrivateLinkvous permet de créer des connexions privées unidirectionnelles entre vos clouds privés virtuels (VPCs) et des services extérieurs au VPC. Vous pouvez ainsi configurer des connexions privées dédiées aux services qui stockent ou traitent des données personnelles dans votre environnement ; il n'est pas nécessaire de vous connecter à des points de terminaison publics et de transférer ces données sur des réseaux publics non fiables. AWS PrivateLink Lorsque vous activez les points de terminaison de AWS PrivateLink service pour les services concernés, il n'est pas nécessaire de disposer d'une passerelle Internet, d'un périphérique NAT, d'une adresse IP publique, d'une AWS Direct Connect connexion ou d' AWS Site-to-Site VPN une connexion pour communiquer. Lorsque vous vous connectez AWS PrivateLink à un service qui fournit un accès aux données personnelles, vous pouvez utiliser des politiques de point de terminaison VPC et des groupes de sécurité pour contrôler l'accès, conformément à la définition du périmètre de données de votre organisation. Pour un exemple de politique de point de terminaison VPC autorisant uniquement les principes et les AWS ressources IAM d'une organisation fiable à accéder à un point de terminaison de service, consultez ce guideExiger l'adhésion à l'organisation pour accéder aux ressources VPC.

AWS Resource Access Manager

AWS Resource Access Manager (AWS RAM) vous permet de partager vos ressources en toute sécurité afin Comptes AWS de réduire les frais opérationnels et de garantir visibilité et auditabilité. Lorsque vous planifiez votre stratégie de segmentation multi-comptes, pensez AWS RAM à partager les banques de données personnelles que vous stockez dans un compte distinct et isolé. Vous pouvez partager ces données personnelles avec d'autres comptes fiables à des fins de traitement. Dans AWS RAM, vous pouvez gérer les autorisations qui définissent les actions pouvant être effectuées sur les ressources partagées. Tous les appels d'API AWS RAM sont connectés CloudTrail. Vous pouvez également configurer Amazon CloudWatch Events pour qu'il vous avertisse automatiquement en cas d'événements spécifiques AWS RAM, par exemple lorsque des modifications sont apportées à un partage de ressources.

Bien que vous puissiez partager de nombreux types de AWS ressources avec d'autres personnes en Comptes AWS utilisant des politiques basées sur les ressources dans IAM ou des politiques de compartiment dans Amazon S3, cela AWS RAM offre plusieurs avantages supplémentaires en termes de confidentialité. AWS fournit aux propriétaires de données une visibilité supplémentaire sur la manière dont les données sont partagées et avec qui Comptes AWS, notamment :

Si vous avez déjà utilisé une politique basée sur les ressources pour gérer un partage de ressources et que vous souhaitez l'utiliser à la AWS RAM place, utilisez l'opération PromoteResourceShareCreatedFromPolicyAPI.

Amazon SageMaker AI

Amazon SageMaker AI est un service géré d'apprentissage automatique (ML) qui vous aide à créer et à former des modèles de machine learning, puis à les déployer dans un environnement hébergé prêt pour la production. SageMaker L'IA est conçue pour faciliter la préparation des données d'entraînement et la création des fonctionnalités du modèle.

Amazon SageMaker Model Monitor

De nombreuses entreprises prennent en compte la dérive des données lors de la formation de modèles de machine learning. La dérive des données est une variation significative entre les données de production et les données utilisées pour entraîner un modèle ML, ou une modification significative des données d'entrée au fil du temps. La dérive des données peut réduire la qualité, la précision et l'équité globales des prédictions des modèles ML. Si la nature statistique des données qu'un modèle ML reçoit en production s'éloigne de la nature des données de référence sur lesquelles il a été entraîné, la précision des prédictions peut diminuer. Amazon SageMaker Model Monitor peut surveiller en permanence la qualité des modèles d'apprentissage automatique Amazon SageMaker AI en production et surveiller la qualité des données. La détection précoce et proactive de la dérive des données peut vous aider à mettre en œuvre des mesures correctives, telles que la reconversion des modèles, l'audit des systèmes en amont ou la résolution des problèmes de qualité des données. Model Monitor peut réduire le besoin de surveiller manuellement les modèles ou de créer des outils supplémentaires.

Amazon SageMaker Clarifier

Amazon SageMaker Clarify fournit des informations sur le biais et l'explicabilité du modèle. SageMaker Clarify est couramment utilisé lors de la préparation des données du modèle ML et de la phase globale de développement. Les développeurs peuvent spécifier des attributs intéressants, tels que le sexe ou l'âge, et SageMaker Clarify exécute un ensemble d'algorithmes pour détecter toute présence de biais dans ces attributs. Une fois l'algorithme exécuté, SageMaker Clarify fournit un rapport visuel avec une description des sources et des mesures du biais possible afin que vous puissiez identifier les étapes à suivre pour remédier au biais. Par exemple, dans un ensemble de données financières qui ne contient que quelques exemples de prêts commerciaux accordés à un groupe d'âge par rapport à d'autres, vous SageMaker pourriez détecter des déséquilibres afin d'éviter un modèle qui défavorise ce groupe d'âge. Vous pouvez également vérifier la présence de biais dans les modèles déjà entraînés en examinant leurs prévisions et en surveillant en permanence la présence de biais dans ces modèles de ML. Enfin, SageMaker Clarify est intégré à Amazon SageMaker AI Experiments pour fournir un graphique qui explique les caractéristiques qui ont le plus contribué au processus global de prévision d'un modèle. Ces informations peuvent être utiles pour obtenir des résultats d'explicabilité, et elles peuvent vous aider à déterminer si une entrée de modèle particulière a plus d'influence qu'elle ne le devrait sur le comportement global du modèle.

Carte SageMaker modèle Amazon

Amazon SageMaker Model Card peut vous aider à documenter les détails essentiels de vos modèles de machine learning à des fins de gouvernance et de reporting. Ces informations peuvent inclure le propriétaire du modèle, l'objectif général, les cas d'utilisation prévus, les hypothèses formulées, l'évaluation du risque d'un modèle, les détails et les indicateurs de formation, ainsi que les résultats de l'évaluation. Pour plus d'informations, consultez Modéliser l'explicabilité avec les solutions d'intelligence AWS artificielle et de Machine Learning (AWS livre blanc).

Amazon SageMaker Data Wrangler

Amazon SageMaker Data Wrangler est un outil d'apprentissage automatique qui permet de rationaliser le processus de préparation des données et d'ingénierie des fonctionnalités. Il fournit une interface visuelle qui aide les scientifiques des données et les ingénieurs en apprentissage automatique à préparer et à transformer rapidement et facilement les données pour les utiliser dans des modèles d'apprentissage automatique. Avec Data Wrangler, vous pouvez importer des données provenant de différentes sources, telles qu'Amazon S3, Amazon Redshift et Amazon Athena. Vous pouvez ensuite utiliser plus de 300 transformations de données intégrées pour nettoyer, normaliser et combiner des fonctionnalités sans avoir à écrire de code.

Le Data Wrangler peut être utilisé dans le cadre du processus de préparation des données et d'ingénierie des fonctionnalités du AWS PRA. Il prend en charge le chiffrement des données au repos et en transit en utilisant AWS KMS des rôles et des politiques IAM pour contrôler l'accès aux données et aux ressources. Il prend en charge le masquage des données via AWS Glue Amazon SageMaker Feature Store. Si vous intégrez Data Wrangler à Data Wrangler AWS Lake Formation, vous pouvez appliquer des contrôles d'accès aux données et des autorisations précis. Vous pouvez même utiliser Data Wrangler avec Amazon Comprehend pour supprimer automatiquement les données personnelles des données tabulaires dans le cadre de votre flux de travail ML Ops plus large. Pour plus d'informations, consultez Supprimer automatiquement les informations personnelles pour l'apprentissage automatique à l'aide d'Amazon SageMaker Data Wrangler (AWS article de blog).

La polyvalence de Data Wrangler vous permet de masquer les données sensibles de nombreux secteurs, telles que les numéros de compte, les numéros de carte de crédit, les numéros de sécurité sociale, les noms des patients et les dossiers médicaux et militaires. Vous pouvez limiter l'accès aux données sensibles ou choisir de les supprimer.

AWS fonctionnalités qui aident à gérer le cycle de vie des données

Lorsque les données personnelles ne sont plus nécessaires, vous pouvez utiliser le cycle de vie et time-to-live les politiques des données dans de nombreux magasins de données différents. Lors de la configuration des politiques de conservation des données, tenez compte des emplacements suivants susceptibles de contenir des données personnelles :

Les fonctionnalités Services AWS et fonctionnalités suivantes peuvent vous aider à configurer les politiques de conservation des données dans vos AWS environnements :

Services AWS et des fonctionnalités qui aident à segmenter les données

La segmentation des données est le processus par lequel vous stockez les données dans des conteneurs distincts. Cela peut vous aider à fournir des mesures de sécurité et d'authentification différenciées pour chaque ensemble de données et à réduire l'impact de l'exposition sur votre ensemble de données dans son ensemble de données. Par exemple, au lieu de stocker toutes les données clients dans une grande base de données, vous pouvez segmenter ces données en groupes plus petits et plus faciles à gérer.

Vous pouvez utiliser la séparation physique et logique pour segmenter les données personnelles :

La combinaison d'une séparation logique et physique apporte flexibilité, simplicité et granularité lors de la rédaction de politiques basées sur l'identité et les ressources afin de permettre un accès différencié entre les fonctions professionnelles. Par exemple, il peut être complexe d'un point de vue opérationnel de créer les politiques qui séparent logiquement les différentes classifications de données dans un même compartiment S3. L'utilisation de compartiments S3 dédiés pour chaque classification de données simplifie la configuration et la gestion des politiques.

Services AWS et des fonctionnalités qui permettent de découvrir, de classer ou de cataloguer les données

Certaines entreprises n'ont pas encore commencé à utiliser les outils d'extraction, de chargement et de transformation (ELT) dans leur environnement pour cataloguer leurs données de manière proactive. Ces clients en sont peut-être à un stade précoce de découverte des données, au cours duquel ils souhaitent mieux comprendre les données dans lesquelles ils stockent AWS et traitent, ainsi que leur structure et leur classification. Vous pouvez utiliser Amazon Macie pour mieux comprendre vos données personnelles dans Amazon S3. Amazon Macie ne peut toutefois pas vous aider à analyser d'autres sources de données, telles qu'Amazon Relational Database Service (Amazon RDS) et Amazon Redshift. Vous pouvez utiliser deux approches pour accélérer la découverte initiale au début d'un exercice de mappage de données de plus grande envergure :