Questions fréquentes (FAQ) sur la conformité AWS

Dans le cas où vous auriez besoin d'aide pour remplir un questionnaire pour rendre compte de vos positions en matière de sécurité et de conformité AWS, AWS possède une approche recommandée, conçue pour vous fournir les ressources nécessaires pour répondre à vos questions de sécurité et de conformité dans le cadre du cloud et du modèle économique AWS. Les ressources les plus fréquemment utilisées pour remplir les questionnaires sur la sécurité et la conformité sont les suivantes :

• AWS Artifact – AWS Artifact est votre ressource centrale à laquelle vous pouvez vous référer pour obtenir des informations sur la conformité importante pour vous. Il offre un accès à la demande aux rapports de sécurité et conformité d'AWS, ainsi qu'à certains accords en ligne. Les rapports dans AWS Artifact comprennent notre rapport Service Organization Control (SOC) et notre attestation de conformité Payment Card Industry (PCI), ainsi que des certifications des organismes d'accréditation des différentes régions et secteurs de conformité qui valident l'implémentation et l'efficacité opérationnelle des systèmes de contrôle de sécurité AWS. AWS Artifact met à disposition l'annexe au contrat de partenariat (BAA, Business Associate Addendum) et l'accord de confidentialité (NDA, Non-disclosure Agreement).
• Page Web des programmes AWS Compliance – Les programmes AWS Compliance aident les clients à comprendre les contrôles rigoureux mis en place par AWS pour maintenir la sécurité et la conformité dans le cloud.
• Page Web des contrôles du centre de données AWS – De nombreux questionnaires comportent une section de questions relatives à la sécurité physique des centres de données. Cette page web vous donne un aperçu de certains de nos contrôles physiques et environnementaux.
• Livre blanc sur le risque et la conformité dans AWS – Ce document contient des informations spécifiques à AWS et des questions générales de conformité par rapport à l’utilisation du cloud computing.
• Questionnaire Consensus Assessments Initiative – Le questionnaire Consensus Assessments Initiative, mis au point par la CSA, consiste en un ensemble de questionnaires qui pourrait être posé par un consommateur cloud ou par un auditeur à un fournisseur cloud. Il fournit une série de questions de sécurité, de contrôle et sur les processus pouvant être utilisées pour un large ensemble d'utilisations, notamment dans la sélection du fournisseur cloud et l'évaluation de la sécurité. Ce document contient les réponses AWS au questionnaire CSA.
• Évaluation AWS CyberGRX – Les clients peuvent tirer parti du rapport AWS CyberGRX pour réduire la charge de l’audit préalable de leurs fournisseurs en remplaçant les feuilles de calcul statiques obsolètes et en évitant de demander l’accès à l’évaluation d’AWS de manière répétitive chaque année. Les clients peuvent également utiliser la fonctionnalité Framework Mapper de CyberGRX, qui leur permettra de mapper l'évaluation AWS aux cadres et normes couramment utilisés dans le secteur afin d'obtenir instantanément une visibilité sur la couverture des contrôles.
• Évaluation AWS CyberVadis – Les clients peuvent utiliser le rapport d’évaluation des risques et le tableau de bord d’AWS CyberVadis dans le cadre de l’audit préalable de leurs fournisseurs. L'évaluation CyberVadis fournit des fonctionnalités avancées en intégrant les réponses d'AWS à des analyses et à des modèles de risque sophistiqués, afin de fournir une vue approfondie de la posture de sécurité d'AWS. Les clients peuvent utiliser les résultats de CyberVadis pour faire correspondre l'évaluation AWS aux cadres et normes du secteur couramment utilisés afin d'obtenir instantanément une visibilité sur la couverture des contrôles.
• Questionnaire SIG – Le questionnaire Standardized Information Gathering (SIG ou collecte d’informations partagées) est destiné aux clients qui utilisent les outils du questionnaire SIG de Shared Assessment pour standardiser leur processus d’évaluation des risques par des tiers. AWS a complété le questionnaire avec des réponses narratives pour aider les clients d'AWS dans leur processus d'audit préalable des clients du cloud AWS. SIG peut être trouvé sur AWS Artifact.

La page Web Services AWS concernés fournit une liste de services qui sont évalués pour se conformer à des normes de conformité communes.

AWS est susceptible d’engager les entités répertoriées sur la page Web des sous-traitants AWS pour effectuer des activités de traitement spécifiques pour le compte du client ou des activités de gestion des installations du centre de données. Cette page web offre également aux clients la possibilité de s'abonner à des notifications par e-mail en cas de modification de la liste des sous-traitants.

Pour en savoir plus sur la confidentialité des données, consultez le centre de confidentialité des données AWS. Cette page Web fournit des informations sur la confidentialité chez AWS, les lois et réglementations relatives à la confidentialité, les questions fréquentes et les ressources.

AWS maintient l'emplacement de ses centres de données strictement confidentiel afin de préserver la sécurité et la confidentialité des données des clients. La convention de dénomination de nos régions AWS est indicative de l'emplacement géographique général des zones de disponibilité et des centres de données qui composent cette région. Des détails supplémentaires concernant l’emplacement général des centres de données sont contenus dans notre rapport PCI-DSS disponible via AWS Artifact. Pour en savoir plus, rendez-vous sur la page Web Infrastructure mondiale AWS.

Les clients peuvent prendre la mesure de la sécurité et de la résilience de l'infrastructure physique d'AWS en constatant tous les contrôles de sécurité qu'AWS a mis en place pour ses centres de données. Pour aider les clients à mieux comprendre nos contrôles de sécurité physique et de résilience, un auditeur indépendant et compétent valide la présence et le fonctionnement des contrôles dans le cadre de nos rapports SOC, qui sont mis à la disposition des clients à l’adresse suivante AWS Artifact. Cette validation par une tierce partie largement acceptée fournit aux clients une attestation indépendante de l'effectivité des contrôles en place. Les examens indépendants de la sécurité physique des centres de données font également partie des programmes de conformité ISO 27001, PCI, ITAR, et FedRAMP.

Non. Étant donné que nos centres de données hébergent plusieurs clients, AWS n'autorise pas les clients à visiter les centres de données, car cela expose un grand nombre de clients à l'accès physique d'un tiers. Cependant, les clients et le grand public peuvent effectuer une visite numérique d’un centre de données AWS afin de mieux comprendre notre infrastructure et nos contrôles sur notre site Web.

Les clients qui évaluent AWS dans le cadre de leur plan de reprise après sinistre doivent d'abord identifier leurs objectifs de résilience et prendre en compte toutes les exigences réglementaires applicables en matière de résilience et de reprise après sinistre. Les clients peuvent alors construire leur environnement AWS de façon à respecter leurs objectifs de résilience et les exigences réglementaires. À titre d'exemple, pour atténuer les risques environnementaux, les clients peuvent concevoir leurs charges de travail AWS de manière à tirer parti des zones de disponibilité et des régions physiquement séparées pour atteindre leurs objectifs. Lors de la planification de la continuité de l’activité et de la reprise après sinistre, les client AWS doivent utiliser les bonnes pratiques contenues dans le pilier fiabilité du cadre AWS Well Architected. De plus amples informations sur les recommandations de reprise après sinistre sont disponibles sur Reprise après sinistre des charges de travail sur AWS : Reprise dans le cloud.