c2.19 機微データを検出する
最も機微なデータ（「クラウンジュエル」）とその置き場所を定義し、Amazon Macie を使って、そのデータが実際にどこにあるかを見つけます。多くの場合、想定外の場所にあります。
実装ガイダンス
クラウンジュエルを把握し、そして見つける
まず、組織にとって最も機微なデータと、それが本来どこに置かれるべきかを定義します。実際には、機微データは想定より多くの場所に存在するため、それを検出する手段が必要です。
Amazon Macie でスキャンする
Amazon Macie は、AWS 管理のデータ識別子（クレジットカード、ID 番号、アクセスキー、連絡先、その他の PII）を使い、Amazon S3 のデータ全体で機微データの検出を行います。自社・業界・地域に固有のデータには、カスタムデータ識別子（正規表現）を追加します。Macie はバケットのセキュリティ態勢（公開アクセス、暗号化、共有）も報告します。
データベースやその他のストア
データベース内の機微データには、AWS Marketplace のパートナーソリューションが役立ちます。検出した内容は、データ分類とコンプライアンスのプロセスにフィードバックします。
CLI で有効化してスキャンする
Macie を有効化し、特定のバケットに対して機密データ検出ジョブを 1 回実行します:
aws macie2 enable-macie
aws macie2 create-classification-job \
--job-type ONE_TIME \
--name discover-sensitive-data \
--s3-job-definition '{"bucketDefinitions":[{"accountId":"111122223333","buckets":["my-bucket"]}]}'How to validate
- 最も機微なデータと、それが本来どこに置かれるべきかを定義していますか？
- ストレージ全体で機微データを検出するために Amazon Macie（または同等品）を使っていますか？
- 管理された識別子だけでなく、組織固有のカスタムデータパターンもカバーしていますか？
Threats addressed
- 想定外の、あるいは監視されていない場所にある機微データは、偶発的に露出しやすく（公開バケット、暗号化されていないコピー）、そこにあると認識していないと保護も困難です。
AWS サービス
Amazon Macie 
Amazon S3 料金
無料トライアル · 30 日間
Macie には、バケットとアクセスの評価（データセキュリティ態勢）向けに 30 日間の無料トライアルがあり、無料利用枠には月 1 GB の機微データ検出が含まれます。サービスを有効化するだけで、それを超える検出ジョブを実行しなければ、トライアル期間中は課金されません。Amazon Macie の料金を参照してください。