Uma empresa usa tópicos do Amazon Simple Notification Service (Amazon SNS) para publicar mensagens de componentes de aplicativos em serviços de log personalizados. A empresa está preocupada que dados confidenciais possam ser publicados e, em seguida, expostos em logs de transações e depuração. Qual solução protege dados confidenciais nessas mensagens do SNS contra exposição acidental?

A proteção de dados de mensagens do Amazon SNS permite a detecção e desidentificação de dados confidenciais em mensagens. Ao configurar uma política de proteção de dados de entrada com a operação De-identify, o SNS pode automaticamente mascarar, redigir ou hashear informações sensíveis antes que as mensagens sejam entregues aos assinantes ou persistidas em logs. Isso garante que dados confidenciais não sejam expostos acidentalmente em logs de transações e depuração. As outras opções são menos eficazes para este cenário: O Amazon Macie é uma ferramenta de descoberta de dados e não de desidentificação em tempo real para mensagens do SNS. A ação de mascaramento via Lambda seria reativa e não preventiva. A criptografia do lado do servidor (SSE) com AWS KMS protege os dados em repouso e em trânsito, mas não desidentifica o conteúdo da mensagem. Os dados ainda estariam legíveis após a descriptografia. O Amazon GuardDuty e o AWS Security Hub são ferramentas de detecção de ameaças e gerenciamento de segurança, respectivamente. Embora possam identificar dados confidenciais, não oferecem uma solução nativa e proativa para desidentificar mensagens do SNS antes da entrega.