Proteção de dados no Amazon DataZone
O AWS modelo de responsabilidade compartilhada
Para fins de proteção de dados, recomendamos que você proteja as credenciais da Conta da AWS e configure as contas de usuário individuais com AWS IAM Identity Center ou AWS Identity and Access Management (IAM). Dessa maneira, cada usuário receberá apenas as permissões necessárias para cumprir suas obrigações de trabalho. Recomendamos também que você proteja seus dados das seguintes formas:
-
Use uma autenticação multifator (MFA) com cada conta.
-
Use SSL/TLS para se comunicar com os recursos da AWS. Exigimos TLS 1.2 e recomendamos TLS 1.3.
-
Configure os logs de API e atividade do usuário com AWS CloudTrail. Para obter informações sobre como usar as trilhas do CloudTrail para capturar atividades da AWS, consulte Working with CloudTrail trails no Guia do usuário do AWS CloudTrail.
-
Use as soluções de criptografia AWS, juntamente com todos os controles de segurança padrão em Serviços da AWS.
-
Use serviços gerenciados de segurança avançada, como o Amazon Macie, que ajuda a localizar e proteger dados sensíveis armazenados no Amazon S3.
-
Se você precisar de módulos criptográficos validados pelo FIPS 140-3 ao acessar a AWS por meio de uma interface de linha de comandos ou de uma API, use um endpoint do FIPS. Para obter mais informações sobre os endpoints FIPS disponíveis, consulte Federal Information Processing Standard (FIPS) 140-3
.
É altamente recomendável que nunca sejam colocadas informações confidenciais ou sigilosas, como endereços de e-mail de clientes, em tags ou campos de formato livre, como um campo Nome. Isso também vale para o uso do Amazon DataZone ou de outros Serviços da AWS usando o console, a API, a AWS CLI ou os SDKs da AWS. Quaisquer dados inseridos em tags ou em campos de texto de formato livre usados para nomes podem ser usados para logs de faturamento ou de diagnóstico. Se você fornecer um URL para um servidor externo, é fortemente recomendável que não sejam incluídas informações de credenciais no URL para validar a solicitação nesse servidor.
Criptografia de dados
Ao conceder permissões, você define quem terá acesso aos recursos do Amazon DataZone. Habilite ações específicas que quer permitir nesses recursos. Portanto, você deve conceder apenas as permissões necessárias para executar uma tarefa. A implementação do acesso de privilégio mínimo é fundamental para reduzir o risco de segurança e o impacto que pode resultar de erros ou usuários mal-intencionados.
Criptografia em repouso
O Amazon DataZone criptografa todos os seus dados por padrão com uma chave do AWS Key Management Service (AWSKMS) que a AWS possui e gerencia para você. Também é possível criptografar os dados armazenados no catálogo do Amazon DataZone usando chaves que você gerencia com o AWS KMS.
Ao criar um domínio no Amazon DataZone, você pode fornecer configurações de criptografia marcando a caixa de seleção ao lado de Personalizar configurações de criptografia (avançadas) em Criptografia de dados e fornecendo uma chave do KMS.
Criptografia em trânsito
O Amazon DataZone usa Transport Layer Security (TLS) e criptografia do lado do cliente para criptografia em trânsito. A comunicação com o Amazon DataZone é sempre feita por HTTPS para que seus dados sejam sempre criptografados em trânsito.
Privacidade do tráfego entre redes
Para proteger as conexões entre contas, o Amazon DataZone usa perfis de serviço e perfis do IAM para se conectar com segurança às contas do cliente e executar operações em nome deles.
Tópicos
