データ分類、暗号化、AWS KMS

AWS データストアの活用

Dunieski Otano

AWS Solutions Architect

防げたはずのデータ侵害

• 医療会社が患者記録をDynamoDBに保存
• 暗号化なし
• データ侵害により200万件の患者記録が流出
• HIPAA違反：5,000万ドルの罰金

データ分類の基礎

• データ分類の目的
  • 適切なセキュリティ制御の適用
  • コンプライアンス要件の充足
• 分類レベル
  • 公開、内部、機密、制限付き
• 誤分類の影響
  • 規制上の罰金、データ侵害

PII：個人を特定できる情報

• 直接識別子
  • 氏名、国民ID、メール、電話番号、住所
• 間接識別子
  • 生年月日、郵便番号、IPアドレス
• GDPRの要件
  • 同意、消去権、データ最小化

PHI：保護対象医療情報

• 医療情報
  • 診断、治療、処方、検査結果
• 健康識別子
  • 診療記録番号、保険ID
• HIPAAの要件
  • 暗号化、アクセス制御、監査ログ

AWS 責任共有モデル

• AWSがクラウド自体を保護
  • 物理的セキュリティ、ハードウェア、ネットワーク
• 利用者がクラウド内を保護
  • データ暗号化、IAMポリシー、アプリケーションコード
• 共有管理
  • パッチ管理、設定

AWS KMS による保存時の暗号化

• 保存時の暗号化とは
  • ディスクに保存されたデータを保護
• AWS KMS
  • 一元的なキー管理
  • 自動キーローテーション
• 各サービスで有効化
  • DynamoDB、S3、RDS、EBS

TLS による転送時の暗号化

• 転送時の暗号化とは
  • ネットワーク上のデータを保護
• TLS/HTTPS
  • 業界標準プロトコル
  • AWSではデフォルトで有効
• 証明書管理
  • AWS Certificate Manager（ACM）

Lambda 環境変数の暗号化

• 環境変数
  • Lambdaに設定を保存
• 保存時の暗号化
  • 関数作成時にKMSキーを選択
• 暗号化ヘルパー
  • コンソールからLambdaへの転送時に暗号化
• Secrets Manager：AWSセキュリティのベストプラクティス

練習しましょう！

AWS データストアの活用