AWS  z odsieczą przy zmianach w GDPR – AWS GuardDuty, Macie i Inspector, czyli usługi AWS, które pomogą w zgodności ze zmianami w prawie dotyczącym danych osobowych.

Zbliżające się nieuchronnie wejście w życie rozporządzenia o ochronie danych osobowych i swobodnym ich przepływie [Pełna nazwa: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) https://giodo.gov.pl/pl/569/9276] , mrozi krew w żyłach nie jednemu inspektorowi zajmującemu się nadzorowaniem tego obszaru. Działania podjęte przez Komisję Europejską mają na celu usprawnienie procesów związanych z zarządzaniem danymi oraz ich przechowywaniem. Amazon Web Services skupił się przede wszystkim na szyfrowaniu danych oraz sposobie ich deponowania w chmurze. Możliwości jakie niesie za sobą zabezpieczenie szyfrowania jest jednym ze skuteczniejszych sposobów zabezpieczenia. Jest ono stosowane w AWS przy takich usługach jak EC2 czy S3 oraz poprzez zarządzanie głównym kluczem klienta.

Poniższy schemat przedstawia opisane rozwiązanie zaproponowane w celu umożliwienia EC2 zaszyfrowanie magazynu instancji.

źródło: GDPR Compliance on AWS

Ale czy to wszystko co przygotował AWS dla swoich klientów? Biorąc pod uwagę możliwości i konsekwencje jakie niesie za sobą rozporządzenie o ochronie i przetwarzaniu danych osobowych, Amazon Web Services wprowadził szereg usług i rozwiązań, które umożliwiają dostosowanie ich zgodnie z potrzebami użytkownika. W myśl głównych założeń rozporządzenia:

• prawa do przenoszenia danych
• prawa do bycia zapomnianym
• privacy by design – zasadzie uwzględniającej ochronę danych osobowych w fazie projektowania
• powiadomieniom o naruszeniu ochrony danych

powstały takie narzędzia jak GuardDuty, Macie czy Inspector.

Są one kompatybilne i skuteczne w przygotowaniu i wdrożeniu mających wejść w życie przepisów.

Będąc partnerem AWS w statusie Advanced możemy zaoferować projekt usług opartych na najlepszych praktykach AWS w zakresie zabezpieczeń (AWS Security Best Practices). Pomagamy w zapewnieniu najwyższej jakości ochrony danych oraz zapewniamy  zgodność z RODO. Jesteśmy również przygotowani do przeprowadzenia weryfikacji i monitorowania wszelkich alertów związanych z zabezpieczeniami danych.

Przy prowadzeniu działań zabezpieczających, warto również przyjrzeć się kodeksowi CISPE (Dostawców Usług Infrastruktury Chmurowej w Europie). To rozporządzenie z 27 kwietnia 2016 r., stworzone z inicjatywy CISPE,przyjęte przez Parlament Europejski, które odnosi się do dziedziny ochrony danych osobowych i jest zgodne z wymogiem RODO/GDPR w kwestii przetwarzania i magazynowania danych w obrębie UE.

Precyzuje wytyczne właściwego wykorzystania chmury, między innymi na określenie ról pomiędzy klientem a dostawcą usługi w zakresie infrastruktury chmurowej. Rekomendacje kodeksu, zapewniają również transparentność dostawcy usługi, który zobowiązany jest do niezwłocznego powiadomienia o wszystkich nieścisłościach takich jak np. usunięcie danych czy niewłaściwe ich przetworzenie. Wszelkie informacje dotyczące praktyk i postępowania z ochroną danych osobowych i ich przetwarzaniem można znaleźć bezpośrednio na stronie CISPE. Kodeksy, rozporządzenia oraz zasady dobrych praktyk wyznaczają pewien obręb działań, które mają na celu zapewnienie bezpieczeństwa – tak też AWS aktywnie poszukuje nowych rozwiązań, stosując przy projektowaniu swoich usług AWS Security Best Practices, którymi dzieli się na swoim blogu (AWS Security Blog).

Każda zmiana w prawie wymaga specjalnie dostosowanych działań i ich realizacji w taki sposób, aby spełniały najbardziej surowe kryteria. Transformacje te dotknęły każdej branży, a w dzisiejszym świecie ciągłego rozwoju nowych technologii oraz dobie informacji Amazon Web Services spełnia wszelkie wymogi.  W przygotowaniach do zaostrzeń w przepisach nasz Partner postawił na takie usługi jak Amazon GuardDuty, Amazon Macie i Amazon Inspector, uzupełniająch propozycje – AWS Config Rules. Przyjrzyjmy się bliżej każdemu z narzędzi i ich działaniu.

Amazon GuardDuty ma za zadanie ochronę kont AWS oraz zarządzanie zagrożeniami. Sama usługa nie wymaga wdrożenia oprogramowania i utrzymania infrastruktury. Klient płaci wyłącznie za przeanalizowane wydarzenia. Wystarczy kilka kliknięć w konsoli aby skonfigurować cały proces, który praktycznie w trybie natychmiastowym bierze pod lupę miliony a nawet i miliardy zdarzeń na Twoich kontach, wykrywając wszelkie zagrożenia. Cały proces został zaprojektowany tak, żeby zoptymalizować działanie usługi oraz zminimalizować koszty. Dodatkowo zautomatyzowany proces zarządzania zasobami i kontami AWS pozwala na zaprojektowanie ekonomicznej architektury, której wydajność zapewnia bezpieczeństwo bez dodatkowych kosztów dla klienta.

Jak to działa? Poniżej schemat przygotowany przez AWS.

Kolejną usługą jest Amazon Macie – jest ona oparta na założeniach machine learning i ma na celu ochronę danych, które pozwalają na łatwą identyfikację osoby lub własności intelektualnej. Jej głównym zadaniem jest chronienie danych skumulowanych w S3.

Korzyści:

• łatwość i prostota w implementacji i użyciu
• automatyzacja bezpieczeństwa danych
• monitorowanie niestandardowych alertów

A jak to działa? Poniżej schemat od AWS.

Ostatnią, w pełni zautomatyzowaną, usługą jest Amazon Inspector. Pozwala  na dokładną ocenę bezpieczeństwa i zgodności wdrażanych usług. Korzysta z instancji EC2 i analizuje za pomocą specjalnie umieszczonego na nich agenta, wszelkie zagrożenia oraz luki w zabezpieczeniach. Podczas oceny istnieje również możliwość priorytetyzacji reguł, które są zamieszczane w późniejszych wnioskach w raporcie.

W ujęciu całościowych temat GDPR nie jest “aż tak straszny jak go malują”. Wystarczy podjąć temat analizy dotychczasowych rozwiązań i uzupełnić je o nowe. Czasem może być wymagana  zmiana na zupełnie innowacyjną koncepcję – z chęcią Ci w tym pomożemy. Zgodność naszych usług oraz dostarczonych przez AWS rozwiązań, jest współmierna do wymogów stawianych przez nadchodzące rozporządzenie.

Zachęcamy do zapoznania się z możliwościami naszego serwisu w zakładkach Bezpieczeństwo i zgodność oraz 24/7 Monitoring i wsparcie.