ITAR

ภาพรวม

การสนับสนุนของภูมิภาค AWS GovCloud (สหรัฐอเมริกา) การปฏิบัติตามข้อกำหนดเกี่ยวกับอาวุธระหว่างประเทศของสหรัฐอเมริกา (United States International Traffic in Arms Regulations - ITAR) ในฐานะที่เป็นส่วนหนึ่งของการจัดการโปรแกรมการปฏิบัติตามข้อกำหนด ITAR บริษัทที่อยู่ภายใต้ข้อบังคับการส่งออกจะต้องควบคุมการส่งออกที่ขาดเจตนา โดยการ จำกัดการเข้าถึงข้อมูลที่ได้รับการปกป้องของบุคคลในสหรัฐอเมริกา AWS GovCloud (สหรัฐอเมริกา) ตั้งอยู่ในสหรัฐอเมริกาที่ซึ่ง US Persons จะถูกจำกัดการเข้าถึงโดย AWS Personnel ซึ่งอนุญาตให้บริษัทที่ผ่านการรับรองส่งผ่านประมวลผล จัดเก็บบทความและข้อมูลที่ได้รับการปกป้องภายใต้ ITAR สภาพแวดล้อม AWS GovCloud (สหรัฐอเมริกา) ได้รับการตรวจสอบโดยบุคคลที่สามที่เป็นอิสระเพื่อตรวจสอบว่ามีการควบคุมที่เหมาะสม เพื่อสนับสนุนโปรแกรมตามข้อกำหนดสำหรับการส่งออกของลูกค้า

• ITAR คืออะไร

  การปฏิบัติตามข้อกำหนดเกี่ยวกับอาวุธระหว่างประเทศ (International Traffic in Arms Regulations - ITAR) ควบคุมการส่งออกของบทความที่เกี่ยวข้องกับการป้องกันประเทศ และระบุว่าห้ามบุคคลที่ไม่ใช่ของสหรัฐเข้าถึงบทความที่เก็บอยู่ใน ITAR ได้โดยทางทางกายภาพหรือตรรกะ

  ITAR รายการอาวุธของสหรัฐอเมริกา (United States Munitions List - USML) ครอบคลุมวัสดุ รวมถึงอุปกรณ์ ส่วนประกอบ วัสดุ ซอฟต์แวร์ ข้อมูลทางเทคนิคที่สามารถแสดงให้กับสหรัฐอเมริกาได้เท่านั้น ผู้ที่ไม่ได้รับอนุญาตพิเศษหรือได้รับการยกเว้น US Persons คือบุคคลที่เป็นผู้ถือผู้ถือกรีนการ์ดของสหรัฐอเมริกา หรือเป็นพลเมืองสหรัฐอเมริกา
  

• ข้อกำหนด ITAR นำไปใช้ในระบบคลาวด์ได้อย่างไร

  การปฏิบัติตามข้อกำหนด ITAR ในคลาวด์มุ่งเน้นไปที่การสร้างความมั่นใจว่าข้อมูลที่ถือว่าเป็นข้อมูลทางเทคนิคจะไม่ถูกแจกจ่ายไปยังคนหรือประเทศต่างชาติ เพื่อให้ข้อมูลอยู่ภายใต้ ITAR ภาระงาน IT หรือประเภทของข้อมูลจะต้องถูกพิจารณาว่าเป็นการส่งออกตามข้อกำหนดของรายการอาวุธของสหรัฐอเมริกา (US Munitions List - USML)
  

• AWS ให้การสนับสนุนลูกค้าที่อยู่ภายใต้ข้อบังคับการส่งออกของ ITAR อย่างไร

  AWS ให้ทางเลือกแก่ลูกค้าในการจัดเก็บข้อมูลของพวกเขาใน AWS GovCloud (US) ที่จัดการโดย US Persons บนผืนดินของสหรัฐอเมริกา AWS GovCloud (US) เป็นส่วนแยกของคลาวด์บน Amazon ซึ่งบัญชีได้รับอนุญาตให้เฉพาะกับบุคคลที่ทำงานให้กับองค์กรในสหรัฐอเมริกาเท่านั้น

  AWS ไม่สามารถมองเห็นหรือรับทราบเกี่ยวกับสิ่งที่ลูกค้าอัปโหลดไปยังเครือข่ายนั้นได้ ไม่ว่าข้อมูลดังกล่าวถือว่าอยู่ภายใต้กฎหมาย ITAR หรือไม่ ข้อมูลลูกค้าทั้งหมดภายในส่วนของ GovCloud จะถือเป็นข้อมูล ITAR

• AWS GovCloud (US) ให้การรับรองแก่ลูกค้าอย่างไรว่าตรงตามข้อกำหนดของ ITAR

  ไม่มีการรับรอง ITAR อย่างเป็นทางการ AWS GovCloud (US) ได้รับการตรวจสอบอย่างต่อเนื่องโดยโปรแกรมการจัดการความเสี่ยงของรัฐบาลกลาง (Federal Risk Authorization Management Program - FedRAMP) บุคคลที่สามทำหน้าที่ผู้ประเมินอิสระ (3PAO) ที่ได้รับการรับรองและได้รับการอนุมัติจากคณะกรรมการอนุมัติร่วมระดับสูง (Joint Authorization Board - JAB) ของ FedRAMP ผู้มีอำนาจในการดำเนินการชั่วคราว (Provisional Authority-to-Operate - P-ATO) หัวหน้างาน Chief Information Officer (CIO) จากกระทรวงกลาโหมของสหรัฐอเมริกา (Department of Defense - DoD) กระทรวงความมั่นคงแห่งชาติ (Department of Homeland Security) และฝ่ายบริหารงานทั่วไป (General Services Administration) เป็นตัวแทนของ JAB

• ความรับผิดชอบร่วมกันของ AWS คืออะไรเมื่อลูกค้าประมวลผลและจัดเก็บข้อมูลภายใต้ข้อบังคับ ITAR ใน AWS

  AWS มีหน้าที่รับผิดชอบในการปฏิบัติตามข้อกำหนดทางกายภาพและตรรกะ ของโครงสร้างพื้นฐานและบริการหลักที่เสนอบนคลาวด์ ลูกค้ามีหน้าที่รับผิดชอบโครงสร้างพื้นฐานด้าน IT แอปพลิเคชั่น และระบบของตนเอง ดังที่ได้กล่าวมาแล้ว AWS GovCloud FedRAMP High JAB P-ATO ยืนยันการควบคุมภายใน AWS GovCloud (US) เพื่อให้แน่ใจว่า AWS สนับสนุนลูกค้าในการสร้างระบบที่สอดคล้องกับ ITAR บน AWS สิ่งนี้อำนวยความสะดวกให้ลูกค้าในเรื่องของหน้าที่การจัดการตามข้อกำหนดในด้านความปลอดภัยของตัวเอง ในขณะที่ประมวลผลและจัดเก็บข้อมูลใน AWS GovCloud (US) ด้านล่างเป็นตัวอย่างบางส่วน:

  ปกป้องข้อมูลที่ละเอียดอ่อน(Safeguard Sensitive Data): ปกป้องข้อมูลละเอียดอ่อนที่ไม่มีการจัดประเภทด้วยเซิร์ฟเวอร์ที่ต้องใช้รหัสข้างเคียงใน Amazon S3; จัดเก็บและจัดการรหัสความปลอดภัยด้วย AWS CloudHSM หรือใช้ AWS Key Management Service (KMS) ในคลิกเดียว

  ปรับปรุงการมองเห็นบนคลาวด์ (Improve Cloud Visibility): ตรวจสอบการเข้าถึงและการใช้ข้อมูลที่มีความละเอียดอ่อนใน Amazon CloudTrail - บริการบันทึกข้อมูล API จัดการและดำเนินการโดย US Persons

  เสริมสร้างการจัดการข้อมูลผู้ใช้ (Strengthen Identity Management): จำกัดการเข้าถึงข้อมูลที่สำคัญโดยบุคคล เวลา สถานที่ และจำกัดการเรียก API ที่ผู้ใช้สามารถทำได้ด้วยการเชื่อมโยงข้อมูลประจำตัว การหาคีย์ง่ายๆ และเครื่องมือทดสอบการควบคุมการเข้าถึงที่มีประสิทธิภาพ