Best Practices für AWS DLP (Data Loss Prevention).

Organisationen verlassen sich oft auf Amazon Web Services (AWS), um sensible Daten in der Cloud zu speichern, was robuste Sicherheitsmaßnahmen erfordert, um diese Daten vor Diebstahl, Verlust und Beschädigung zu schützen. Mit Data Loss Prevention (DLP) können Administratoren Daten klassifizieren, Zugriffsregeln definieren und überwachen, wie auf diese Daten zugegriffen und diese verwendet werden. AWS bietet eine umfassende Suite von Datenschutztools, die den DLP-Standards entsprechen und mehrere Sicherheitsebenen bieten. Viele Unternehmen entscheiden sich jedoch auch für die Nutzung von DLP-Lösungen von Drittanbietern für eine individuellere Steuerung. Durch die Nutzung von Algorithmen des maschinellen Lernens (ML) können DLP-Lösungen die Wahrscheinlichkeit von Datenverlusten proaktiv und intelligent minimieren.

Warum ist AWS DLP für Unternehmen wichtig?

Datenverlust kann auf verschiedene interne und externe Faktoren zurückzuführen sein. Nachlässige Insider, darunter Mitarbeiter und Auftragnehmer, stellen eine erhebliche Bedrohung dar und sind für die meisten Datenschutzverletzungen verantwortlich. Mitarbeiter können unbeabsichtigt Dateien auf anfällige USB-Laufwerke herunterladen oder Unternehmensressourcen zum persönlichen Vorteil missbrauchen, während Dritte ebenfalls ähnliche Risiken darstellen können. Datenverlust setzt Unternehmen einer Reihe von Schwachstellen aus, darunter Sicherheitsverletzungen, Industriespionage und die Nichteinhaltung gesetzlicher Standards. Der Ruf und die Wettbewerbsfähigkeit eines Unternehmens können durch Datenverluste langfristig beeinträchtigt werden, was die Bedeutung strenger Datenschutzmaßnahmen unterstreicht.

Wie hilft AWS DLP bei der Compliance?

Administratoren verlassen sich häufig auf AWS DLP, um die Einhaltung branchenspezifischer Vorschriften sicherzustellen. Beispiele für diese Vorschriften sind HIPAA, PCI-DSS, DSGVO, FISMA und CCPA. Die Nichteinhaltung dieser Vorschriften kann zu erheblichen Bußgeldern und Strafen führen. Vor der Implementierung von Speicherrichtlinien sollten Administratoren den Rat von Experten einholen, um die Einhaltung sicherzustellen. Compliance-Vorschriften gelten für ruhende Daten, die auf AWS-Servern gespeichert werden, und in Bewegung befindliche Daten, die über das Netzwerk oder das Internet übertragen werden. Sowohl für ruhende als auch für übertragene Daten müssen strenge Standards wie die Verschlüsselung eingehalten werden.

Best Practices für AWS DLP

Um die Datensicherheit in AWS zu gewährleisten, beginnen Sie am besten mit der Klassifizierung Ihrer Daten. Nach der Klassifizierung können Sie die geeignete AWS-Architektur auswählen, die die erforderlichen Datenverwaltungs- und Sicherheitskontrollen zum Schutz ruhender und übertragener Daten bietet. Die Definition von Rollen und Berechtigungsregeln ist wichtig, um zu steuern, wer zum Zugriff auf die Daten berechtigt ist. Darüber hinaus stellt die Dokumentation jedes Verfahrens sicher, dass alle Mitarbeiter, einschließlich Neueinstellungen, bestimmte, wiederholbare Prozesse befolgen können, wodurch Konsistenz und Einhaltung bewährter Sicherheitspraktiken sichergestellt werden. Um sensible Daten in AWS zu schützen, stehen verschiedene Ansätze zur Verfügung, darunter Verschlüsselung, Tokenisierung und Zugriffskontrolle. Ihre Wirksamkeit hängt jedoch stark von einer kontinuierlichen Sicherheitsüberwachung und einer sorgfältigen Konfiguration der Sicherheitsrichtlinien ab. Nachfolgend finden Sie einige der bemerkenswertesten Best Practices für AWS DLP.

1. Verwenden Sie AWS-Verschlüsselung

Amazon S3 bietet eine automatische Verschlüsselung für ruhende Daten mit verschiedenen Optionen. Bei AWS Managed Keys (SSE-S3) werden neben der Multi-Faktor-Verschlüsselung auch eindeutige Schlüssel zur Verschlüsselung verwendet. Der Verschlüsselungsprozess erfolgt serverseitig mittels 256-Bit AES-256. Die Verwendung von AWS KMS-Managed Keys (SSE-KMS) bietet einen Audit-Trail der Schlüsselverwendung und ermöglicht die Generierung und Verwaltung von Schlüsseln über den Service. Diese Schlüssel können auch zur clientseitigen Verschlüsselung verwendet werden. Mit vom Kunden bereitgestellten Schlüsseln (SSE-C) können Benutzer ihre eigenen Schlüssel erstellen oder einen Drittanbieterdienst nutzen. Amazon übernimmt die serverseitige Verschlüsselung, die clientseitige Verschlüsselung liegt jedoch normalerweise in der Verantwortung des Kunden.

2. Überwachen Sie S3-Buckets sorgfältig

Das S3-„Shared-Responsibility“-Modell von Amazon bedeutet, dass Amazon für die externe Umgebung verantwortlich ist, während sich Ihr Unternehmen auf die Gewährleistung der Sicherheit der Daten im S3-Container konzentrieren muss. Allerdings müssen nicht nur die Daten im Bucket überwacht werden. In den letzten Jahren haben wir eine Reihe öffentlichkeitswirksamer Datenverstöße beobachtet, die durch falsch konfigurierte oder „undichte“ Buckets verursacht wurden. Daher ist es von entscheidender Bedeutung, sowohl den Zugriff und die Nutzung der Daten als auch alle Änderungen an den Konfigurationsoptionen zu überwachen, die die Sicherheit des Buckets bestimmen.

3. Lokalisieren und klassifizieren Sie alle sensiblen Daten

Unternehmen müssen ihre sensiblen Daten vor sich entwickelnden Bedrohungen schützen. Dazu gehört die Klassifizierung von Daten, um geeignete Sicherheitsmaßnahmen festzulegen. Über einfache öffentliche oder private Beschreibungen hinaus sollte die Datenklassifizierung verschiedene Ebenen der Datensensibilität umfassen. Die Datenklassifizierung kann von Tools verwendet werden, die Datenverluste erkennen und verhindern. Zum Beispiel:

UBA-Lösungen (User Behavior Analytics) verwenden häufig Techniken des maschinellen Lernens (ML), um verdächtige Aktivitäten basierend auf Ihrem Datenklassifizierungsschema automatisch zu erkennen. Durch die Integration von UBA mit Echtzeitwarnungen basierend auf vordefinierten Schwellenwerten können Unternehmen Datenverluste proaktiv verhindern.

Es ist nichts wert, dass Amazon Macie fortschrittliche Mustervergleichstechniken verwendet, um sensible Daten zu lokalisieren, und so die Grundlage für ein robustes DLP-Framework bildet. Dieses Framework besteht aus drei Hauptkomponenten: Überwachung, Richtliniendurchsetzung und Automatisierung. Die Überwachung umfasst die kontinuierliche Überwachung des Netzwerkausgangs, öffentlich zugänglicher Geräte und Konfigurationsänderungen und löst Warnungen bei unbefugtem Zugriff oder Abweichungen von Sicherheitsrichtlinien aus. Die Durchsetzung von Richtlinien erfordert die Erstellung spezifischer Regeln auf der Grundlage der Datenklassifizierung und die Nutzung von Diensten wie AWS Organizations und AWS Config, um die Einhaltung sicherzustellen.

4. Schwimmbahn-Isolierung

Durch die Swim-Lane-Isolation werden Microservices je nach Ihren Geschäftsanforderungen in separate Domänen organisiert und ermöglichen so eine eindeutige Aufgabentrennung zwischen verschiedenen Rollen. Diese Trennung schafft eine Datenzugriffsstruktur, die nur bestimmte APIs auf die Berechtigung zum Anzeigen oder Bearbeiten von Daten beschränkt und so jegliche Datenlecks von sichereren Domänen zu weniger sicheren Domänen verhindert. Beispielsweise könnte eine Bank über eine Swimlane-Isolierung zwischen ihren Zahlungsdomänen-APIs (hochsensible Daten) und ihren Marketingdomänen-APIs (öffentlich verfügbare Daten) verfügen. Die Implementierung der Swim-Lane-Isolierung umfasst eine Mischung aus IAM-Kontrollen und ACLs, die auf die spezifischen Anforderungen jeder Domäne zugeschnitten sind.