適用於軟體公司的資源

適用於安全和隱私權的資源

• 在 AWS 上存取資料

  使用 AWS，客戶的資料將為其所有，而他們也可以掌控資料位置，並決定誰可以存取該資料。我們很清楚地公開 AWS 服務會如何處理上傳至 AWS 帳戶的資料 (客戶資料)，也提供各種功能，可供加密、刪除並監控客戶資料的處理程序。這點依據 AWS 共同責任模式和 AWS 客戶協議。AWS 服務的隱私權功能為每個服務提供了額外精細度。

  資源
  

  • AWS 客戶協議：本 AWS 客戶協議包含控管服務產品存取和使用的條款與條件。
  • AWS 服務的隱私權功能：AWS 服務之主要隱私權功能的概觀，可用來根據歐洲聯盟法院的 Schrems II 決議以及歐洲資料保護委員會針對輔助傳輸工具所提出的措施建議，執行資料傳輸評定。
  • CISPE 資料保護行為準則：CISPE 準則可讓組織保證其雲端基礎設施服務供應商符合 GDPR 下適用於資料處理器的要求。Ernst and Young CertifyPoint (EYCP) 認證了 52 項 AWS 服務合規，讓客戶更確信該服務已經過獨立驗證，證實符合 GDPR 要求。
  • 共同責任模型：安全與合規是 AWS 和客戶的共同責任。此共同模型有助於減輕客戶的操作負擔，因為從託管作業系統和虛擬化層的元件到服務運作的設施實體安全性都由 AWS 操作、管理和控制。
    
  • AWS Nitro System：專用硬體和輕量級 Hypervisor 的組合，可實現機密運算，進而限制操作員存取。
    

• 美國政府存取客戶資料，CLOUD 法案

  CLOUD 法案適用於所有公司，包括在美國開展業務的外國公司，不允許美國執法部門不受限制地存取資料。僅適用於狹隘類別資料：與美國擁有管轄權的恐怖主義等犯罪相關的證據。
  澄清 CLOUD 法案：有專屬頁面說明有關 CLOUD 法案和 AWS 的詳細資訊。
  IDC 對 CLOUD 法案的澄清：IDC 澄清，深入了解有關 CLOUD 法案的事實。
  

  假若申請與法律衝突、過於廣泛或 AWS 有其他適當的理由，我們將質疑政府機構有關客戶資料的執法申請。
  

  資源
  

  • AWS 加強了對執法申請的承諾：透過質疑執法申請並透露最少量的必要資料來修改客戶協議。
  • 執法資訊申請報告：包含 Amazon 處理的執法申請類型和數量的每兩年報告。
  • AWS Well-Architected：AWS Well-Architected 可協助雲端架構師為應用程式和工作負載建置安全、高效能、有彈性又有效率的基礎設施。以六大架構支柱為基礎，即卓越營運、安全性、可靠性、效能達成效率、成本最佳化和永續性，AWS Well-Architected 為客戶與合作夥伴提供一致的方法來評估架構，以及實作可隨時間擴展的設計。

  確保資料保護的技術最佳實務

  • AWS Key Management Service (KMS)
  • AWS Key Management Service 自訂金鑰存放區
  • AWS CloudHSM
  • AWS KMS 常見問答集

• AWS 和資料移動

  客戶可選擇要在哪個 AWS 區域存放其內容。他們可在一個或多個 AWS 區域複寫和備份內容。借助 AWS，客戶可以完全掌控其資料，包括資料儲存位置、資料保護方式、誰有權存取以及如何建構資料主權需求。AWS 只會根據書面指示處理客戶資料。

  資源

  • 資料隱私權常見問答集
  • AWS 和參與 Gaia-X；Gaia-X 是一項歐盟倡議，匯集了來自商業、科學和政界的代表，協助定義下一代資料基礎設施的標準。
  • AWS Control Tower 中的資料落地防護機制：將資料落地要求轉換為可套用至單一帳戶和多帳戶環境的控制機制的簡化方法。
    

   

• AWS 上的資料加密
  

  AWS 會在透露資料之前通知客戶，也會提供眾多進階加密及金鑰管理服務，讓客戶能夠用以保護他們的內容。探索 AWS 的金鑰資料加密資源。

  資源

  • AWS 密碼學基本原理
  • AWS KMS 密碼學白皮書
  • AWS 合規快速啟用
  • AWS 加密更新
    

• 歐盟法律、隱私屏障和 AWS
  

  AWS 客戶和合作夥伴可以繼續使用 AWS 將其內容從歐洲傳輸到美國和其他國家/地區，同時遵守歐盟資料保護法，包括一般資料保護規範 (GDPR)。客戶和合作夥伴也可以在歐盟某個區域內儲存和處理資料，並確保沒有資料傳輸，以便遵守 Schrems II 的裁決。

  資源

  • AWS 和歐盟客戶資料概觀。
  • 電子書：歐盟資料保護和 AWS。

   

• GDPR 及 AWS 如何提供支援
  

  AWS 致力於提供服務和資源，協助我們的客戶遵守可能適用於其活動的資料保護要求，並擁有超過 500 項重視安全和合規的功能和服務。  考慮到這一點，我們在 2018 年 3 月宣布所有 AWS 服務和功能都可以在符合 GDPR 的情況下使用。 

  AWS 在 AWS 服務條款中提供了資料處理附錄 (DPA)，只要 AWS 客戶使用 AWS 服務處理上傳到其 AWS 帳戶的個人資料，該附錄就會自動套用。  AWS DPA 符合 GDPR 規範的條款被視為全球隱私權合規的高標準，超出了大多數其他資料保護法的要求。這意味著客戶將至少達到 (或者甚至超越) 大多數資料保護法所要求的合規標準。 

  如需有關 AWS 如何協助客戶處理資料保護要求的詳細資訊，請參閱我們的資料保護頁面。
  

  資源
  

  • 資料隱私權中心：有關 AWS 資料隱私權的所有資源。
  • GDPR 中心：所有 GDPR 資源和常見問答集。
    
  • AWS 合規計畫：AWS 合規計畫可協助客戶了解 AWS 在維護雲端安全和合規方面所具備的強大控制機制。 
  • AWS 安全、身分與合規：涉及資料保護、身分與存取管理、網路與應用程式保護、威脅偵測和持續監控以及合規與資料隱私權的安全使用案例概觀以及個別 AWS 服務。
  • AWS Well-Architected：AWS Well-Architected 可協助雲端架構師為應用程式和工作負載建置安全、高效能、有彈性又有效率的基礎設施。以六大架構支柱為基礎，即卓越營運、安全性、可靠性、效能達成效率、成本最佳化和永續性，AWS Well-Architected 為客戶與合作夥伴提供一致的方法來評估架構，以及實作可隨時間擴展的設計。
  • AWS Artifact：AWS Artifact 是首選中心資源，會提供對 AWS 客戶至關重要的合規相關資訊。它可讓您隨需存取 AWS 安全與合規報告和選取線上協議。AWS Artifact 提供的報告包括各地理地區和合規行業的認證機構提供的服務組織控制 (SOC) 報告、支付卡產業 (PCI) 報告及認證，以證明 AWS 有效地實作和操作安全控制。AWS Artifact 提供的協議則包括商業夥伴增補合約 (BAA) 和保密協議 (NDA)。
    

• 資料中心的地理位置
  

  AWS 客戶可選擇他們內容和伺服器所在的一或多個 AWS 區域。這讓有特定資料落地地理位置需求的客戶能將環境建立在自己選擇的一或多個位置。客戶可以擁有資料實體所在區域的完整控制權和擁有權，因此很輕鬆就能達到區域合規性和資料落地需求。除非法律要求，否則 AWS 不會在未經客戶同意的情況下移動客戶內容。

  資源

  • AWS 全球基礎設施：目前 AWS 區域、可用區域、連接點以及提供服務的國家和地區的詳細概觀。
  • 區域與可用區域：AWS 區域與可用區域位置的地圖檢視。
  • 資料中心資訊：有關 AWS 資料中心週邊層、基礎設施層、資料層以及環境層的廣泛資訊。
    

• AWS 上的受監管部門
  

  AWS 已獲得多項國際認可的認證，證明符合第三方保證框架，包括 HIPAA、GDPR、法國個人健康資料保護 (HDS)、雲端運算合規目錄 (C5)、西班牙政府標準 (ENS 高)、英國網路威脅防護 (Cyber Essential Plus)、英國政府標準 (G-Cloud) 以及瑞士金融市場監理局通告證明，以滿足受監管部門/公共部門機構的獨特安全、監管和合規義務。

  資源

  • 合規金融機構常見問答集：德國金融機構有關使用 AWS 的常見問答集。
  • 金融服務的合規與安全：AWS 了解金融服務機構在全球範圍內面臨的獨特安全、法規和合規義務。此概觀考量到金融機構安全瀏覽雲端所需的所有資源和步驟。
  • 適用於金融服務的雲端治理：這是一個框架，可指導客戶建立流程以及選擇工具來管理和管控其 AWS 環境。
  • AWS Artifact：這是首選中心資源，可提供與您相關的重要合規相關資訊。它可讓您隨需存取 AWS 安全與合規報告和選取線上協議。
  • AWS 合規計畫：此計畫將注重於治理、便於稽核的服務功能與適用的合規或稽核標準結合在一起，協助客戶了解 AWS 現有的控制機制，以維護雲端的安全和合規。
  • 公共部門的 AWS：為政府、非營利組織、教育和醫療機構提供一站式資源，為創新鋪路並支援改變世界的專案。