データアクセス権を定期レビューする

ガバナンスでは、データ分類・所有者・利用目的・保持削除・アクセス・監査・規制要件を一貫して管理する。

アクセス一覧・最終利用・所有者承認を定期レビューし、不要権限を撤回する

アクセスレビューは不要権限を継続的に減らす運用である。

一度付与した権限を無期限に残す

無期限権限は最小権限に反する。

CloudTrailのアクセスがない権限だけを自動削除する

最終利用はレビュー材料であり単独の削除条件ではない。

S3 Lifecycleで古いロールを削除する

IAM権限は別の運用で管理する。