Привіт.

Думаю, що аудитори натякають на статтю 25 в ЕС законі про GDRP:

Art. 25 GDPR Data protection by design and by default:

...the controller shall, ... implement appropriate technical and organisational measures, such as pseudonymisation, …

Pseudonymisation/Псевдонімізація - це процедура управління даними та деідентифікація, за допомогою якої інформаційні поля, що ідентифікують особу, у записі даних замінюються одним або кількома штучними ідентифікаторами або псевдонімами - https://uk.wikipedia.org/wiki/Псевдонімізація

Простими словами: береш персональні данні, пропускаєш через AES-GCM-SIV і результат зберігаєш в Postgtres

Ось тут стаття як це зробити на AWS https://aws.amazon.com/blogs/big-data/part-1-build-a-pseudonymization-service-on-aws-to-protect-sensitive-data/

Максим

On 22 Jun 2023, at 08:12, Oleh Hrynchuk <oleh.hrynchuk@gmail.com> wrote:

Панове, добргго дня.

Є таке питання...

Кантора, яка нам робить ІТ sec аудит, висловила в report'i зауваження щодо PI data (Personal Information - first/last name, email, phone numbers, address, enrolled courses etc).

Суть зауваження - тримати PI data в EC2 snapshots неприпустимо (я ще не розбирався яким нормативним актом USA це обумовлено. Може підкажете, хто знає?).
Але справа в тому, що ці дані знаходяться в PostgreSQL DB.

То як досвідчені люди виходять з цього положення?

AWS EC2/RDS/etc snapshots не передбачають жодних excludes.
А створювати проміжний copy-інстанс, викушувати з його PostgreSQL'a ці PI data і аж потім робити snapshot - то якийсь маразм.

Та й взагалі ця вимога здається трохи якоюсь параноїдальною.. адже втрачається зміст самого snapshot'a.
Як тоді з нього швидко відновити інстанс при потребі?

Є ще один варіант (ще не знаю, чи він підходящий для аудиторів) - прямо в PostgreSQL тримати всі PI data encrypted. Відповідно, вони будуть encrypted і в снепшотах.
Хтось таке використовує?


Буду вдячний за поради.

--

Regards,
/oleh hrynchuk

_______________________________________________
uanog mailing list
uanog@uanog.kiev.ua
https://mailman.uanog.kiev.ua/mailman/listinfo/uanog

_______________________________________________
uanog mailing list
uanog@uanog.kiev.ua
https://mailman.uanog.kiev.ua/mailman/listinfo/uanog