# SEC07-BP04 定義可擴展的資料生命週期管理
了解您的資料生命週期需求，因為這些需求與您不同層級的資料分類和處理相關。 這可能包括資料一開始進入環境時的處理方式、資料轉換的方式，以及銷毀資料的規則。請將保留期、存取、稽核和追蹤來源等因素納入考量。
**預期成果：**您的資料分類會盡可能接近擷取點和時間。當資料分類需要遮罩、記號化或其他降低敏感程度的處理時，您會在盡可能最接近擷取點和時間的條件下執行這些動作。
當資料不再適合保存時，您會遵循政策根據資料的分類將其刪除。
**常見的反模式：**
+ 實作一體適用的方法來管理資料生命週期，而未考量不同的敏感程度和存取需求。
+ 僅從資料為可用資料或備份資料的角度來考量生命週期管理，而非兩者均考量。
+ 假設已輸入工作負載的資料有效，但未確定其價值或來源。
+ 仰賴資料耐久性來替代資料備份和保護。
+ 保留資料的時間超過其實用性和所需的保留期。
**建立此最佳實務的優勢：**定義明確且可擴展的資料生命週期管理策略有助於保持合規、提高資料安全性、最佳化儲存成本，以及在維持適當控制之下實現有效率的資料存取和共用。
**未建立此最佳實務時的風險暴露等級：**高
## 實作指引
工作負載內的資料通常是動態的。 資料進入工作負載環境時採取的形式，可能與資料儲存或使用在商業邏輯、報告、分析或機器學習上的形式有所不同。 此外，資料的價值可能隨時間而改變。有些資料本質上是暫時性的，會隨著時間失去其價值。 請考量在您的資料分類機制與相關控制下，這些資料變更對評估的影響。 可能的話，盡量使用自動化生命週期機制 (如 [Amazon S3 生命週期政策](https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lifecycle-mgmt.html)和 [Amazon Data Lifecycle Manager](https://aws.amazon.com/ebs/data-lifecycle-manager/)) 來設定資料保留、封存和到期程序。對於儲存在 DynamoDB 中的資料，您可以使用[存留時間 (TTL)](https://docs.aws.amazon.com/amazondynamodb/latest/developerguide/TTL.html) 功能來定義每個項目的過期時間戳記。
區分可供使用的資料與儲存為備份的資料。 考慮使用 [AWS Backup](https://aws.amazon.com/backup/) 自動備份 AWS 服務中的資料。 [Amazon EBS 快照](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-snapshots.html)提供了複製 EBS 磁碟區並使用 S3 功能來儲存它的方式，包括生命週期、資料保護和存取保護機制。其中兩種機制為 [S3 Object Lock](https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock.html) 和 [AWS Backup Vault Lock](https://docs.aws.amazon.com/aws-backup/latest/devguide/vault-lock.html)，皆可提高您備份的安全性，並且讓您更有效地掌控備份。進行分明的職責和備份存取權劃分管理。在帳戶層級隔離備份，以便在事件發生期間與受影響的環境保持分離。
生命週期管理的另一方面，是記錄資料在工作負載中進度的歷史記錄，稱為*資料來源追蹤*。如此您就能確信自己知道資料來自何處、執行的任何轉換、哪些擁有者或處理程序做出這些變更，以及時間點。 這份歷史記錄有助於在可能發生安全事件的期間進行問題的疑難排解和調查。 例如，您可以在 [Amazon DynamoDB](https://aws.amazon.com/dynamodb/) 資料表中記錄有關轉換的中繼資料。 在資料湖內，您可以針對每一個資料管道階段，將轉換後資料的副本保留在不同的 S3 儲存貯體中。將結構描述和時間戳記資訊儲存在 [AWS Glue Data Catalog](https://docs.aws.amazon.com/glue/latest/dg/catalog-and-crawler.html) 中。 無論您採用何種解決方案，請務必考量最終使用者的需求，以確定報告資料來源所需的適當工具。 這樣做將協助您確定追蹤來源的最佳方式。
### 實作步驟
1. 分析工作負載的資料類型、敏感程度及存取需求，以分類資料並定義適當的生命週期管理策略。
1. 設計並實施符合法律、法規和組織要求的資料保留政策及自動銷毀程序。
1. 建立流程和自動化功能，以隨著工作負載需求和法規發展，持續監控、稽核和調整資料生命週期管理策略、控制及政策。
1. 使用 [AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/s3-lifecycle-policy-check.html) 偵測尚未開啟自動生命週期管理的資源
## 資源
**相關的最佳實務：**
+ [COST04-BP05 強制執行資料保留政策](https://docs.aws.amazon.com/wellarchitected/latest/framework/cost_decomissioning_resources_data_retention.html)
+ [SUS04-BP03 使用政策來管理資料集的生命週期](https://docs.aws.amazon.com/wellarchitected/latest/framework/sus_sus_data_a4.html)
**相關文件：**
+ [資料分類白皮書](https://docs.aws.amazon.com/whitepapers/latest/data-classification/data-classification-overview.html)
+ [AWS 勒索軟體防禦藍圖](https://d1.awsstatic.com/whitepapers/compliance/AWS-Blueprint-for-Ransomware-Defense.pdf)
+ [DevOps 指引：利用資料來源追蹤改善可追溯性](https://docs.aws.amazon.com/wellarchitected/latest/devops-guidance/ag.dlm.8-improve-traceability-with-data-provenance-tracking.html)
**相關範例：**
+ [如何在 AWS 中於整個生命週期保護敏感資料](https://aws.amazon.com/blogs/security/how-to-protect-sensitive-data-for-its-entire-lifecycle-in-aws/)
+ [使用 AWS Glue、Amazon Neptune 和 Spline 為資料湖建置資料歷程](https://aws.amazon.com/blogs/big-data/build-data-lineage-for-data-lakes-using-aws-glue-amazon-neptune-and-spline/)
**相關工具：**
+ [AWS Backup](https://aws.amazon.com/backup/)
+ [Amazon Data Lifecycle Manager](https://aws.amazon.com/ebs/data-lifecycle-manager/)
+ [AWS Identity and Access Management Access Analyzer](https://aws.amazon.com/iam/access-analyzer/)