ソフトウェア企業向けリソース

セキュリティとプライバシーに関するリソース

• AWS でのデータアクセス

  AWS では、お客様がデータを所有し、データの場所を制御して、そのデータにアクセスできるユーザーを決定できます。AWS サービスでは、AWS アカウントにアップロードされたデータ (顧客データ) がどのように処理されるかについて透明性が保たれ、顧客データの暗号化、削除、処理の監視を行う機能が提供されています。これは AWS 責任共有モデルと AWS カスタマーアグリーメントに基づいています。AWS サービスのプライバシー機能では、サービスごとにさらに細部を決定できます。

  リソース
  

  • AWS カスタマーアグリーメント: この AWS カスタマーアグリーメントには、サービス製品へのアクセスおよび使用を規定する条件が含まれています。
  • AWS サービスのプライバシー機能: 欧州連合司法裁判所の Schrems II の判決に従ったデータ転送評価に使用できる AWS のサービスの主要なプライバシー機能の概要、および転送ツールの補強対策に関する欧州データ保護委員会の推奨事項。
  • CISPE データ保護行動規範: CISPE Code は、クラウドインフラストラクチャサービスプロバイダーが、GDPR に基づいてデータプロセッサに適用される要件を満たしていることを組織に保証します。Ernst and Young CertifyPoint (EYCP) は、52 の AWS サービスの準拠を認定しました。これにより、お客様は、GDPR への準拠が独立した立場から検証されたことに関する信頼を深めることができます。
  • 責任共有モデル: セキュリティとコンプライアンスは AWS とお客様の間で共有される責任です。ホストオペレーティングシステムと仮想化レイヤーから、サービスが運用されている施設の物理的なセキュリティに至るまでの要素を AWS が運用、管理、および制御するので、この共有モデルは、お客様の運用上の負担を軽減するために役立ちます。
    
  • AWS Nitro System: 専用ハードウェアと軽量ハイパーバイザーの組み合わせによりコンフィデンシャルコンピューティングが実現し、オペレーターのアクセスが制限されます。
    

• 米国政府による顧客データへのアクセス、クラウド法

  米国内で事業を行う外国企業を含むすべての企業に適用されるクラウド法は、米国の法執行機関にデータへの自由なアクセスを許可していません。対象となるのは、米国が管轄するテロなどの犯罪に関連して求められる証拠という、狭いカテゴリのデータのみです。
  クラウド法の明確化: クラウド法と AWS の詳細を説明する専用ページ。
  IDC によるクラウド法の説明: クラウド法の事実を深く理解するための IDC の説明。
  

  AWS は、要請が法律に抵触する場合、過度に広汎である場合、または要請に対して異議を申し立てる適切な根拠がある場合、AWS は政府機関からの顧客データに関する法執行機関の要請に異議を申し立てます。
  

  リソース
  

  • AWS は、法執行機関の要請に対するコミットメントを強化しました。カスタマーアグリーメントの修正 (法執行機関の要請への異議申し立て、および必要最低限の開示)
  • 法執行機関の情報請求レポート: Amazon が処理した法執行機関の要請の種類と数を記載した年 2 回の報告書。
  • AWS Well-Architected: AWS Well-Architected は、クラウドアーキテクトがアプリケーションやワークロード向けに高い安全性、性能、障害耐性、効率性を備えたインフラストラクチャを構築する際に役立ちます。AWS Well-Architected では、6 つの柱 (優れた運用効率、セキュリティ、信頼性、パフォーマンス効率、コストの最適化、持続可能性) に基づいて、お客様とパートナーがアーキテクチャを評価し、時間と共に拡大できる設計を実装するための一貫したアプローチを提供しています。

  データを確実に保護するための技術的ベストプラクティス

  • AWS Key Management Service (KMS)
  • AWS Key Management Service カスタムキーストア
  • AWS CloudHSM
  • AWS KMS に関するよくある質問

• AWS とデータ移動

  お客様は、お客様のコンテンツを保存する AWS リージョンを選択できます。お客様は、コンテンツを複数の AWS リージョンにレプリケートし、バックアップすることができます。AWS では、データの保存場所、保護方法、アクセスできるユーザー、データ主権のニーズをどのように設計するかなど、お客様はデータを完全に制御できます。AWS は、書面による指示に従ってのみ顧客データを処理します。

  リソース

  • データプライバシーについてのよくある質問
  • AWS と Gaia-X への参加。これは、ビジネス、科学、政治の代表者が一堂に会し、次世代のデータインフラストラクチャの標準を定義する EU のイニシアチブです。
  • AWS Control Tower のデータレジデンシーガードレール: これは、データレジデンシー要件を単一アカウント環境とマルチアカウント環境に適用できるコントロールに変換するシンプルな方法です。
    

   

• AWS でのデータ暗号化
  

  AWS はデータを開示する前にお客様に通知します。また、お客様がコンテンツを保護するために使用できる高度な暗号化およびキー管理サービスも多数提供しています。AWS の主要なデータ暗号化リソースをご覧ください。

  リソース

  • AWS の暗号化の基本
  • AWS KMS 暗号化のホワイトペーパー
  • AWS コンプライアンスクイックスタート
  • AWS 暗号化の最新情報
    

• EU 法、プライバシーシールド、AWS
  

  AWS のお客様とパートナーは、一般データ保護規則 (GDPR) を含む EU のデータ保護法に従い、引き続き AWS を利用してコンテンツを欧州から米国およびその他の国に転送できます。お客様とパートナーは、欧州連合内のリージョン内でデータを保存および処理し、データ転送が発生しないようにすることで、Schrems II の判決を順守することもできます。

  リソース

  • AWS と EU の顧客データに関する概要。
  • eBook: EU data protection and AWS.

   

• GDPR と AWS のサポート
  

  AWS は、お客様の活動に適用される可能性のあるデータ保護要件をお客様が遵守できるよう支援するサービスとリソースを提供するように取り組んでおり、セキュリティとコンプライアンスに重点を置いた 500 を超える機能とサービスが用意されています。  これを念頭に、2018 年 3 月に AWS のすべてのサービスと機能を GDPR に準拠して利用できることが発表されました。 

  AWS では、AWS のお客様が AWS のサービスを利用して AWS アカウントにアップロードされた個人データを処理するたびに、自動的に適用されるデータ処理補遺条項 (DPA) を AWS サービス規約に適用しています。  AWS DPA の GDPR 準拠条件は、世界中のプライバシーコンプライアンスの中でも高水準にあると見なされており、他のほとんどのデータ保護法の要件を上回っています。つまり、お客様は、ほとんどのデータ保護法で義務付けられているものと少なくとも同等の、あるいはそれ以上のコンプライアンス基準を達成することになります。 

  お客様がデータ保護要件に対応できるよう支援するために AWS が行っていることの詳細については、データ保護ページを参照してください。
  

  リソース
  

  • データプライバシーセンター: AWS のデータプライバシーに関するすべてのリソース。
  • GDPR センター: GDPR に関するすべてのリソースとよくある質問
    
  • AWS コンプライアンスプログラム: AWS コンプライアンスプログラムは、クラウドのセキュリティとコンプライアンスを維持するために AWS に導入されている堅牢な制御について理解するのに役立ちます。 
  • AWS セキュリティ、アイデンティティ、コンプライアンス: データ保護、ID とアクセス管理、ネットワークとアプリケーションの保護、脅威の検出と継続的な監視、コンプライアンスとデータプライバシーに関するセキュリティユースケースとそれぞれの AWS サービスの概要。
  • AWS Well-Architected: AWS Well-Architected は、クラウドアーキテクトがアプリケーションやワークロード向けに高い安全性、性能、障害耐性、効率性を備えたインフラストラクチャを構築する際に役立ちます。AWS Well-Architected では、6 つの柱 (優れた運用効率、セキュリティ、信頼性、パフォーマンス効率、コストの最適化、持続可能性) に基づいて、お客様とパートナーがアーキテクチャを評価し、時間と共に拡大できる設計を実装するための一貫したアプローチを提供しています。
  • AWS Artifact: AWS Artifact は、AWS のお客様にとって重要なコンプライアンス関連情報の頼りになる一元管理型のリソースです。AWS Artifact では、AWS のセキュリティおよびコンプライアンスレポートと特定のオンライン契約にオンデマンドでアクセスできます。AWS Artifact には、Service Organization Control (SOC)、Payment Card Industry (PCI) レポート、AWS セキュリティ制御の実装と運用の有効性を検証する、さまざまな地域やコンプライアンス垂直市場の認定機関からの認定が含まれます。AWS Artifact で利用可能な契約には、事業提携契約 (BAA) と機密保持契約 (NDA) が含まれます。
    

• データセンターの地理的位置
  

  AWS のお客様は、コンテンツとサーバーを配置する予定の AWS のリージョン (単一または複数) を選択します。これにより、地域特有のデータレジデンシー要件を持つお客様は、選択した場所で環境を構築できます。データが物理的に存在するリージョンについてはお客様が完全な管理権と所有権を保持するため、地域的なコンプライアンス要件およびデータレジデンシー要件を満たすことが容易になっています。AWS は、法律で義務付けられている場合を除き、お客様の同意なしにお客様のコンテンツを移動しません。

  リソース

  • AWS グローバルインフラストラクチャ: 現在の AWS リージョン、アベイラビリティーゾーン、ポイントオブプレゼンス、およびサービスを提供する国と地域の詳しい概要。
  • リージョンとアベイラビリティーゾーン: AWS リージョンとアベイラビリティーゾーンの場所のマップビュー。
  • データセンター情報: AWS データセンターの境界レイヤー、インフラストラクチャレイヤー、データレイヤー、および環境レイヤーに関する広範な情報。
    

• AWS の規制対象セクター
  

  AWS は、HIPAA、GDPR、フランスの個人健康データ保護 (HDS)、クラウドコンピューティングコンプライアンスコントロールカタログ (C5)、スペインの政府基準 (ENS high)、英国のサイバー脅威対策 (Cyber Essential Plus)、英国の政府基準 (G-Cloud)、スイス金融市場監督当局通達の証明書など、第三者保証フレームワークへの準拠を示す国際的に認められた多数の認証と認定を取得しています。これにより、規制対象セクターや公共セクターの機関に固有のセキュリティ、規制、コンプライアンス義務を遵守しています。

  リソース

  • コンプライアンス金融機関に関するよくある質問: AWS の使用に関するドイツの金融機関からよく寄せられる質問。
  • 金融サービス業界向けのコンプライアンスとセキュリティ: AWS は、金融機関が世界規模で直面している独自のセキュリティ、規制、コンプライアンスの義務について理解しています。この概要では、金融機関がクラウドを安全にナビゲートするために必要なすべてのリソースと手順を紹介します。
  • 金融機関向けクラウドガバナンス: AWS 環境を制御および管理するためのプロセスを確立し、ツールを選択する際にお客様をガイドするフレームワークです。
  • AWS Artifact: お客様にとって重要なコンプライアンス関連情報に関して信頼性の高い一元的なリソースです。AWS Artifact では、AWS のセキュリティおよびコンプライアンスレポートと特定のオンライン契約にオンデマンドでアクセスできます。
  • AWS コンプライアンスプログラム: このプログラムでは、ガバナンスに重点を置いた監査に適したサービス機能と、該当するコンプライアンスまたは監査基準を結び付けることで、クラウドのセキュリティとコンプライアンスを維持するために AWS で実施されている統制についてお客様が理解を深めるのに役立ちます。
  • 公共部門における AWS: 政府、非営利団体、教育機関、医療機関向けのワンストップリソースで、イノベーションへの道を切り開き、世界を変えるプロジェクトを支援します。