c6.2 Criptografe os dados do usuário e isole as sessões
Criptografe as entradas do usuário, o histórico de conversa e as saídas geradas pela IA com uma chave gerenciada pelo cliente, e isole as sessões para que o contexto de um usuário não possa alcançar o de outro.
Guia de implementação
Como implementar na AWS
Criptografe as entradas, o histórico de conversa e as saídas em trânsito (TLS 1.2+) e em repouso com uma chave KMS gerenciada pelo cliente (Q Developer, Quick e Kiro suportam chaves gerenciadas pelo cliente). Isole as sessões de usuário e defina políticas de retenção/memória alinhadas às suas obrigações de conformidade.
Critérios de aceitação
Os dados do usuário são criptografados com CMK em trânsito e em repouso; as sessões são isoladas por usuário; as políticas de retenção são aplicadas.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
As entradas do usuário, o histórico de conversa e as saídas são criptografados com CMK em trânsito e em repouso, as sessões são isoladas por usuário e a retenção se alinha às obrigações de conformidade.
- Criptografe as entradas, o histórico de conversa e as saídas em trânsito (TLS 1.2+) e em repouso com uma chave KMS gerenciada pelo cliente (Q Developer, Quick e Kiro suportam CMKs).Conta de aplicação
AWS KMS - Isole as sessões de usuário para que o contexto de um não possa alcançar o de outro.Conta de aplicação
IAM Identity Center - Defina políticas de retenção e memória alinhadas às suas obrigações de conformidade, e mantenha a chave KMS restrita aos papéis da app.Conta de aplicação AWS KMS
IAM
Como validar: Os dados do usuário são criptografados com CMK em trânsito e em repouso; as sessões são isoladas por usuário; as políticas de retenção são aplicadas.
Evite: Persistir o histórico de conversa em chaves padrão sem limite de retenção. Criptografe com sua própria chave e limite quanto tempo os dados do usuário vivem.
Criptografia CMK em trânsito e em repouso, isolamento de sessão por usuário e retenção imposta protegem os dados do usuário dentro da conta.
- Criptografe as entradas, o histórico e as saídas em trânsito (TLS 1.2+) e em repouso com uma chave KMS gerenciada pelo cliente.Camada de aplicação (papel IAM) AWS KMS
- Isole as sessões de usuário para evitar o vazamento de contexto entre usuários.Camada de aplicação (papel IAM) IAM Identity Center
- Imponha políticas de retenção/memória alinhadas à conformidade.Camada de aplicação (papel IAM) AWS KMS
Como validar: Os dados do usuário são criptografados com CMK em trânsito e em repouso; as sessões são isoladas; a retenção é aplicada.
Evite: Guardar todo o histórico do usuário para sempre em uma chave compartilhada. Limite a criptografia e a retenção ao que a conformidade exige.
Ameaças atendidas
- Entradas de usuário ou saídas de IA sensíveis legíveis se as chaves padrão ou o armazenamento forem comprometidos.
- Vazamento de dados entre sessões de usuário ou entre aplicações de IA.
Serviços AWS
AWS KMS AWS IAM Identity Center Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
NIST AI Risk Management Framework (AI 100-1)
- MANAGE.1 AI risks are prioritized, responded to and managed
AWS Well-Architected Generative AI Lens (Security)
- GENSEC01-BP03 Implement least privilege access to data stores
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 6, Proteção de dados