ITAR

Visão geral

A região AWS GovCloud (EUA) está em conformidade com o United States International Traffic in Arms Regulations (ITAR – Regulamentos do comércio internacional de armas dos Estados Unidos). Como parte do gerenciamento de um abrangente programa de conformidade com o ITAR, empresas sujeitas a regulamentações de exportação do ITAR devem controlar as exportações não intencionais restringindo o acesso a dados protegidos de cidadãos norte-americanos e restringindo a localização física dos dados ao território dos EUA. O AWS GovCloud (United States) disponibiliza um ambiente fisicamente localizado nos EUA no qual o acesso por parte do pessoal da AWS é limitado aos cidadãos norte-americanos, permitindo que empresas qualificadas transmitam, processem e armazenem artigos e dados protegidos sujeitos às restrições do ITAR. O ambiente da região AWS GovCloud (Estados Unidos) foi auditado por um terceiro independente para validar se os controles aplicáveis estão em vigor para apoiar programas de conformidade de exportação do cliente.

• O que significa ITAR?

  O ITAR controla a exportação de artigos relacionados à defesa e declara que nenhuma pessoa que não seja um cidadão norte-americano pode ter acesso físico ou lógico aos artigos armazenados no ambiente do ITAR.

  Os materiais abordados na USML (Lista de Munições dos Estados Unidos) do ITAR incluem equipamentos, componentes, materiais, software e informações técnicas que só podem ser compartilhadas com cidadãos norte-americanos sem autorização ou isenção especial. Cidadãos norte-americanos são indivíduos titulares de um Greencard ou que nasceram nos EUA.
  

• Como os requisitos do ITAR se aplicam na nuvem?

  A conformidade com o ITAR na nuvem tem como objetivo garantir que as informações consideradas como dados técnicos não sejam distribuídas acidentalmente a pessoas ou nações estrangeiras. Para que os dados estejam sujeitos ao ITAR, uma carga de trabalho ou tipo de dados de TI deve ser considerado uma exportação de acordo com a US Munitions List (USML – Lista de munições dos EUA).
  

• Como a AWS oferece suporte a clientes sujeitos aos regulamentos de exportação do ITAR?

  A AWS disponibiliza aos clientes a opção de armazenar seus dados na região AWS GovCloud (EUA), gerenciada apenas por cidadãos norte-americanos em solo norte-americano. A AWS GovCloud (EUA) é uma região de nuvem isolada da Amazon onde as contas são concedidas apenas para cidadãos norte-americanos que trabalham em organizações norte-americanas.

  Como a AWS não tem nenhuma visibilidade ou conhecimento sobre o que os clientes estão carregando em sua rede, inclusive se esses dados estão ou não sujeitos ao ITAR, todos os dados dos clientes dentro da região GovCloud são tratados como dados do ITAR.

• Como a AWS GovCloud (EUA) garante aos clientes que cumpre os requisitos do ITAR?

  Não há certificação formal para o ITAR. A região AWS GovCloud (EUA) é auditada continuamente por um 3PAO (Third Party Assessor) independente e certificado pelo FedRAMP (Federal Risk Authorization Management Program) e recebeu uma P-ATO (Provisional Authority-to-Operate) do FedRAMP High JAB (Joint Authorization Board). Os diretores de informações (CIO) do Departamento de Defesa, do Departamento de Segurança Interna e da Administração de Serviços Gerais dos EUA representam o JAB.

• Como a responsabilidade compartilhada da AWS é aplicada quando os clientes estão transmitindo, processando e armazenando dados sujeitos ao ITAR na AWS?

  A AWS é responsável pela conformidade lógica e física da infraestrutura de nuvem e dos principais serviços oferecidos. Os clientes são responsáveis por seus próprios sistemas, infraestrutura de TI e aplicações locais. Como mencionado acima, a P-ATO do FedRAMP High JAB da AWS GovCloud certifica os controles em vigor na região AWS GovCloud (EUA) para garantir que a AWS apoie os clientes que estejam criando sistemas em conformidade com o ITAR na AWS. Isso facilita para o cliente gerenciar suas próprias obrigações de conformidade com a segurança enquanto processa e armazena dados na região AWS GovCloud (EUA). Veja alguns exemplos abaixo:

  Preserve dados confidenciais: proteja dados confidenciais não classificados com a criptografia do lado do servidor no Amazon S3, armazene e gerencie chaves de segurança com o AWS CloudHSM ou use o nosso AWS Key Management Service (KMS) com um clique.

  Melhore a visibilidade em nuvem: audite o acesso e o uso de dados confidenciais no Amazon CloudTrail, que é o nosso serviço de registro em log de APIs, gerenciado e operado por cidadãos norte-americanos.

  Fortaleça o gerenciamento de identidades: limite o acesso a dados confidenciais por usuário, horário, localização e restrinja as chamadas de API que os usuários podem fazer usando a federação de identidades, a facilidade de mudança de chaves e outras ferramentas de teste de controle de acesso avançadas disponíveis.