Come Garantire la Conformità per Amazon RDS

Garantire la conformità negli ambienti di Amazon RDS è essenziale per proteggere le informazioni sensibili e soddisfare requisiti normativi rigorosi. Amazon RDS, che supporta database come PostgreSQL, MySQL, SQL Server e altri, offre funzionalità native per l’audit in tempo reale, il mascheramento dinamico dei dati, la scoperta e la sicurezza. Potenziare queste capacità con soluzioni come DataSunrise ottimizza ulteriormente la conformità, l’efficienza e la riduzione dei rischi.

Scopra Data Compliance e Regulatory Compliance per approfondire i framework robusti.

Funzionalità di Conformità Native in Amazon RDS

Configurazione dell’Audit in Tempo Reale

Per Amazon RDS per PostgreSQL, l’audit sfrutta l’estensione pgaudit, consentendo un tracciamento completo delle attività.

Abiliti pgaudit modificando il gruppo di parametri del DB:

pgaudit.log = 'all'
pgaudit.role = 'rds_pgaudit'
log_statement = 'none'
log_connections = 1
log_disconnections = 1

Quindi crei un ruolo di audit e lo assegni agli utenti necessari:

CREATE ROLE rds_pgaudit;
GRANT rds_pgaudit TO myuser;

Dopo aver configurato il ruolo di audit, configuri la sua istanza RDS per applicare questi parametri associando il gruppo di parametri modificato.

Per consultare i log di audit, interroghi i log PostgreSQL memorizzati in Amazon CloudWatch:

SELECT * FROM pg_catalog.pg_log WHERE log_time > now() - interval '1 day';

Questa configurazione fornisce un logging dettagliato per DML, DDL e modifiche di ruoli, permettendo la conformità con GDPR, HIPAA e PCI DSS.

Per approfondimenti su come creare raccolte centralizzate di audit, AWS offre indicazioni su come realizzare una raccolta centralizzata dei dati di audit per Amazon RDS per PostgreSQL utilizzando Amazon S3 e Amazon Athena.

Mascheramento Dinamico dei Dati

Il mascheramento dinamico nasconde i dati sensibili in modo dinamico senza alterare lo storage sottostante. Per PostgreSQL su RDS, il mascheramento dinamico dei dati viene implementato utilizzando viste:

CREATE VIEW masked_users AS
SELECT id,
       username,
       CONCAT('***', RIGHT(email, 4)) AS masked_email,
       CASE 
           WHEN LENGTH(phone) > 4 THEN CONCAT('****', RIGHT(phone, 4))
           ELSE '****'
       END AS masked_phone
FROM users;

Può controllare l’accesso alla tabella originale concedendo privilegi SELECT solo sulla vista mascherata.

Questo protegge le informazioni personali (PII) mantenendo la funzionalità dell’applicazione, come descritto nella guida al mascheramento dinamico dei dati per Amazon RDS PostgreSQL e Aurora.

Scoperta e Classificazione dei Dati

La scoperta dei dati sensibili nelle istanze RDS può essere realizzata tramite l’integrazione con Amazon Macie. Macie identifica e classifica automaticamente tipi di dati sensibili come PII e PHI, come illustrato nella guida all’abilitazione della classificazione dei dati per Amazon RDS con Macie.

Inoltre, una scoperta più ampia dei dati in tutto l’ecosistema RDS è possibile con AWS DataZone.

Esempio di query per verificare manualmente i pattern comuni di dati sensibili:

SELECT table_schema, table_name, column_name
FROM information_schema.columns
WHERE column_name ILIKE '%ssn%' OR column_name ILIKE '%credit%';

Questo approccio consente di dare priorità alle tabelle per ulteriori verifiche e classificazioni.

Buone Pratiche di Sicurezza

Amazon RDS raccomanda la crittografia, il controllo degli accessi e il monitoraggio delle attività. Le migliori pratiche per la sicurezza dei database RDS sono descritte nelle linee guida AWS per le migliori pratiche di crittografia per RDS e nella guida alle migliori pratiche di sicurezza per le istanze Amazon RDS MySQL e MariaDB.

Ad esempio, abiliti la crittografia at rest creando un’istanza RDS crittografata:

aws rds create-db-instance \
    --db-instance-identifier mydb \
    --allocated-storage 20 \
    --db-instance-class db.t3.micro \
    --engine postgres \
    --master-username admin \
    --master-user-password secret99 \
    --storage-encrypted

Imponi sempre connessioni SSL/TLS impostando il parametro rds.force_ssl=1 nel gruppo di parametri.

Ottimizzare la Conformità con DataSunrise

Sebbene le funzionalità native di AWS siano potenti, estendere l’automazione della conformità con DataSunrise Data Audit e DataSunrise Compliance Manager offre un controllo a livello aziendale.

Miglioramento dell’Audit in Tempo Reale

DataSunrise supporta il monitoraggio in tempo reale su Amazon RDS PostgreSQL e altri motori, offrendo:

• Log di Audit Continui

• Tracce di Audit Personalizzabili

• Regole di Audit Intelligenti che si adattano ai pattern comportamentali

Questo approccio consente di rilevare immediatamente anomalie, minimizzando l’esposizione al rischio.

Precisione del Mascheramento Dinamico

Il mascheramento dinamico dei dati in DataSunrise applica tecniche di “Mascheramento a Precisione Chirurgica” come dettagliato nella guida al mascheramento dinamico dei dati. Le politiche di mascheramento si adattano automaticamente a:

• Ruoli

• Contesti della Query

• Colonne specifiche del database

Questa configurazione flessibile rafforza la protezione contro le minacce interne pur mantenendo una buona esperienza utente.

Scoperta Avanzata dei Dati

DataSunrise scopre automaticamente i dati sensibili utilizzando capacità NLP e OCR, come illustrato nell’articolo sulla scoperta dei dati. Questo va oltre il semplice tagging, identificando campi sensibili nascosti sia nei dati strutturati che in quelli non strutturati.

Controlli di Sicurezza Rafforzati

Implementare le DataSunrise Security Rules garantisce una difesa avanzata contro SQL injection, comportamenti sospetti e tentativi di accesso non autorizzati. Il framework del Role-Based Access Control assicura che le autorizzazioni di accesso siano strettamente allineate ai doveri degli utenti.

Scopra di più su Data-Inspired Security per comprendere come il rilevamento delle minacce rafforzi la conformità.

Automazione della Conformità

Il Compliance Autopilot di DataSunrise calibra continuamente le regole in linea con framework come GDPR, HIPAA e PCI DSS, eliminando deviazioni manuali.

Genera automaticamente Report Pronti per l’Audit per semplificare la preparazione delle prove per gli audit normativi.

Conclusione

L’applicazione nativa in Amazon RDS dell’audit in tempo reale, del mascheramento dinamico dei dati e della scoperta completa fornisce una solida base di conformità. Tuttavia, combinare queste funzionalità native con l’Orchestrazione Autonoma della Conformità di DataSunrise eleva la sicurezza, riduce le lacune di conformità e migliora l’efficienza operativa.

Assicuri che il suo percorso di conformità su Amazon RDS sia senza sforzi e pronto per l’audit. Scopra di più e prenoti una demo con DataSunrise oggi stesso.