Re: [uanog] SOC requirements for PI data

Щиро дякую! сб, 1 лип. 2023 р. о 13:40 Maksym Tulyuk пише:

Привіт.

Думаю, що аудитори натякають на статтю 25 в ЕС законі про GDRP: Art. 25 GDPR Data protection by design and by default: ...the controller shall, ... implement appropriate technical and organisational measures, such as pseudonymisation, …

Pseudonymisation/Псевдонімізація - це процедура управління даними та деідентифікація, за допомогою якої інформаційні поля, що ідентифікують особу, у записі даних замінюються одним або кількома штучними ідентифікаторами або псевдонімами - https://uk.wikipedia.org/wiki/Псевдонімізація

Простими словами: береш персональні данні, пропускаєш через AES-GCM-SIV і результат зберігаєш в Postgtres

Ось тут стаття як це зробити на AWS https://aws.amazon.com/blogs/big-data/part-1-build-a-pseudonymization-servic...

Максим

On 22 Jun 2023, at 08:12, Oleh Hrynchuk wrote:

Панове, добргго дня.

Є таке питання...

Кантора, яка нам робить ІТ sec аудит, висловила в report'i зауваження щодо PI data (Personal Information - first/last name, email, phone numbers, address, enrolled courses etc).

Суть зауваження - тримати PI data в EC2 snapshots неприпустимо (я ще не розбирався яким нормативним актом USA це обумовлено. Може підкажете, хто знає?). Але справа в тому, що ці дані знаходяться в PostgreSQL DB.

То як досвідчені люди виходять з цього положення?

AWS EC2/RDS/etc snapshots не передбачають жодних excludes. А створювати проміжний copy-інстанс, викушувати з його PostgreSQL'a ці PI data і аж потім робити snapshot - то якийсь маразм.

Та й взагалі ця вимога здається трохи якоюсь параноїдальною.. адже втрачається зміст самого snapshot'a. Як тоді з нього швидко відновити інстанс при потребі?

Є ще один варіант (ще не знаю, чи він підходящий для аудиторів) - прямо в PostgreSQL тримати всі PI data encrypted. Відповідно, вони будуть encrypted і в снепшотах. Хтось таке використовує?

Буду вдячний за поради.

-- Regards, /oleh hrynchuk _______________________________________________ uanog mailing list uanog@uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

_______________________________________________ uanog mailing list uanog@uanog.kiev.ua https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

-- Regards, /oleh hrynchuk