Task 3.2: Data Security & Privacy

Task 3.2: Data security và privacy controls

Skill 3.2.1: Protected AI environments

Kiến thức cần nắm:

  • VPC endpoints cho network isolation
  • IAM policies cho secure data access
  • AWS Lake Formation cho granular data access
  • CloudWatch cho data access monitoring

Giải thích chi tiết:

Network Security cho GenAI:

┌─────────────────────────────────────┐
│              VPC                     │
│  ┌──────────────────────────────┐   │
│  │      Private Subnet          │   │
│  │  ┌────────┐  ┌────────────┐  │   │
│  │  │ Lambda │  │ SageMaker  │  │   │
│  │  └───┬────┘  └─────┬──────┘  │   │
│  │      │             │         │   │
│  │  ┌───▼─────────────▼──────┐  │   │
│  │  │   VPC Endpoint         │  │   │
│  │  │   (Bedrock Runtime)    │  │   │
│  │  └────────────────────────┘  │   │
│  └──────────────────────────────┘   │
└─────────────────────────────────────┘

VPC Endpoints cho Bedrock:

  • com.amazonaws.{region}.bedrock-runtime — Cho model invocation
  • com.amazonaws.{region}.bedrock — Cho management APIs
  • Traffic không đi qua public internet

IAM Best Practices:

  • Least privilege: chỉ cho phép invoke specific models
  • Resource-based policies cho cross-account access
  • Service control policies (SCPs) cho organizational controls

Skill 3.2.2: Privacy-preserving systems

Kiến thức cần nắm:

  • Amazon Comprehend PII detection
  • Amazon Macie cho sensitive data discovery
  • Amazon Bedrock native data privacy features
  • Bedrock Guardrails cho PII filtering trong outputs
  • S3 Lifecycle configurations cho data retention

Giải thích chi tiết:

PII Protection Pipeline:

StageServiceAction
Data at restAmazon MacieScan S3 buckets cho sensitive data
Input processingComprehendDetect PII trong user inputs
During inferenceBedrock GuardrailsRedact PII trong prompts
Output processingBedrock GuardrailsFilter PII trong responses
Data retentionS3 LifecycleAuto-delete logs sau retention period

Amazon Bedrock Guardrails có thể tự động detect và redact PII trong cả input và output. Đây là cách đơn giản nhất để bảo vệ PII trong GenAI applications.

Bedrock Data Privacy:

  • Bedrock không sử dụng customer data để train models
  • Data encrypted in transit (TLS 1.2+) và at rest (KMS)
  • Opt-in cho model invocation logging
  • Data không rời khỏi AWS Region

Skill 3.2.3: Privacy-focused AI systems

Kiến thức cần nắm:

  • Data masking techniques
  • Anonymization strategies
  • Bedrock Guardrails cho PII redaction

Giải thích chi tiết:

Data Masking Strategies:

TechniqueMô tảUse Case
RedactionXóa hoàn toàn PIILogs, audit trails
MaskingThay thế bằng placeholder[EMAIL], [PHONE]
TokenizationThay thế bằng tokenReversible, cho processing
GeneralizationGiảm specificity“30-40 tuổi” thay vì “35 tuổi”

Tài liệu tham khảo