Comment garantir la conformité pour Amazon RDS
Assurer la conformité dans les environnements Amazon RDS est essentiel pour protéger les informations sensibles et respecter des exigences réglementaires strictes. Amazon RDS, qui prend en charge des bases de données telles que PostgreSQL, MySQL, SQL Server et d’autres, offre des fonctionnalités natives pour l’audit en temps réel, le masquage dynamique des données, la découverte et la sécurité. L’amélioration de ces capacités avec des solutions telles que DataSunrise optimise davantage la conformité, l’efficacité et la réduction des risques.
Découvrez la Conformité des données et la Conformité réglementaire pour en savoir plus sur des cadres robustes.
Fonctionnalités natives de conformité dans Amazon RDS
Configuration de l’audit en temps réel
Pour Amazon RDS pour PostgreSQL, l’audit utilise l’extension pgaudit, permettant un suivi complet des activités.
Activez pgaudit en modifiant le groupe de paramètres de la base de données :
pgaudit.log = 'all'
pgaudit.role = 'rds_pgaudit'
log_statement = 'none'
log_connections = 1
log_disconnections = 1
Ensuite, créez un rôle d’audit et accordez-le aux utilisateurs nécessaires :
CREATE ROLE rds_pgaudit;
GRANT rds_pgaudit TO myuser;
Après avoir configuré le rôle d’audit, configurez votre instance RDS pour appliquer ces paramètres en associant le groupe de paramètres modifié.
Pour consulter les journaux d’audit, interrogez les journaux PostgreSQL stockés dans Amazon CloudWatch :
SELECT * FROM pg_catalog.pg_log WHERE log_time > now() - interval '1 day';
Cette configuration fournit une journalisation détaillée des modifications DML, DDL et des changements de rôles, facilitant ainsi la conformité avec le RGPD, la HIPAA et le PCI DSS.
Pour obtenir des informations plus détaillées sur la création de collectes d’audit centralisées, AWS fournit des conseils sur la création d’une collecte centralisée de données d’audit pour Amazon RDS pour PostgreSQL en utilisant Amazon S3 et Amazon Athena.
Masquage dynamique des données
Le masquage dynamique cache les données sensibles de manière dynamique sans altérer le stockage sous-jacent. Pour PostgreSQL sur RDS, le masquage dynamique est mis en œuvre à l’aide de vues :
CREATE VIEW masked_users AS
SELECT id,
username,
CONCAT('***', RIGHT(email, 4)) AS masked_email,
CASE
WHEN LENGTH(phone) > 4 THEN CONCAT('****', RIGHT(phone, 4))
ELSE '****'
END AS masked_phone
FROM users;
Vous pouvez contrôler l’accès à la table d’origine en accordant uniquement des privilèges SELECT sur la vue masquée.
Cela protège les informations personnelles tout en maintenant la fonctionnalité de l’application, comme décrit dans le guide sur le masquage dynamique des données pour Amazon RDS PostgreSQL et Aurora.
Découverte et classification des données
La découverte de données sensibles dans les instances RDS peut être réalisée grâce à l’intégration avec Amazon Macie. Macie identifie et classe automatiquement les types de données sensibles, tels que les informations personnelles (PII) et les informations de santé (PHI), comme le montre le guide sur l’activation de la classification des données pour Amazon RDS avec Macie.
De plus, une découverte de données plus étendue dans votre écosystème RDS est possible avec AWS DataZone.
Exemple de requête pour vérifier manuellement les modèles de données sensibles courants :
SELECT table_schema, table_name, column_name
FROM information_schema.columns
WHERE column_name ILIKE '%ssn%' OR column_name ILIKE '%credit%';
Cette approche permet de prioriser les tables pour un examen et une classification plus approfondis.
Meilleures pratiques de sécurité
Amazon RDS recommande le chiffrement, le contrôle d’accès et la surveillance des activités. Les meilleures pratiques pour sécuriser les bases de données RDS sont détaillées dans le guide des meilleures pratiques de chiffrement AWS pour RDS et dans le guide des meilleures pratiques de sécurité pour les instances Amazon RDS MySQL et MariaDB.
Par exemple, activez le chiffrement au repos en créant une instance RDS chiffrée :
aws rds create-db-instance \
--db-instance-identifier mydb \
--allocated-storage 20 \
--db-instance-class db.t3.micro \
--engine postgres \
--master-username admin \
--master-user-password secret99 \
--storage-encrypted
Appliquez toujours des connexions SSL/TLS en définissant le paramètre rds.force_ssl=1 dans votre groupe de paramètres.
Optimiser la conformité avec DataSunrise
Bien que les fonctionnalités natives d’AWS soient puissantes, étendre l’automatisation de la conformité avec DataSunrise Data Audit et DataSunrise Compliance Manager offre un contrôle de niveau entreprise.
Amélioration de l’audit en temps réel
DataSunrise prend en charge la surveillance en temps réel sur Amazon RDS PostgreSQL et d’autres moteurs, offrant :
Des règles d’audit intelligentes adaptatives aux comportements
Cette approche permet de détecter instantanément les anomalies, minimisant ainsi l’exposition aux risques.
Précision du masquage dynamique
Le masquage dynamique des données dans DataSunrise applique des techniques de « Masquage de Précision Chirurgicale » telles que détaillées dans le guide du masquage dynamique des données. Les politiques de masquage s’adaptent automatiquement à :
Les rôles
Les contextes de requête
Les colonnes spécifiques de la base de données
Cette configuration flexible renforce la protection contre les menaces internes tout en préservant l’expérience utilisateur.
Découverte avancée des données
DataSunrise découvre automatiquement les données sensibles à l’aide de capacités NLP et OCR, comme indiqué dans l’article sur la découverte des données. Cela va au-delà de l’étiquetage basique, en identifiant les champs sensibles cachés à travers des données structurées et non structurées.
Contrôles de sécurité renforcés
Le déploiement des Règles de sécurité DataSunrise garantit une défense avancée contre les injections SQL, les comportements suspects et les tentatives d’accès non autorisées. Le cadre de Contrôle d’accès basé sur les rôles veille à ce que les autorisations d’accès correspondent strictement aux fonctions des utilisateurs.
Découvrez-en davantage sur la Sécurité Inspirée par les Données pour comprendre comment la détection des menaces améliore la conformité.
Automatisation de la conformité
Le Compliance Autopilot de DataSunrise ajuste en continu les règles selon des cadres tels que le RGPD, HIPAA et le PCI DSS, éliminant ainsi les dérives manuelles.
Il génère automatiquement des rapports prêts pour l’audit pour faciliter la préparation des preuves lors des audits réglementaires.
Conclusion
L’application de l’audit en temps réel, du masquage dynamique et d’une découverte complète au sein d’Amazon RDS offre une base solide pour la conformité. Cependant, combiner ces fonctionnalités natives avec l’Orchestration autonome de la conformité de DataSunrise renforce la sécurité, réduit les lacunes en matière de conformité et améliore l’efficacité opérationnelle.
Assurez-vous que votre parcours de conformité avec Amazon RDS soit sans effort et prêt pour l’audit. En savoir plus et planifiez une démonstration avec DataSunrise dès aujourd’hui.
