# SEC 7  如何对数据进行分类？ 分类提供了一种基于关键性和敏感度对数据进行分类的方法，以帮助您确定适当的保护和保留控制措施。 **Topics** + [SEC07-BP01 识别工作负载内的数据](sec_data_classification_identify_data.md) + [SEC07-BP02 定义数据保护控制措施](sec_data_classification_define_protection.md) + [SEC07-BP03 自动识别和分类](sec_data_classification_auto_classification.md) + [SEC07-BP04 定义数据生命周期管理](sec_data_classification_lifecycle_management.md) # SEC07-BP01 识别工作负载内的数据 您需要了解您的工作负载正在处理的数据的类型和分类、相关的业务流程、数据所有者、适用的法律和合规性要求、数据的存储位置以及因此需要实施的控制措施。这可能包括用于指明数据是可公开访问、仅供内部使用（例如客户的个人可识别信息 (PII)）还是受到更加严格的访问限制（例如知识产权、法律特权数据或敏感数据等等）的分类。通过谨慎管理适当的数据分级系统以及每个工作负载的保护要求级别，您可以匹配适用于数据的控制和访问或保护级别。例如，公开内容可供任何人访问，而重要内容则以受保护的方式进行加密和存储，需要授权访问密钥才能解密。 **未建立这种最佳实践的情况下暴露的风险等级：** 高 ## 实施指导 + 考虑使用 Amazon Macie 发现数据：Macie 可识别敏感数据，例如个人身份信息（PII，Personally Identifiable Information）或知识产权。 + [Amazon Macie](Amazon%20Macie%20recognizes%20sensitive%20data%20such%20as%20personally%20identifiable%20information%20(PII)%20or%20intellectual%20property,) ## 资源 **相关文档：** + [Amazon Macie](Amazon%20Macie%20recognizes%20sensitive%20data%20such%20as%20personally%20identifiable%20information%20(PII)%20or%20intellectual%20property,) + [数据分类白皮书](https://docs.aws.amazon.com/whitepapers/latest/data-classification/data-classification.html) + [开始使用 Amazon Macie](https://docs.aws.amazon.com/macie/latest/user/getting-started.html) **相关视频：** + [新 Amazon Macie 简介](https://youtu.be/I-ewoQekdXE) # SEC07-BP02 定义数据保护控制措施 根据数据分类级别保护数据。例如，使用相关建议保护分类为公共的数据，同时使用其他控制措施保护敏感数据。 通过使用资源标签、根据敏感度（可能还包括限制性条款、飞地或感兴趣的社区）划分 AWS 账户、IAM 策略、AWS Organizations SCP、AWS Key Management Service（AWS KMS）和 AWS CloudHSM，您可以定义并实施您的数据分类和加密保护策略。例如，如果您的项目具有包含极关键数据的 S3 存储桶或者处理机密数据的 Amazon Elastic Compute Cloud（Amazon EC2）实例，则可以使用 `Project=ABC` 标签对其进行标记。只有您的直属团队知道项目代码的含义，它提供了一种使用基于属性的访问控制措施的方法。您可以通过关键策略和授权定义对 AWS KMS 加密密钥的访问级别，以确保只有适当的服务可以通过安全机制访问敏感内容。如果您正在根据标签做出授权决定，您应确保在 AWS Organizations 中使用标签策略适当定义对于标签的权限。 **未建立此最佳实践暴露的风险等级：** 高 ## 实施指导 + 定义您的数据识别和分类架构：对数据执行标识和分类，用于评估您要存储的数据的潜在影响和类型，并确定谁可以访问数据。 + [AWS 文档](https://docs.aws.amazon.com/) + 发现可用的 AWS 控制措施：对于您正在使用或计划使用的 AWS 服务，发现安全控制措施。许多服务在其文档中都会提供一个安全部分。 + [AWS 文档](https://docs.aws.amazon.com/) + 确定 AWS 合规性资源：确定 AWS 为您提供帮助的资源。 + [https://aws.amazon.com/compliance/](https://aws.amazon.com/compliance/?ref=wellarchitected) ## 资源 **相关文档：** + [AWS 文档](https://docs.aws.amazon.com/) + [数据分类白皮书](https://docs.aws.amazon.com/whitepapers/latest/data-classification/data-classification.html) + [开始使用 Amazon Macie](https://docs.aws.amazon.com/macie/latest/user/getting-started.html) + [缺少文本](https://aws.amazon.com/compliance/) **相关视频：** + [新 Amazon Macie 简介](https://youtu.be/I-ewoQekdXE) # SEC07-BP03 自动识别和分类 自动识别和分类数据可帮助您实施正确的控制措施。在这方面实现自动化而不是允许人员直接访问，可以降低人为犯错和漏洞的风险。您应使用 [Amazon Macie](https://aws.amazon.com/macie/)等工具执行评估，这些工具使用机器学习来自动发现、分类和保护 Amazon Macie 中的敏感数据。AWS 可以识别个人身份信息（PII，Personally Identifiable Information）或知识产权之类的敏感数据，并为您提供控制面板和警报，让您了解此类数据的访问或移动情况。 **未建立此最佳实践暴露的风险等级：** 中 ## 实施指导 + 使用 Amazon Simple Storage Service（Amazon S3）清单：Amazon S3 清单是可以用来审核和报告对象的复制和加密状态的工具之一。 + [Amazon S3 清单](https://docs.aws.amazon.com/AmazonS3/latest/dev/storage-inventory.html) + 考虑使用 Amazon Macie：Amazon Macie 使用机器学习来自动发现存储在 Amazon S3 中的数据，并对其进行分类。 + [Amazon Macie](https://aws.amazon.com/macie/) ## 资源 **相关文档：** + [Amazon Macie](https://aws.amazon.com/macie/) + [Amazon S3 清单](https://docs.aws.amazon.com/AmazonS3/latest/dev/storage-inventory.html) + [数据分类白皮书](https://docs.aws.amazon.com/whitepapers/latest/data-classification/data-classification.html) + [开始使用 Amazon Macie](https://docs.aws.amazon.com/macie/latest/user/getting-started.html) **相关视频：** + [新 Amazon Macie 简介](https://youtu.be/I-ewoQekdXE) # SEC07-BP04 定义数据生命周期管理 您定义的生命周期策略应基于敏感度级别以及法律和组织要求。应考虑您的数据保留期限、数据销毁流程、数据访问管理、数据转换和数据共享等方面。当选择数据分类方法时，请平衡可用性与访问权限。您还应考虑多种访问级别及其细微差别，以便针对每个级别实施安全且有效的方法。始终采用深度防御方法并减少人工访问数据次数以及数据转换、删除或复制机制。例如，要求用户对应用程序执行严格身份验证，并为应用程序而不是用户授予执行远程操作的必要访问权限。此外，确保用户来自可信网络路径并要求其获取解密密钥。使用控制面板和自动报告等工具为用户提供数据信息，而不是让他们直接访问数据。 **未建立这种最佳实践的情况下暴露的风险等级：** 低 ## 实施指导 + 识别数据类型：确定您正在工作负载中存储或处理的数据类型。这些数据可以是文本、图像、二进制数据库等。 ## 资源 **相关文档：** + [数据分类白皮书](https://docs.aws.amazon.com/whitepapers/latest/data-classification/data-classification.html) + [开始使用 Amazon Macie](https://docs.aws.amazon.com/macie/latest/user/getting-started.html) **相关视频：** + [新 Amazon Macie 简介](https://youtu.be/I-ewoQekdXE)