Comment garantir la conformité d’Amazon RDS
Assurer la conformité dans les environnements Amazon RDS est essentiel pour protéger les informations sensibles et respecter des exigences réglementaires strictes. Amazon RDS, qui prend en charge des bases de données telles que PostgreSQL, MySQL, SQL Server et d’autres, offre des fonctionnalités natives pour l’audit en temps réel, le masquage dynamique des données, la découverte et la sécurité. L’optimisation de ces capacités grâce à des solutions comme DataSunrise permet d’améliorer la conformité, l’efficacité et de réduire les risques.
Découvrez la Conformité des Données et la Conformité Réglementaire pour en savoir plus sur des cadres robustes.
Capacités de conformité natives dans Amazon RDS
Configuration de l’audit en temps réel
Pour Amazon RDS pour PostgreSQL, l’audit utilise l’extension pgaudit, permettant un suivi complet des activités.
Activez pgaudit en modifiant le groupe de paramètres de la base de données :
pgaudit.log = 'all'
pgaudit.role = 'rds_pgaudit'
log_statement = 'none'
log_connections = 1
log_disconnections = 1
Ensuite, créez un rôle d’audit et accordez-le aux utilisateurs nécessaires :
CREATE ROLE rds_pgaudit;
GRANT rds_pgaudit TO myuser;
Après avoir configuré le rôle d’audit, configurez votre instance RDS pour appliquer ces paramètres en associant le groupe de paramètres modifié.
Pour consulter les journaux d’audit, interrogez les journaux PostgreSQL stockés dans Amazon CloudWatch :
SELECT * FROM pg_catalog.pg_log WHERE log_time > now() - interval '1 day';
Cette configuration fournit une journalisation détaillée pour les opérations DML, DDL et les modifications de rôle, permettant ainsi de respecter le RGPD, la HIPAA et le PCI DSS.
Pour obtenir des informations plus approfondies sur la création de collectes d’audit centralisées, AWS fournit des conseils sur la mise en place d’une collecte centralisée des données d’audit pour Amazon RDS pour PostgreSQL à l’aide d’Amazon S3 et d’Amazon Athena.
Masquage dynamique des données
Le masquage dynamique permet de dissimuler des données sensibles de façon dynamique sans modifier le stockage sous-jacent. Pour PostgreSQL sur RDS, le masquage dynamique est mis en œuvre à l’aide de vues :
CREATE VIEW masked_users AS
SELECT id,
username,
CONCAT('***', RIGHT(email, 4)) AS masked_email,
CASE
WHEN LENGTH(phone) > 4 THEN CONCAT('****', RIGHT(phone, 4))
ELSE '****'
END AS masked_phone
FROM users;
Vous pouvez contrôler l’accès à la table d’origine en accordant uniquement les privilèges SELECT sur la vue masquée.
Cela protège les données personnelles tout en préservant le fonctionnement de l’application, comme décrit dans le guide de masquage dynamique des données pour Amazon RDS PostgreSQL et Aurora.
Découverte et classification des données
La découverte de données sensibles dans les instances RDS peut être réalisée grâce à l’intégration avec Amazon Macie. Macie identifie et classe automatiquement les types de données sensibles comme les informations personnelles (PII) et les données de santé (PHI), comme indiqué dans le guide sur l’activation de la classification des données pour Amazon RDS avec Macie.
De plus, une découverte plus large des données dans l’ensemble de votre écosystème RDS est possible avec AWS DataZone.
Exemple de requête pour vérifier manuellement les motifs de données sensibles courants :
SELECT table_schema, table_name, column_name
FROM information_schema.columns
WHERE column_name ILIKE '%ssn%' OR column_name ILIKE '%credit%';
Cette approche permet de prioriser les tables pour un examen et une classification plus approfondis.
Bonnes pratiques de sécurité
Amazon RDS recommande le chiffrement, le contrôle d’accès et la surveillance de l’activité. Les bonnes pratiques pour sécuriser les bases de données RDS sont détaillées dans le guide des meilleures pratiques de chiffrement AWS pour RDS et le guide des meilleures pratiques de sécurité pour les instances Amazon RDS MySQL et MariaDB.
Par exemple, activez le chiffrement au repos en créant une instance RDS chiffrée :
aws rds create-db-instance \
--db-instance-identifier mydb \
--allocated-storage 20 \
--db-instance-class db.t3.micro \
--engine postgres \
--master-username admin \
--master-user-password secret99 \
--storage-encrypted
Appliquez toujours les connexions SSL/TLS en définissant le paramètre rds.force_ssl=1 dans votre groupe de paramètres.
Optimiser la conformité avec DataSunrise
Bien que les fonctionnalités natives d’AWS soient puissantes, étendre l’automatisation de la conformité avec DataSunrise Data Audit et DataSunrise Compliance Manager offre un contrôle de niveau entreprise.
Amélioration de l’audit en temps réel
DataSunrise prend en charge la surveillance en temps réel sur Amazon RDS PostgreSQL et d’autres moteurs, offrant :
Règles d’audit intelligentes d’apprentissage s’adaptant aux comportements
Cette approche permet une détection instantanée des anomalies, minimisant ainsi l’exposition aux risques.
Précision du masquage dynamique
Le masquage dynamique des données dans DataSunrise applique des techniques de « masquage de précision chirurgicale » comme détaillé dans le guide sur le masquage dynamique des données. Les politiques de masquage s’adaptent automatiquement à :
Les rôles
Les contextes de requêtes
Les colonnes spécifiques de la base de données
Cette configuration flexible renforce la protection contre les menaces internes tout en préservant l’expérience utilisateur.
Découverte avancée des données
DataSunrise découvre automatiquement les données sensibles en utilisant des capacités NLP et OCR, comme expliqué dans l’article sur la découverte des données. Cela va au-delà de l’étiquetage de base, en identifiant les champs sensibles cachés dans des données structurées et non structurées.
Renforcement des contrôles de sécurité
Le déploiement des Règles de sécurité DataSunrise assure une défense avancée contre les injections SQL, les comportements suspects et les tentatives d’accès non autorisées. Le cadre de Contrôle d’accès basé sur les rôles garantit que les permissions d’accès sont strictement alignées sur les fonctions des utilisateurs.
Découvrez-en davantage sur la Sécurité Inspirée par les Données pour comprendre comment la détection des menaces renforce la conformité.
Automatisation de la conformité
Le Compliance Autopilot de DataSunrise calibre en continu les règles par rapport à des cadres tels que RGPD, HIPAA et PCI DSS, éliminant ainsi toute dérive manuelle.
Il génère automatiquement des rapports prêts pour l’audit pour faciliter la préparation des preuves lors des audits réglementaires.
Conclusion
L’application de l’audit en temps réel, du masquage dynamique et d’une découverte complète en natif dans Amazon RDS fournit une base solide pour la conformité. Cependant, combiner ces fonctionnalités natives avec l’orchestration autonome de la conformité de DataSunrise renforce la sécurité, réduit les écarts de conformité et améliore l’efficacité opérationnelle.
Assurez-vous que votre parcours de conformité avec Amazon RDS soit sans effort et prêt pour l’audit. Pour en savoir plus et planifier une démonstration avec DataSunrise dès aujourd’hui.
