AWS 责任共担模式与 GDPR

欧盟通用数据保护条例 (GDPR) 规定了数据处理者和数据控制者的角色，一些客户和 AWS 合作伙伴网络 (APN) 合作伙伴也在询问这将如何影响建立已久的 AWS 责任共担模式。 我想借此机会，帮助大家理解我们和客户在 GDPR 背景下的共担责任。

AWS 责任共担模式在 GDPR 会如何变化？简单来说 — 它不会发生变化。AWS 负责保护支持云和所提供服务的底层基础设施，而作为数据控制者或数据处理者的客户和 APN 合作伙伴则负责保护其放入云中的任何个人数据。责任共担模式说明了 AWS 与客户以及 APN 合作伙伴所承担的不同责任，在 GDPR 下也执行同样的责任划分原则。

AWS 作为数据处理者的责任

GDPR 推出了针对数据控制者和数据处理者的具体规定和责任。任何 AWS 使用我们的服务来处理个人数据时，数据控制者通常是 AWS 客户（有时是 AWS 客户的客户）。但在所有这些情况下，AWS 始终都是与此活动有关的数据处理者。这是因为客户通过与 AWS 服务控制机制的交互指示对数据进行处理，而 AWS 仅执行客户的指示。作为数据处理者，AWS 负责保护运行我们所有服务的全球基础设施。使用 AWS 的控制者保持对在此基础设施上托管的数据的控制，包括处理最终用户内容和个人数据的安全配置控制机制。保护此基础设施是我们的首要任务，我们大力投入第三方审计人员来检查我们的安全控制机制，通过 AWS Artifact 向我们的客户通报他们所发现的任何问题。一个典型的例子是我们的 ISO 27018 报告，它专门测试针对个人数据保护的安全控制机制。

AWS 对托管服务承担更大的责任。托管服务的例子包括 Amazon DynamoDB、Amazon RDS、Amazon Redshift、Amazon Elastic MapReduce 和 Amazon WorkSpaces。这些服务提供云资源的可扩展性和灵活性优势，同时又减少了运营开销，因为来宾操作系统 (OS) 和数据库补丁安装、防火墙配置和灾难恢复等基本的安全任务都由我们负责。对于大多数托管服务，您只需配置逻辑访问控制和保护账户凭证，同时保留对任何个人数据的控制和责任。

客户和 APN 合作伙伴作为数据控制者的责任，以及 AWS 服务如何提供帮助

我们的客户可以作为其 AWS 环境中的数据控制者或数据处理者。作为数据控制者，您使用的服务可能决定了您如何配置这些服务，以帮助满足您的 GDPR 合规需求。例如，Amazon EC2、Amazon VPC 和 Amazon S3 等分类为基础设施即服务 (IaaS) 的 AWS 服务均由您控制，要求您完成所有必要的例行安全配置和管理，而不论服务器位于哪里。对于 Amazon EC2 实例，您负责管理下列项目：实例上安装的来宾操作系统（包括更新和安全补丁）、应用程序软件或实用工具，以及 AWS 提供的防火墙（称为安全组）的配置。

为帮助您在使用我们的基础设施时实现 GDPR 规定的数据保护设计原则，我们建议您使用 Amazon Identity and Access Management (IAM) 来保护 AWS 账户凭证和设置个人用户账户，从而确保每个用户仅获得履行工作职责所需的权限。我们还建议对每个账户使用 Multi-Factor Authentication (MFA)，要求使用 SSL/TLS 与 AWS 资源进行通信，使用 AWS CloudTrail 来建立 API/用户活动日志记录，并使用 AWS 加密解决方案以及 AWS 服务提供的所有默认安全控制机制。您还可以使用先进的托管安全服务，例如 Amazon Macie，它可帮助您发现和保护存储在 Amazon S3 中的个人数据。

有关更多信息，请下载 AWS 安全性最佳实践白皮书或访问 AWS 安全性资源或 GDPR 中心等网页。 除我们的解决方案和服务外，AWS APN 合作伙伴还提供了数百种工具和功能，以帮助您满足安全性目标，这涵盖从网络安全性和配置管理到访问控制和数据加密的各个方面。