Mise en route gratuite d'AWS Artifact »
  • FAQs de rapports de conformité

    Disponible en libre-service dans la console, AWS Artifact constitue un portail d'extraction des artefacts d'audit qui fournit à nos clients un accès à la demande aux documents de conformité d'AWS.

    AWS Artifact peut être utilisé par tous les clients AWS afin d'évaluer et de valider la sécurité et la conformité de l'infrastructure et des services AWS dont ils se servent.

    Vous devez utiliser AWS Artifact si vous êtes :

    • Obligé(e) de démontrer la conformité de vos architectures de cloud durant les cycles de conception, de développement et d'audit du système. Afin d'établir la conformité historique et actuelle de votre infrastructure AWS (spécifique aux services que vous utilisez), les auditeurs et les régulateurs vous demandent de fournir des preuves sous forme d'artefacts d'audit.
    • Tenu(e) de le faire ou si vous souhaitez utiliser des artefacts d'audit afin de vérifier que vos contrôles AWS mis en place fonctionnent efficacement.
    • Intéressé(e) par la surveillance ou l'audit en continu de vos fournisseurs.
    • Membre de l'équipe en charge du développement qui conçoit des architectures de cloud sécurisées et si vous avez besoin d'être guidé(e) pour comprendre vos responsabilités en matière de conformité aux normes ISO, PCI, SOC et autres normes de régulation. Le travail de votre équipe permettra souvent à votre entreprise d'utiliser ou de continuer à utiliser AWS.

    Un artefact d'audit constitue une preuve démontrant qu'une entreprise suit une procédure documentée ou répond à une exigence spécifique. Les artefacts d'audit sont regroupés et archivés tout au long du cycle de développement du système et sont utilisés comme preuves dans les audits et évaluations internes et/ou externes.

    Tous les comptes AWS peuvent accéder à AWS Artifact. Les utilisateurs root et IAM disposant d'autorisations d'admin peuvent télécharger tous les artefacts d'audit disponibles sur leur compte en acceptant les conditions générales qui s'y rapportent.

    Vous devrez accorder l'accès à AWS Artifact aux utilisateurs IAM ne disposant pas d'autorisations d'admin à l'aide des autorisations IAM. Vous pourrez ainsi accorder l'accès à AWS Artifact à un utilisateur tout en limitant son accès aux autres services et ressources de votre compte AWS. Pour connaître la procédure à suivre afin d'autoriser l'accès à des utilisateurs à l'aide d'IAM, reportez-vous à cette rubrique d'aide de la documentation AWS Artifact.

    Vous pouvez fournir les artefacts d'audit AWS à vos auditeurs ou régulateurs comme preuves des contrôles de sécurité AWS.

    Vous pouvez également vous servir des conseils de responsabilité fournis par certains des artefacts d'audit AWS pour concevoir votre architecture de cloud. Ces conseils vous permettent de déterminer les contrôles de sécurité supplémentaires à mettre en place afin de prendre en charge les cas d'utilisation spécifiques de votre système. 

    Non. Vous pouvez télécharger et accéder à tous les artefacts disponibles à tout moment, autant de fois que nécessaire.

    Vous devrez souvent fournir à vos auditeurs l'accès aux rapports de conformité AWS. Vous pouvez facilement y parvenir en créant des informations d'identification IAM spécifiques à chaque auditeur et en configurant ces informations afin que l'auditeur puisse accéder aux rapports pertinents pour l'audit qu'il mène. Pour plus d'informations, consultez cette rubrique d'aide dans la documentation AWS Artifact.

    Vos clients peuvent accéder aux rapports de conformité AWS à l'aide de leur compte AWS. S'ils ne possèdent pas encore de compte, vous devez les inviter à en créer un. La création d'un compte est gratuite.

    Une fois connectés à leur compte, vos clients peuvent accéder aux rapports disponibles dans la console AWS en accédant à Compliance Reports sous Security, Identity & Compliance. Si vos clients souhaitent accéder à un rapport qui nécessite la signature d'un accord de non-divulgation, ils peuvent obtenir l'accès en cliquant sur l'accord dans la console Artifact pour le signer.

    Pour plus d'informations, reportez-vous à la page Getting Started with AWS Artifact

    Vous devrez souvent fournir à d'autres employés de votre entreprise l'accès aux rapports de conformité AWS. Les documents que vous téléchargez depuis AWS Artifact sont générés tout spécialement pour vous et ils présentent tous un tatouage numérique unique. C'est pour cette raison que vous ne pouvez les partager qu'avec des personnes de confiance. N'envoyez pas les documents par e-mail en tant que pièces jointes et ne les partagez pas en ligne. Pour partager un document, servez-vous d'un service de partage sécurisé tel qu'Amazon WorkDocs ou créez une politique d'autorisations IAM qui permet aux utilisateurs IAM du groupe d'accéder aux documents AWS Artifact. Pour plus d'informations, reportez-vous à la documentation AWS Artifact.

    Oui. A l'aide d'IAM, vous pouvez créer une politique d'autorisations pour un groupe non-admin qui accorde aux utilisateurs IAM du groupe l'accès à AWS Artifact. Vous pouvez ensuite utiliser cette politique pour limiter l'accès aux autres services et ressources du compte associé. Pour plus d'informations sur la création d'un groupe ne disposant pas d'autorisations d'admin, reportez-vous à la documentation AWS Artifact.

    Oui. Vous pouvez accorder l'accès à un ou plusieurs artefacts à l'aide des autorisations IAM, ce qui vous permet de contrôler parfaitement qui a accès à chacun des artefacts. Par exemple, si vous souhaitez que votre équipe PCI n'ait accès qu'au rapport PCI AWS et votre équipe SOX qu'au rapport SOC 1 AWS, vous pouvez personnaliser chaque autorisation d'accès. Pour connaître la procédure à suivre afin d'autoriser l'accès à des utilisateurs à l'aide d'IAM, reportez-vous à cette rubrique d'aide de la documentation AWS Artifact.

  • FAQs Accord BAA

    AWS Artifact Agreements est une fonctionnalité du service AWS Artifact (notre portail de vérification et de conformité). AWS Artifact Agreements vous permet de réviser, d'accepter et de gérer le statut de votre accord Business Associate Addendum (BAA) à partir de la AWS Management Console de votre compte. Vous pouvez utiliser la console pour conclure un accord BAA, et donc désigner un compte AWS à l'instant pour une utilisation en relation avec des informations de santé protégées (PHI). De plus, vous pouvez utiliser la console pour confirmer que votre compte AWS est désigné comme un compte HIPAA et examiner les termes de l'accord accepté pour comprendre vos obligations. Si vous n'avez plus besoin d'utiliser le compte en relation avec PHI, vous pouvez utiliser AWS Artifact Agreements pour mettre fin à la BAA.

    Si vous êtes administrateur d'un compte AWS, vous pouvez accorder des autorisations IAM à d'autres utilisateurs pour leur permettre de télécharger, d'accepter ou de résilier des accords au nom de votre compte dans AWS Artifact. Pour en savoir plus, consultez la documentation d'AWS Artifact.

    En ce moment, le Business Associate Addendum (BAA) est le seul accord d'industrie spécialisée disponible dans AWS Artifact Agreements. Avant de conclure un accord BAA, vous devez télécharger et accepter les conditions d'un accord de non-divulgation (NDA). Le BAA est confidentiel et ne peut être partagé avec d'autres personnes extérieures à votre organisation.

    Oui. Vous devrez signer un autre NDA dans Artifact pour débloquer l'accès vous permettant de télécharger des documents confidentiels dans Artifact.

    Si vous êtes administrateur d'un compte AWS, vous aurez automatiquement la permission de télécharger, d'accepter et de résilier des accords pour ce compte. Si vous n'êtes pas un administrateur, vous aurez besoin d'autorisations supplémentaires pour accepter et résilier des accords. Les utilisateurs dont les comptes IAM ont obtenu un accès complet pour télécharger tous les rapports n'hériteront pas de l'accès aux accords d'acceptation ou de résiliation. Cependant, les utilisateurs dont les comptes IAM ont obtenu un accès complet à AWS Artifact (c'est-à-dire une politique IAM avec Artifact*) pourront effectuer toutes les actions.

    Les différents niveaux d'autorisations donnent aux administrateurs la souplesse nécessaire pour accorder des autorisations aux utilisateurs IAM en fonction des besoins commerciaux des utilisateurs. Pour en savoir plus, consultez la documentation d'AWS Artifact.

    Oui. Par défaut, les utilisateurs ayant des privilèges administratifs peuvent utiliser AWS Artifact Agreements pour télécharger, examiner et accepter des accords. Vous devriez toujours consulter les conditions d'un accord avec vos équipes juridiques, de confidentialité et/ou de conformité avant de l'accepter. Vous pouvez également utiliser IAM pour accorder de manière transparente l'accès aux utilisateurs ayant un besoin d'affaires (tels que les membres de vos équipes juridiques, de confidentialité et/ou de conformité) afin que ces utilisateurs puissent télécharger, examiner et accepter des accords pour votre organisation. Pour en savoir plus, consultez la documentation d'AWS Artifact.

    Non. Si vous avez déjà signé une BAA hors ligne, les termes de cette BAA continuent de s'appliquer aux comptes que vous avez déjà désignés comme comptes HIPAA en vertu de cette BAA hors ligne.

    Pour tout compte que vous n'avez pas déjà désigné comme compte HIPAA sous votre BAA hors ligne, vous pouvez utiliser AWS Artifact Agreements pour accepter une BAA en ligne pour ce compte et le désigner immédiatement comme un compte HIPAA.

    Non. Afin de protéger la confidentialité de votre BAA hors ligne, vous ne pourrez pas, par défaut, la télécharger dans AWS Artifact Agreements. Si vous souhaitez consulter une copie de votre BAA hors connexion déjà signée, vous pouvez contacter votre responsable de compte AWS pour le demander.

    Oui. Vous pouvez suivre les étapes de l'interface AWS Artifact pour supprimer votre compte en tant que compte HIPAA sous votre BAA hors ligne Vous devez uniquement supprimer un compte en tant que compte HIPAA si vous êtes sûr d'avoir supprimé toutes les informations protégées de santé (PHI) du compte et de ne plus utiliser le compte en rapport avec PHI.

    Non. Si vous devez désigner un compte en tant que compte HIPAA sous votre licence BAA précédemment signée, vous pouvez le faire en suivant le processus décrit dans votre BAA hors ligne (par exemple, en envoyant un courrier électronique à aws-hipaa@amazon.com). Une fois confirmé par AWS, l'interface d'Artifact Agreements changera pour le compte nouvellement désigné afin de refléter qu'il a été désigné comme compte HIPAA sous votre BAA hors ligne.

    Non. Les clients ayant une BAA hors ligne précédemment signée ne peuvent pas mettre fin à cette BAA hors ligne dans AWS Artifact. Pour mettre fin à une BAA hors ligne précédemment signée, les clients devront fournir un avis écrit à AWS selon les termes de la BAA hors ligne.

    Lorsque vous acceptez une BAA en ligne dans AWS Artifact, le compte que vous avez utilisé pour vous connecter à AWS Artifact sera automatiquement désigné comme compte HIPAA en vertu de cette BAA en ligne. Aucune étape supplémentaire n'est nécessaire.

    Si vous avez des comptes supplémentaires qui doivent être couverts par une BAA, vous devez vous connecter à AWS Artifact pour chacun de ces autres comptes et accepter séparément une BAA pour chacun d'eux.

    Oui. Cependant, vous devez vous connecter à AWS Artifact pour chaque compte devant être couvert par une BAA et accepter séparément une BAA pour chacun d'eux.

    De même, si vous mettez fin à une BAA en ligne, seul le compte associé à cet accord BAA en ligne sera supprimé en tant que compte HIPAA.

    AWS Artifacts Agreements fonctionne de la même façon pour les comptes revendeurs. Les revendeurs peuvent utiliser IAM pour contrôler qui a les autorisations de télécharger, d'accepter et de résilier des accords. Par défaut, seuls les utilisateurs ayant des privilèges administratifs peuvent accorder l'accès.

    AWS Artifact Agreements, et l'ensemble du service AWS Artifact, peuvent être utilisés indépendamment par les utilisateurs techniques et non techniques, sans frais. Les administrateurs des comptes AWS peuvent accorder aux utilisateurs des autorisations IAM pour effectuer une ou plusieurs actions au sein d'AWS Artifact. Ces actions comprennent le téléchargement de rapports, l'acceptation d'accords et la résiliation d'accords. Pour en savoir plus, consultez la documentation d'AWS Artifact.

    Si vous mettez fin à une BAA en ligne dans AWS Artifact, le compte que vous avez utilisé pour vous connecter à AWS Artifact sera immédiatement supprimé en tant que compte HIPAA et ne sera plus couvert par une BAA avec AWS. L'utilisation d'AWS Artifact pour résilier à une BAA en ligne pour un compte ne mettra pas fin à aucune autre BAA que vous avez en place avec AWS pour tout autre compte.

    Vous ne devez résilier une BAA pour un compte que si vous êtes certain d'avoir supprimé toutes les informations protégées de santé (PHI) du compte et de ne plus utiliser le compte en rapport avec PHI.

    Vous pouvez utiliser tous les services AWS dans un compte désigné comme un compte HIPAA, mais vous ne pouvez inclure que la PHI dans les services admissibles HIPAA. Notre page HIPAA Eligible Services Reference contient la liste la plus récente de services admissibles HIPAA.

    Oui. Si vous préférez conclure une BAA hors ligne avec AWS, contactez votre responsable de compte AWS ou contactez-nous pour soumettre votre demande. Cependant, nous vous encourageons à profiter de la vitesse, de l'efficacité et de la visibilité fournies par AWS Artifact Agreements.

    1. Veillez à bien utiliser la version la plus récente de votre navigateur ainsi que d'Adobe Reader.
    2. Autorisez les pop-ups dans votre navigateur pour pouvoir télécharger la pièce jointe.
    3. Vérifiez votre dossier de téléchargements récents.
    4. Vérifiez le document et partagez-le au besoin.

 

Démarrage gratuit avec AWS Artifact