Trung tâm Quy định bảo vệ dữ liệu chung (GDPR)


Tổng quan

Quy định bảo vệ dữ liệu chung (GDPR) của liên minh Châu Âu bảo vệ quyền cơ bản được riêng tư và đảm bảo việc bảo vệ dữ liệu cá nhân cho chủ thể của dữ liệu. Quy định nêu ra những yêu cầu mạnh mẽ giúp nâng cao và làm hài hòa các tiêu chuẩn về bảo vệ dữ liệu, bảo mật và tuân thủ.

Tất cả Dịch vụ AWS đều sẵn sàng cho GDPR - Đọc thêm

Bên cạnh việc tuân thủ của chính chúng tôi, AWS cam kết cung cấp dịch vụ và tài nguyên cho khách hàng của mình để giúp họ tuân thủ các yêu cầu của GDPR có thể áp dụng với hoạt động của họ. Các tính năng mới được ra mắt thường xuyên và AWS có hơn 500 tính năng và dịch vụ tập trung vào bảo mật và tuân thủ.

Kích hoạt GDPR trong Môi trường AWS của bạn

AWS cung cấp các tính năng và dịch vụ cụ thể mà khách hàng có thể tận dụng khi muốn tuân thủ GDPR.

Mã hóa dữ liệu trên AWS:

  • Mã hóa dữ liệu lưu trữ tại thiết bị của bạn bằng AES256 (EBS/S3/Glacier/RDS)
  • Dịch vụ quản lý khóa được quản lý tập trung (theo Vùng AWS)
  • Lồng ghép IPsec vào AWS bằng Cổng VPN
  • Mô-đun HSM chuyên dụng trong đám mây với AWS CloudHSM

Xem tổng quan về các hoạt động trên tài nguyên AWS của bạn:

  • Quản lý tài sản và cấu hình bằng AWS Config
  • Kiểm tra và phân tích bảo mật bằng AWS CloudTrail
  • Thông tin chi tiết về các lưu trình trong mạng thông qua Amazon VPC-FlowLogs
  • Kiểm tra cấu hình dựa trên quy tắc và hành động theo Quy tắc AWS Config
  • Lọc và giám sát truy cập HTTP vào các ứng dụng có chức năng AWS WAF trong AWS CloudFront

Chỉ cho phép các quản trị viên, người dùng và ứng dụng được ủy quyền:

  • Multi-Factor Authentication (MFA)
  • Truy cập sâu vào các đối tượng trong Amazon S3, Amazon SQS và Amazon SNS
  • Xác thực yêu cầu API
  • Hạn chế địa lý
  • Token truy cập tạm thời qua AWS Security Token Service

Khách hàng kiểm soát nội dung khách hàng của mình. Với AWS, khách hàng:

  • Xác định nơi sẽ lưu trữ nội dung của khách hàng, bao gồm loại lưu trữ và vùng địa lý nơi lưu trữ.
  • Chọn trạng thái bảo mật cho nội dung khách hàng. Chúng tôi cung cấp cho khách hàng khả năng mã hóa mạnh mẽ cho nội dung khách hàng đang truyền và đang lưu trữ, đồng thời khách hàng cũng có tùy chọn quản lý khóa mã hóa riêng của mình.
  • Quản lý truy cập nội dung khách hàng của mình và các dịch vụ và tài nguyên AWS thông qua người dùng, nhóm, quyền và thông tin xác thực mà khách hàng kiểm soát.

Mục tiêu của cách tiếp cận SbD là nhằm đạt được điều sau đây:

  • Tạo các chức năng bắt buộc mà những người dùng không được phép điều chỉnh chức năng này không thể ghi đè.
  • Thiết lập vận hành biện pháp kiểm soát đáng tin cậy.
  • Cho phép kiểm tra liên tục và trong thời gian thực.
  • Tạo tập lệnh kỹ thuật cho chính sách quản trị của bạn.

Tính năng đầu ngành của chúng tôi đặt ra nền tảng cho danh sách dài gồm những chứng nhận và chứng chỉ được quốc tế công nhận, thể hiện việc tuân thủ các tiêu chuẩn quốc tế nghiêm ngặt như ISO 27001 đối với biện pháp kỹ thuật, ISO 27017 đối với bảo mật đám mây, ISO 27018 đối với quyền riêng tư trên đám mây, SOC 1, SOC 2 và SOC 3, PCI DSS Cấp 1 và các chứng nhận của Châu Âu như Danh mục biện pháp kiểm soát điện toán đám mây (C5) của BSI và ENS High. Gần đây, AWS cũng đã công bố tuân thủ Bộ quy tắc ứng xử của CISPE.

Tận dụng dịch vụ AWS

Amazon Macie

Chủ động bảo vệ thông tin nhận dạng cá nhân (PII) và biết khi nào thông tin di chuyển.

TÌM HIỂU THÊM VỀ AMAZON MACIE »

AWS Identity and Access Management (IAM)

Tạo và quản lý người dùng và nhóm AWS, sử dụng quyền để cho phép và từ chối quyền truy cập tài nguyên AWS của họ.

TÌM HIỂU THÊM VỀ AWS IAM »

AWS Config

Đơn giản hóa việc kiểm tra tuân thủ, phân tích bảo mật, quản lý thay đổi và khắc phục sự cố vận hành.  

TÌM HIỂU THÊM VỀ AWS CONFIG »

Amazon Inspector

Xác định các tiêu chuẩn và biện pháp thực hành tốt nhất cho ứng dụng của bạn và xác thực việc tuân thủ theo những tiêu chuẩn này.

TÌM HIỂU THÊM VỀ AMAZON INSPECTOR »

Amazon GuardDuty

Phát hiện mối đe dọa thông minh và liên tục giám sát để bảo vệ tài khoản và khối lượng công việc AWS của bạn.

TÌM HIỂU THÊM VỀ AMAZON GUARDDUTY »

AWS Key Management Service (KMS)

Dễ dàng tạo và kiểm soát khóa dùng để mã hóa dữ liệu của bạn.

TÌM HIỂU THÊM VỀ AWS KMS »

Câu hỏi thường gặp về GDPR

  • GDPR là gì?

    Quy định bảo vệ dữ liệu chung (GDPR) là luật về quyền riêng tư mới của Châu Âu, có hiệu lực thi hành vào ngày 25/05/2018. GDPR thay thế Chỉ thị bảo vệ dữ liệu của Châu Âu, hay còn gọi là Chỉ thị 95/46/EC và được thiết kế nhằm làm hài hòa các luật bảo vệ dữ liệu trên toàn Liên minh Châu Âu (EU) bằng cách áp dụng một luật bảo vệ dữ liệu duy nhất ràng buộc từng nước thành viên.

  • GDPR áp dụng với ai?

    GDPR áp dụng cho tất cả tổ chức thành lập ở Châu Âu và các tổ chức, dù có thành lập ở Châu Âu hay không, xử lý dữ liệu cá nhân của các chủ thể dữ liệu ở Châu Âu liên quan tới việc cung cấp hàng hóa hoặc dịch vụ cho chủ thể dữ liệu ở Châu Âu hoặc giám sát hành vi diễn ra trong Châu Âu. Dữ liệu cá nhân là bất kỳ thông tin nào liên quan tới một thể nhân xác định được hoặc có thể xác định được danh tính.

  • AWS có được chứng nhận theo khuôn khổ Lá chắn bảo mật giữa Châu Âu-Hoa Kỳ không?

    Có. Amazon.com, Inc. được chứng nhận theo chương trình Lá chắn bảo mật giữa Châu Âu-Hoa Kỳ và AWS được áp dụng theo chứng nhận này. Điều này giúp khách hàng lựa chọn truyền dữ liệu cá nhân sang Hoa Kỳ có thể đáp ứng các nghĩa vụ về bảo vệ dữ liệu của mình. Bạn có thể xem chứng nhận của Amazon.com Inc. trên website Lá chắn bảo mật giữa Châu Âu-Hoa Kỳ ở đây: https://www.privacyshield.gov/list

    Để tìm hiểu thêm về chủ đề này trong bối cảnh của AWS, hãy truy cập trang Lá chắn bảo mật giữa Châu Âu-Hoa Kỳ của chúng tôi. 

  • AWS đã làm gì để chuẩn bị cho GDPR?

    Các chuyên gia tuân thủ, bảo vệ dữ liệu và bảo mật của AWS đang làm việc với khách hàng trên khắp thế giới để trả lời câu hỏi của họ và giúp họ chuẩn bị cho khối lượng công việc chạy trên Đám mây AWS sau khi GDPR được thi hành. Những nhóm này cũng đã xem xét mức độ sẵn sàng của dịch vụ AWS với việc đáp ứng các yêu cầu của GDPR và xác nhận rằng tất cả Dịch vụ AWS đều sẵn sàng cho GDPR.

    Ngoài ra, chúng tôi cung cấp cho khách hàng một Thỏa thuận xử lý dữ liệu sẽ đáp ứng các yêu cầu của GDPR (GDPR DPA). GDPR DPA này được đưa vào Điều khoản Dịch vụ AWS và tự động áp dụng cho tất cả khách hàng, những người cần phụ lục này để tuân thủ GDPR.

    Gần đây, AWS cũng đã công bố tuân thủ Bộ quy tắc ứng xử của CISPE. Bộ quy tắc ứng xử của CISPE giúp các khách hàng sử dụng dịch vụ điện toán đám mây đánh giá xem nhà cung cấp cơ sở hạ tầng đám mây của họ tuân thủ các nghĩa vụ bảo vệ dữ liệu như thế nào theo GDPR. AWS đã công bố rằng Amazon Elastic Compute Cloud (Amazon EC2), Amazon Simple Storage Service (Amazon S3), Amazon Relational Database Service (Amazon RDS), AWS Identity and Access Management (IAM), AWS CloudTrailAmazon Elastic Block Storage (Amazon EBS) tuân thủ đầy đủ Bộ quy tắc của CISPE. Điều này giúp khách hàng an tâm hơn về khả năng kiểm soát toàn bộ dữ liệu của mình trong một môi trường an toàn, bảo mật và tuân thủ khi họ sử dụng AWS. Bạn có thể xem thêm chi tiết về việc tuân thủ Bộ quy tắc ứng xử CISPE của AWS tại website: https://cispe.cloud/

    AWS liên tục duy trì mức bảo mật cao và tuân thủ ở tất cả các hoạt động trên toàn cầu của mình. Bảo mật luôn là ưu tiên cao nhất của chúng tôi – thực sự là "job zero". Mức độ bảo mật đầu ngành của chúng tôi đặt ra nền tảng cho danh sách dài gồm những chứng nhận và chứng chỉ được quốc tế công nhận, thể hiện việc tuân thủ các tiêu chuẩn quốc tế nghiêm ngặt như ISO 27017 đối với bảo mật đám mây, ISO 27018 đối với quyền riêng tư trên đám mây, SOC 1, SOC 2 và SOC 3, PCI DSS Cấp 1 và các chứng nhận khác. AWS cũng giúp khách hàng đáp ứng các tiêu chuẩn bảo mật địa phương như Danh mục biện pháp kiểm soát điện toán đám mây chung (C5) của BSI, một chương trình chứng thực được chính phủ Đức hỗ trợ.

  • AWS có tuân thủ Bộ quy tắc ứng xử nào như đề cập trong yêu cầu của GDPR không?

    AWS công bố tuân thủ Bộ quy tắc ứng xử về bảo vệ dữ liệu của CISPE. CISPE là một liên minh của các nhà cung cấp cơ sở hạ tầng đám mây (hay còn gọi là Dịch vụ cơ sở hạ tầng), chuyên cung cấp dịch vụ đám mây cho khách hàng ở Châu Âu. Bộ quy tắc ứng xử của CISPE giúp các khách hàng sử dụng đám mây đảm bảo rằng nhà cung cấp cơ sở hạ tầng đám mây đang sử dụng các tiêu chuẩn bảo vệ dữ liệu thích hợp để bảo vệ dữ liệu của họ theo GDPR. Một vài lợi ích quan trọng của Bộ quy tắc này bao gồm:

    • Nêu rõ trách nhiệm của từng đối tượng liên quan tới việc bảo vệ dữ liệu: Bộ quy tắc ứng xử giải thích vai trò của cả nhà cung cấp khách hàng theo GDPR, đặc biệt là trong bối cảnh dịch vụ cơ sở hạ tầng đám mây.
    • Bộ quy tắc ứng xử đặt ra những nguyên tắc mà nhà cung cấp cần tuân thủ: Bộ quy tắc ứng xử vạch ra các hành động và cam kết mà nhà cung cấp cần tiến hành nhằm tuân thủ GDPR và giúp khách hàng tuân thủ.
    • Bộ quy tắc ứng xử cung cấp cho khách hàng thông tin liên quan tới việc bảo vệ dữ liệu và bảo mật dữ liệu mà họ cần để đưa ra quyết định về việc tuân thủ: Bộ quy tắc ứng xử yêu cầu nhà cung cấp công khai về các bước mà họ đang tiến hành để thực hiện cam kết bảo mật của mình. Những bước này liên quan tới thông báo về xâm phạm dữ liệu, xóa dữ liệu và việc xử lý lại của bên thứ ba, cũng như việc thực thi luật và các yêu cầu của chính phủ. Khách hàng có thể sử dụng thông tin này để hiểu đầy đủ về các cấp bảo mật cao được cung cấp.

    Để biết những lưu ý về việc AWS xử lý yêu cầu thực thi pháp luật như thế nào, hãy xem: "Giải quyết vấn đề nơi lưu trữ dữ liệu bằng AWS".

  • GDPR mang tới thay đổi gì cho các tổ chức đang hoạt động ở Châu Âu?

    Một trong những khía cạnh chính của GDPR đó là tạo sự nhất quán giữa các nước thành viên Châu Âu về cách dữ liệu cá nhân có thể được xử lý, sử dụng và trao đổi một cách bảo mật. Các tổ chức sẽ cần liên tục chứng tỏ mức độ bảo mật của dữ liệu mà họ đang xử lý và việc họ tuân thủ GDPR bằng cách thực hiện và thường xuyên xem xét các biện pháp kỹ thuật và tổ chức mạnh mẽ, cũng như các chính sách tuân thủ.

  • AWS cung cấp cho khách hàng những dịch vụ nào để giúp họ tuân thủ GDPR?

    AWS đang cung cấp các tính năng và dịch vụ cụ thể giúp khách hàng đáp ứng yêu cầu của GDPR:

    Kiểm soát truy cập: Chỉ cho phép các quản trị viên, người dùng và ứng dụng được ủy quyền truy cập tài nguyên AWS

    • Multi-Factor Authentication (MFA)
    • Truy cập sâu vào các đối tượng trong Amazon S3-Buckets/ Amazon SQS/ Amazon SNS và những đối tượng khác
    • Xác thực yêu cầu API
    • Hạn chế địa lý
    • Token truy cập tạm thời qua AWS Security Token Service

    Giám sát và ghi nhật ký: Xem tổng quan về các hoạt động trên tài nguyên AWS của bạn

    • Quản lý tài sản và cấu hình bằng AWS Config
    • Kiểm tra tuân thủ và phân tích bảo mật bằng AWS CloudTrail
    • Nhận biết các thách thức về cấu hình thông qua AWS Trusted Advisor
    • Ghi nhật ký chi tiết về truy cập đối tượng Amazon S3
    • Thông tin chi tiết về các lưu trình trong mạng thông qua Amazon VPC-FlowLogs
    • Kiểm tra cấu hình dựa trên quy tắc và hành động theo Quy tắc AWS Config
    • Lọc và giám sát truy cập HTTP vào các ứng dụng có chức năng WAF trong AWS CloudFront

    Mã hóa: Mã hóa dữ liệu trên AWS

    • Mã hóa dữ liệu lưu trữ tại thiết bị của bạn bằng AES256 (EBS/S3/Glacier/RDS)
    • Dịch vụ quản lý khóa được quản lý tập trung (theo Vùng AWS)
    • Lồng ghép IPsec vào AWS bằng Cổng VPN
    • Mô-đun HSM chuyên dụng trong đám mây với AWS CloudHSM

    Khuôn khổ tuân thủ và tiêu chuẩn bảo mật mạnh mẽ:

    • Được chứng nhận ISO 27001/9001
    • Được chứng nhận ISO 27017/27018
    • Danh mục biện pháp kiểm soát tuân thủ điện toán đám mây (C5 - chương trình chứng thực được chính phủ Đức hỗ trợ)
    • AWS, cùng với tổ chức kiểm tra TÜV TRUST IT, đã ban hành sổ công tác chứng nhận khách hàng trong đó đưa ra hướng dẫn về cách tuân thủ IT Grundschutz của BSI ở Đức trong Đám mây
  • Khách hàng có thể làm gì để chuẩn bị cho GDPR?

    Sau đây là một số điểm chính có thể giúp ích khi cân nhắc việc tuân thủ GDPR:

    • Phạm vi lãnh thổ: Xác định xem GDPR có áp dụng cho các hoạt động của tổ chức hay không là điều thiết yếu để đảm bảo tổ chức đó có khả năng đáp ứng các nghĩa vụ tuân thủ của mình. GDPR áp dụng cho tất cả các tổ chức được thành lập ở Châu Âu. Tuy nhiên, tùy vào hoạt động của bạn mà GDPR cũng có thể áp dụng với bạn nếu bạn được thành lập bên ngoài Châu Âu.
       
    • Quyền của chủ thể dữ liệu: GDPR tăng cường quyền của chủ thể dữ liệu theo nhiều cách. Ví dụ: chủ thể dữ liệu có quyền phản đối việc xử lý dữ liệu của mình và họ có quyền truy cập dữ liệu cá nhân về mình. Các tổ chức tuân theo GDPR sẽ cần đảm bảo có thể đáp ứng các quyền của chủ thể dữ liệu nếu có xử lý dữ liệu cá nhân của họ.
       
    • Thông báo xâm phạm dữ liệu: Nếu là một bên kiểm soát dữ liệu, bạn sẽ cần báo cáo trường hợp xâm phạm dữ liệu cá nhân với cơ quan quản lý giám sát phù hợp, không được chậm trễ mà không có lý do và nếu được, không muộn hơn 72 giờ sau khi biết về sự việc đó. Sử dụng AWS giúp bạn có khả năng kiểm soát cách thức xử lý và bảo vệ dữ liệu cá nhân. Điều này giúp bạn có khả năng giám sát môi trường của mình xem có bị xâm phạm không và thông báo với nhà quản lý và các cá nhân bị ảnh hưởng như quy định trong GDPR. Ngoài ra, với tư cách là bên xử lý dữ liệu, AWS sẽ thông báo với bạn mà không có trì hoãn vô lý nào nếu chúng tôi được biết (i) có hành vi xâm phạm tiêu chuẩn bảo mật của mình mà dẫn đến việc tiêu hủy, mất mát, thay đổi, tiết lộ trái phép hoặc truy cập bất kỳ dữ liệu cá nhân nào, một cách vô ý hoặc bất hợp pháp, mà được tải lên dịch vụ AWS trong tài khoản của bạn hoặc (ii) có truy cập trái phép vào thiết bị hoặc cơ sở của AWS, mà trong cả hai trường hợp, việc này dẫn tới tiêu hủy, mất mát, tiết lộ trái phép hoặc thay đổi dữ liệu cá nhân được tải lên dịch vụ AWS trong tài khoản của bạn.
       
    • Cán bộ bảo vệ dữ liệu (Data Protection Officer, DPO): Bạn có thể cần bổ nhiệm một DPO để quản lý bảo mật dữ liệu và các vấn đề khác liên quan tới việc xử lý dữ liệu cá nhân.
       
    • Đánh giá tác động bảo vệ dữ liệu (Data Protection Impact Assessment (DPIA)): Bạn có thể cần tiến hành và trong một số trường hợp, bạn có thể phải nộp cho cơ quan giám sát một bản DPIA cho các hoạt động xử lý của mình. Việc này sẽ cần xác định quy trình và thủ tục xử lý dữ liệu của bạn, cũng như các biện pháp kiểm soát tại chỗ để bảo vệ dữ liệu cá nhân.
       
    • Thỏa thuận xử lý dữ liệu (Data Processing Agreement, DPA): Bạn có thể cần một bản DPA đáp ứng yêu cầu của GDPR, nhất là khi dữ liệu cá nhân được truyền ra bên ngoài EEA. AWS cung cấp cho khách hàng một bản DPA theo GDPR được đưa vào Điều khoản Dịch vụ AWS và tự động áp dụng cho tất cả khách hàng, những người cần phụ lục này để tuân thủ GDPR. AWS cung cấp hàng loạt các dịch vụ và các tính năng dịch vụ cụ thể để giúp khách hàng đáp ứng các yêu cầu của GDPR, bao gồm dịch vụ kiểm soát truy cập, giám sát, ghi nhật ký và mã hóa. Bạn có thể xem thêm thông tin về những vấn đề này trong phần trên, “AWS cung cấp cho khách hàng những dịch vụ nào để giúp họ tuân thủ GDPR?”

    Chúng tôi cũng có các nhóm gồm các chuyên gia tuân thủ, bảo vệ dữ liệu và bảo mật, cũng như gồm cả Đối tác của AWS, những người đang làm việc với khách hàng để trả lời câu hỏi của họ và giúp họ chuẩn bị cho khối lượng công việc trong đám mây sau khi GDPR được thi hành. Để biết thêm thông tin về điều này, vui lòng liên hệ với Quản lý Tài khoản AWS của bạn.

  • AWS có đưa ra Phụ lục xử lý dữ liệu (DPA) không?

    Có. AWS đưa ra một Phụ lục xử lý dữ liệu tuân thủ GDPR (GDPR DPA), cho phép bạn tuân thủ các nghĩa vụ theo hợp đồng với GDPR. AWS GDPR DPA được đưa vào Điều khoản Dịch vụ AWS và tự động áp dụng cho tất cả khách hàng trên toàn cầu, những người cần phụ lục này để tuân thủ GDPR.

  • Dịch vụ AWS có tuân thủ GDPR không?

    Dịch vụ AWS tuân thủ Quy định bảo vệ dữ liệu chung (GDPR). Điều này có nghĩa rằng, ngoài việc hưởng lợi từ tất cả các biện pháp mà AWS đã tiến hành để duy trì mức bảo mật của dịch vụ, khách hàng có thể triển khai dịch vụ AWS như một phần quan trọng trong kế hoạch tuân thủ GDPR của mình. Để biết thêm chi tiết, hãy xem công bố sẵn sàng cho dịch vụ GDPR của chúng tôi trong Blog Bảo mật của AWS: https://aws.amazon.com/blogs/security/all-aws-services-gdpr-ready/.

  • Vai trò của AWS theo GDPR là gì? AWS là bên xử lý dữ liệu hay bên kiểm soát dữ liệu?

    AWS đóng vai trò là cả bên xử lý dữ liệu và bên kiểm soát dữ liệu theo GDPR.

    • AWS với tư cách là bên xử lý dữ liệu – Khi khách hàng và các Đối tác thuộc mạng lưới đối tác của AWS (APN) sử dụng dịch vụ AWS để xử lý dữ liệu cá nhân trong nội dung của mình, AWS đóng vai trò như một bên xử lý dữ liệu. Khách hàng và Đối tác APN có thể sử dụng các biện pháp kiểm soát sẵn có trong dịch vụ AWS, bao gồm các biện pháp kiểm soát cấu hình bảo mật, để xử lý dữ liệu cá nhân. Trong những trường hợp này, khách hàng hoặc Đối tác APN có thể đóng vai trò như một bên kiểm soát dữ liệu hoặc bên xử lý dữ liệu, trong khi AWS đóng vai trò là một bên xử lý dữ liệu hoặc bên xử lý phụ. AWS cung cấp một Phụ lục xử lý dữ liệu (DPA) tuân thủ GDPR, trong đó có các cam kết của AWS với tư cách là bên xử lý dữ liệu.
    • AWS với tư cách là bên kiểm soát dữ liệu – Khi AWS thu thập dữ liệu cá nhân và xác định mục tiêu và phương thức xử lý dữ liệu cá nhân đó – ví dụ: khi AWS lưu trữ thông tin tài khoản cho việc đăng ký tài khoản, quản lý, truy cập dịch vụ hoặc thông tin liên hệ cho tài khoản AWS để trợ giúp thông qua các hoạt động hỗ trợ khách hàng – AWS đóng vai trò là bên kiểm soát dữ liệu.
  • GDPR ảnh hưởng như thế nào tới mô hình chia sẻ trách nhiệm của AWS?

    GDPR không thay đổi mô hình chia sẻ trách nhiệm của AWS mà mô hình này vẫn tiếp tục áp dụng cho khách hàng và Đối tác APN, những người chú trọng vào việc sử dụng dịch vụ điện toán đám mây. Mô hình chia sẻ trách nhiệm là một phương pháp hữu ích để minh họa các trách nhiệm khác nhau của AWS (với tư cách là bên xử lý dữ liệu hoặc bên xử lý phụ) và khách hàng hoặc Đối tác APN (với tư cách là bên kiểm soát dữ liệu hoặc bên xử lý dữ liệu) theo GDPR.

    Theo mô hình chia sẻ trách nhiệm, AWS chịu trách nhiệm bảo mật cho cơ sở hạ tầng cơ bản hỗ trợ cho đám mây, trong khi khách hàng và đối tác APN, với vai trò là bên kiểm soát dữ liệu hoặc bên xử lý dữ liệu, chịu trách nhiệm về bất kỳ dữ liệu cá nhân nào mà họ đưa lên đám mây.

    Trách nhiệm của AWS với tư cách là bên xử lý dữ liệu

    AWS chịu trách nhiệm bảo vệ cơ sở hạ tầng toàn cầu vận hành tất cả các dịch vụ được cung cấp trong Đám mây AWS. Cơ sở hạ tầng này gồm có phần cứng, phần mềm, mạng và cơ sở vận hành dịch vụ AWS, cung cấp các biện pháp kiểm soát mạnh mẽ cho khách hàng và Đối tác APN, bao gồm các biện pháp kiểm soát cấu hình bảo mật, để xử lý nội dung khách hàng. Bảo vệ cơ sở hạ tầng này là ưu tiên số một của AWS. AWS cung cấp một số báo cáo tuân thủ từ các tổ chức kiểm tra bên thứ ba, những bên đã xác minh tính tuân thủ của chúng tôi với nhiều tiêu chuẩn và quy định về bảo mật máy tính (để biết thêm thông tin, hãy truy cập: https://aws.amazon.com/compliance). Những báo cáo này cho các khách hàng và Đối tác APN của chúng tôi biết rằng chúng tôi đang bảo vệ dữ liệu cá nhân mà họ chọn xử lý trên AWS. Những ví dụ điển hình bao gồm tuân thủ ISO 27001, 27017 và 27018 của AWS. ISO 27018 có các biện pháp kiểm soát bảo mật tập trung vào việc bảo vệ dữ liệu cá nhân. Bạn có thể tham khảo chi tiết về tuân thủ ISO 27108 của AWS ở đây: https://aws.amazon.com/compliance/iso-27018-faqs/.

    AWS cũng chịu trách nhiệm về cấu hình bảo mật cho các công nghệ được coi như dịch vụ có quản lý của mình. Ví dụ về những dịch vụ này bao gồm Amazon DynamoDB, Amazon RDS, Amazon Redshift, Amazon Elastic MapReduce và một số dịch vụ khác. Những dịch vụ này cung cấp khả năng mở rộng và linh hoạt cho các tài nguyên trên nền đám mây bên cạnh lợi ích bổ sung khi được quản lý. Đối với những dịch vụ này, AWS xử lý các tác vụ bảo mật cơ bản như bản vá cơ sở dữ liệu và bảo mật của hệ điều hành (HĐH), cấu hình tường lửa và phục hồi sau thảm họa. Đối với những dịch vụ được quản lý, khách hàng và Đối tác APN cấu hình kiểm soát truy cập lô-gic cho tài nguyên và bảo vệ thông tin xác thực tài khoản của mình. Một vài người trong số đó có thể yêu cầu tác vụ bổ sung như thiết lập tài khoản người dùng trong cơ sở dữ liệu, nhưng nhìn chung, công tác cấu hình bảo mật được thực hiện bởi dịch vụ. Trong tất cả những dịch vụ này, khách hàng và Đối tác APN vẫn chịu trách nhiệm về mọi dữ liệu cá nhân mà họ đưa lên đám mây.

    AWS cũng cung cấp một Phụ lục xử lý dữ liệu (GDPR DPA) tuân thủ GDPR, trong đó có các cam kết của AWS với tư cách là bên xử lý dữ liệu. AWS GDPR DPA được đưa vào Điều khoản Dịch vụ AWS và tự động áp dụng cho tất cả khách hàng, những người cần phụ lục này để tuân thủ GDPR.

    Trách nhiệm của khách hàng và Đối tác APN với tư cách là bên kiểm soát dữ liệu — và dịch vụ AWS có thể hỗ trợ như thế nào:

    Với Đám mây AWS, khách hàng và đối tác APN có thể chuẩn bị máy chủ, bộ nhớ, cơ sở dữ liệu và máy tính bàn ảo sau vài phút thay vì nhiều tuần. Họ cũng có thể sử dụng các công cụ phân tích và luồng công việc trên nền đám mây để xử lý dữ liệu khi cần, sau đó lưu trữ trong trung tâm dữ liệu của mình hoặc trong đám mây. Khách hàng và đối tác APN sử dụng dịch vụ AWS sẽ xác định lượng công việc cấu hình mà họ phải thực hiện trong khuôn khổ trách nhiệm GDPR của mình. Các sản phẩm của AWS thuộc danh mục Dịch vụ cơ sở hạ tầng (IaaS)—chẳng hạn như Amazon EC2, Amazon VPC và Amazon S3—hoàn toàn thuộc kiểm soát của khách hàng hoặc Đối tác APN và yêu cầu họ phải thực hiện tất cả các tác vụ cấu hình và quản lý bảo mật cần thiết. Ví dụ: đối với các phiên bản EC2, họ chịu trách nhiệm quản lý HĐH khách (bao gồm các bản cập nhật và bản vá bảo mật), bất kỳ phần mềm ứng dụng hay tiện ích nào được cài đặt trên phiên bản và cấu hình tường lửa do AWS cung cấp (gọi là nhóm bảo mật) trên từng phiên bản—các tác vụ bảo mật cần được thực hiện bất kể máy chủ nằm ở đâu.

    Để thực hiện bảo vệ dữ liệu theo thiết kế và các nguyên tắc mặc định, chúng tôi khuyến nghị khách hàng và Đối tác APN nên bảo vệ thông tin xác thực tài khoản AWS của mình và thiết lập tài khoản người dùng cá nhân bằng Amazon Identity and Access Management (IAM) sao cho mỗi người dùng có thông tin xác thực riêng, cho phép khả năng thực hiện truy cập dữ liệu theo quyền và phân chia trách nhiệm theo vai trò người dùng. Chúng tôi cũng khuyên nên sử dụng xác thực đa yếu tố (MFA) với mỗi tài khoản, yêu cầu sử dụng SSL/TLS để giao tiếp với tài nguyên AWS, thiết lập ghi nhật ký hoạt động API/người dùng bằng AWS CloudTrail, tận dụng lợi thế của các giải pháp mã hóa AWS và các biện pháp kiểm soát bảo mật khác trong dịch vụ AWS. Khách hàng và Đối tác APN cũng có thể sử dụng các dịch vụ bảo mật nâng cao như Amazon GuardDuty, đối với bảo mật tài khoản và cơ sở hạ tầng và Amazon Macie, nhằm hỗ trợ phát hiện và bảo mật dữ liệu cá nhân lưu trữ trong Amazon S3, để tuân thủ GDPR.

    Để biết thêm thông tin về các biện pháp bổ sung mà khách hàng có thể thực hiện và giải pháp mà AWS cung cấp, vui lòng tham khảo báo cáo nghiên cứu chuyên sâu Biện pháp thực hành tốt nhất về tính bảo mật AWS và bài đăng được đề xuất nên đọc trên trang web Tài nguyên Bảo mật AWS tại địa chỉ: https://aws.amazon.com/security/.

  • Tôi nên liên hệ với ai nếu có câu hỏi về GDPR và AWS?

    Chúng tôi khuyến nghị khách hàng và Đối tác APN nếu có thắc mắc về việc bảo vệ dữ liệu hoặc AWS và GDPR thì hãy liên hệ với quản lý tài khoản AWS của mình trước. Nếu đã đăng ký Hỗ trợ doanh nghiệp, khách hàng cũng có thể liên hệ với Quản lý khách hàng kỹ thuật (TAM) của mình. Các TAM làm việc với Kiến trúc sư giải pháp để giúp khách hàng nhận biết những rủi ro tiềm tàng và biện pháp giảm nhẹ thiệt hại có thể có. Các TAM và nhóm quản lý tài khoản cũng có thể chỉ cho khách hàng và Đối tác APN biết về những tài nguyên cụ thể dựa vào môi trường và nhu cầu của mình.

    AWS cũng có các nhóm gồm Đại diện hỗ trợ doanh nghiệp, Tư vấn viên dịch vụ chuyên nghiệp và các nhân viên khác giúp trả lời câu hỏi về GDPR. Để giúp hướng dẫn khách hàng và Đối tác APN tốt hơn, AWS cũng tổ chức nhiều buổi nói chuyện, hội thảo web và hội thảo tại Hội nghị cấp cao AWS AWS Pop-up Loft để giúp họ hiểu về GDPR và thực hiện các giải pháp bằng cách sử dụng công cụ của AWS.

  • AWS cung cấp hướng dẫn kỹ thuật gì xoay quanh GDPR cho khách hàng và Đối tác APN?

    AWS cung cấp cho khách hàng và Đối tác APN nhiều tài nguyên để giúp họ trên hành trình tuân thủ GDPR. AWS cũng có các nhóm gồm Đại diện Hỗ trợ doanh nghiệp, Tư vấn viên dịch vụ chuyên nghiệp và các nhân viên khác để giúp khách hàng và Đối tác APN trả lời câu hỏi về GDPR. Chúng tôi đã thêm khả năng dành cho khách hàng tìm kiếm "GDPR" trong Trình tìm kiếm giải pháp đối tác AWS nhằm giúp tìm kiếm ISV, MSP và các đối tác SI có sản phẩm và dịch vụ giúp tuân thủ GDPR. Khách hàng cũng có thể tìm kiếm giải pháp "GDPR" trên AWS Marketplace.

  • AWS có hỗ trợ Dịch vụ chuyên nghiệp để đảm bảo tuân thủ GDPR không?

    Nhóm dịch vụ chuyên nghiệp của AWS đang tổ chức nhiều hoạt động để giúp khách hàng và Đối tác APN trên hành trình tuân thủ GDPR của mình. Tư vấn viên dịch vụ chuyên nghiệp đang giúp trả lời câu hỏi về GDPR bằng cách tổ chức các buổi tư vấn riêng cũng như buổi nói chuyện công khai, hội thảo web và hội thảo tại Hội nghị cấp cao AWSAWS Pop-up Loft. Nhóm dịch vụ chuyên nghiệp của AWS cũng đang làm việc trực tiếp với khách hàng và Đối tác APN để cung cấp cho họ hướng dẫn kỹ thuật xoay quanh GDPR và thực hiện bảo vệ dữ liệu theo thiết kế và theo mặc định bằng cách sử dụng công cụ của AWS. Bạn có thể xem thêm chi tiết về việc Tư vấn viên dịch vụ chuyên nghiệp của AWS đang giúp khách hàng và Đối tác APN như thế nào tại địa chỉ: https://aws.amazon.com/professional-services/.

  • AWS Support có thể giúp tôi như thế nào trên hành trình tuân thủ GDPR?

    AWS Premium Support làm việc với khách hàng và Đối tác APN để cung cấp hướng dẫn kỹ thuật nhằm giúp họ trên hành trình tuân thủ GDPR. Trong khuôn khổ hoạt động này, hiện tại, chúng tôi có các nhóm Kỹ sư hỗ trợ đám mây và Quản lý khách hàng kỹ thuật, họ đã được đào tạo để có thể nhận biết và giảm thiểu rủi ro tuân thủ. Có hai chương trình mà khách hàng và Đối tác APN có thể thấy hữu ích khi theo đuổi mục tiêu tuân thủ GDPR, đó là:

    • Cloud Operations Review – Áp dụng cho khách hàng sử dụng AWS Enterprise Support, chương trình này được thiết kế để nhận biết các lỗ hổng trong cách tiếp cận hoạt động trong đám mây. Bắt nguồn từ một bộ các biện pháp thực hành nghiệp vụ tốt nhất cùng với kinh nghiệm của AWS trong quá trình làm việc với nhiều khách hàng tiêu biểu, chương trình này đánh giá hoạt động đám mây và các thực tiễn quản lý đi kèm, từ đó có thể hỗ trợ các tổ chức trên hành trình tuân thủ GDPR của họ. Chương trình này sử dụng một cách tiếp cận với bốn trụ cột, tập trung vào việc chuẩn bị, giám sát, vận hành và tối ưu hóa các hệ thống trên nền đám mây trong nỗ lực theo đuổi sự vận hành vượt trội.
    • Well-Architected Review – Chương trình này cho phép các tổ chức đánh giá kiến trúc của mình theo các biện pháp thực hành tốt nhất của AWS và xây dựng kiến trúc an toàn, đáng tin cậy, hiệu suất cao và hiệu quả về mặt chi phí. Đánh giá kiến trúc tốt cũng cho phép khách hàng và Đối tác APN hiểu rõ vị trí của rủi ro trong kiến trúc của mình và giải quyết rủi ro đó trước khi đưa ứng dụng vào sản xuất.

    Đối với những Khách hàng và Đối tác APN muốn tìm hiểu xem AWS Premium Support có thể giúp họ như thế nào, họ có thể xem thêm thông tin trong Trung tâm AWS Support, qua bảng điều khiển AWS (https://console.aws.amazon.com/support/), bằng cách sử dụng chi tiết liên hệ như đã nêu rõ trong Thỏa thuận hỗ trợ doanh nghiệp ký kết với AWS, hoặc bằng cách truy cập trang AWS Premium Support tại địa chỉ: https://aws.amazon.com/premiumsupport/. Khách hàng có Hỗ trợ doanh nghiệp hãy liên hệ với TAM của mình nếu có câu hỏi liên quan tới GDPR.

  • AWS có bên xử lý phụ không?

    Chúng tôi chủ động thông báo cho khách hàng và Đối tác APN của mình về bất kỳ nhà thầu phụ nào có quyền truy cập nội dung tải lên AWS, bao gồm nội dung có thể chứa dữ liệu cá nhân. Cam kết này được trình bày trong Phụ lục xử lý dữ liệu AWS GDPR (GDPR DPA). AWS GDPR DPA được đưa vào Điều khoản Dịch vụ AWS và tự động áp dụng cho tất cả khách hàng, những người cần phụ lục này để tuân thủ GDPR.

  • AWS cung cấp cho tôi những công cụ nào để thực hiện các biện pháp kỹ thuật và tổ chức cần thiết cho việc bảo vệ dữ liệu theo thiết kế và theo mặc định?

    Nhiều yêu cầu của GDPR tập trung vào việc kiểm soát và bảo vệ dữ liệu. Dịch vụ AWS cung cấp cho khách hàng và Đối tác APN khả năng thực hiện biện pháp bảo mật của chính mình cho phù hợp với GDPR, bao gồm các biện pháp sách lược cụ thể như:

    • Mã hóa dữ liệu cá nhân
    • Khả năng đảm bảo tính bảo mật, toàn vẹn, sẵn có và linh hoạt liên tục của hệ thống và dịch vụ xử lý
    • Khả năng khôi phục tính sẵn có và quyền truy cập dữ liệu cá nhân một cách kịp thời trong trường hợp xảy ra sự cố vật lý hoặc kỹ thuật
    • Quá trình thường xuyên kiểm tra, thẩm định và đánh giá tính hiệu quả của các biện pháp kỹ thuật nhằm đảm bảo mức độ bảo mật cho việc xử lý

    AWS có một nhóm các dịch vụ bảo mật và tuân thủ nâng cao có thể được triển khai để giúp xử lý các yêu cầu của GDPR, bao gồm:

    • Amazon GuardDuty - dịch vụ với khả năng phát hiện mối đe dọa thông minh và liên tục giám sát hành vi độc hại hoặc trái phép
    • Amazon Macie - công cụ machine learning giúp hỗ trợ khám phá và phân loại dữ liệu cá nhân lưu trữ trong Amazon S3
    • Amazon Inspector - dịch vụ đánh giá mức độ bảo mật tự động hóa giúp đảm bảo ứng dụng luôn tuân thủ các phương pháp thực hành tốt nhất về tính bảo mật
    • AWS Config Rules - tính năng cho phép bạn chủ động kiểm tra tài nguyên đám mây xem có tuân thủ các quy tắc bảo mật không

    AWS cũng đã phát hành báo cáo nghiên cứu chuyên sâu “Điều hướng tuân thủ GDPR trên AWS” nói riêng về chủ đề này. Tài liệu này cân nhắc và nêu chi tiết cách liên kết cụ thể tài nguyên với các khái niệm như giám sát, truy cập dữ liệu và quản lý khóa. 

  • AWS có những biện pháp bảo mật nào tại chỗ để bảo vệ hệ thống?

    Cơ sở hạ tầng Đám mây AWS đã được thiết kế để trở thành một trong những môi trường điện toán đám mây linh hoạt và an toàn nhất hiện nay. Quy mô của Amazon cho phép gia tăng đầu tư vào việc lập chính sách bảo mật và các biện pháp khắc phục nhiều hơn đáng kể so với mức mà hầu hết các công ty lớn có thể đáp ứng. Cơ sở hạ tầng này gồm có phần cứng, phần mềm, mạng và cơ sở vận hành dịch vụ AWS, cung cấp các biện pháp kiểm soát mạnh mẽ cho khách hàng và Đối tác APN, bao gồm các biện pháp kiểm soát cấu hình bảo mật, để xử lý dữ liệu cá nhân. Bạn có thể xem thêm chi tiết về các biện pháp mà AWS áp dụng tại chỗ để duy trì nhất quán mức bảo mật cao ở "Báo cáo nghiên cứu chuyên sâu Tổng quan về quy trình bảo mật" của AWS.

    AWS cũng cung cấp một số báo cáo tuân thủ từ các tổ chức kiểm tra bên thứ ba, những bên đã kiểm tra và xác minh tính tuân thủ của chúng tôi với nhiều tiêu chuẩn và quy định về bảo mật máy tính – bao gồm ISO 27001, ISO 27017 và ISO 27018. Để đảm bảo tính minh bạch và hiệu quả cho những biện pháp này, chúng tôi cung cấp cho khách hàng và Đối tác APN của mình quyền truy cập báo cáo kiểm tra của bên thứ ba thông qua Bảng điều khiển quản lý AWS. Những báo cáo này giúp khách hàng và Đối tác APN của chúng tôi - những người có thể đóng vai trò là bên kiểm soát dữ liệu hoặc bên xử lý dữ liệu, biết rằng chúng tôi đang bảo vệ cơ sở hạ tầng cơ bản mà họ lưu trữ và xử lý dữ liệu cá nhân trên đó. Để biết thêm thông tin, hãy truy cập: https://aws.amazon.com/compliance

  • AWS có thể giúp bên kiểm soát dữ liệu đáp ứng các nghĩa vụ của mình theo GDPR, liên quan tới thông báo xâm phạm dữ liệu cá nhân như thế nào?

    AWS có quy trình giám sát sự cố bảo mật và thông báo xâm phạm dữ liệu tại chỗ và sẽ hỗ trợ và thông báo với khách hàng và Đối tác APN về bất kỳ trường hợp xâm phạm hệ thống AWS nào đã được xác nhận. AWS cũng cung cấp cho khách hàng và Đối tác APN nhiều công cụ để hiểu ai có quyền truy cập tài nguyên của họ, khi nào và từ đâu. Một trong những công cụ này là AWS CloudTrail cho phép quản trị, tuân thủ, kiểm tra hoạt động và kiểm tra rủi ro đối với một tài khoản AWS. Với AWS CloudTrail, khách hàng có thể ghi nhật ký, liên tục giám sát và giữ lại thông tin về hoạt động của tài khoản liên quan tới các hành động trên cơ sở hạ tầng AWS của họ. Điều này giúp các tổ chức hiểu chuyện gì đang xảy ra với cơ sở hạ tầng AWS của mình và có thể ngay lập tức thực hiện hành động đối với mọi hoạt động bất thường. Để biết thêm thông tin về AWS CloudTrail và các công cụ bảo mật khác mà AWS cung cấp cho khách hàng để giúp đáp ứng nghĩa vụ trong vai trò là bên kiểm soát dữ liệu theo GDPR, hãy truy cập: https://aws.amazon.com/security/.  

  • AWS giúp tôi bảo vệ dữ liệu của mình trước các hình thức tấn công mạng như thế nào?

    AWS cung cấp cho khách hàng và Đối tác APN nhiều công cụ để bảo mật dữ liệu của mình và giúp bảo vệ trước các hình thức tấn công mạng. Một công cụ như vậy là AWS Shield. Đây là một dịch vụ bảo vệ Tấn công từ chối dịch vụ phân tán (DDoS) có quản lý nhằm bảo vệ các website và ứng dụng chạy trên AWS. AWS Shield Standard được áp dụng miễn phí và cung cấp khả năng phát hiện luôn bật và tự động giảm trực tiếp để có thể giảm thiểu thời gian chết và độ trễ của ứng dụng. Nếu muốn có cấp bảo vệ cao hơn trước các hình thức tấn công nhắm vào ứng dụng web chạy trên AWS và sử dụng tài nguyên ELB, Amazon CloudFront và Amazon Route 53, khách hàng và Đối tác APN có thể đăng ký AWS Shield Advanced. AWS cũng phát hành và thường xuyên cập nhật tài liệu 'Các biện pháp thực hành tốt nhất của AWS để có khả năng linh hoạt trước DDoS' giúp khách hàng sử dụng AWS để xây dựng các ứng dụng có khả năng chống chịu trước các hình thức tấn công DDoS.

    Các công cụ khác mà AWS có để bảo vệ dữ liệu trước các hình thức tấn công mạng bao gồm:

    • AWS Identity and Access Management (IAM) cho phép tổ chức quản lý truy cập vào dịch vụ và tài nguyên AWS một cách bảo mật. Sử dụng IAM, khách hàng và Đối tác APN có thể tạo và quản lý người dùng và nhóm AWS cũng như sử dụng quyền để cho phép và từ chối truy cập tài nguyên AWS. IAM là một tính năng của tài khoản AWS và được cung cấp miễn phí.
    • AWS Config cho phép khách hàng và Đối tác APN kích hoạt các quy tắc tích hợp sẵn để giúp đảm bảo rằng tài nguyên AWS của họ ở trạng thái được cấu hình và tuân thủ phù hợp.
    • AWS CloudTrail cho phép các tổ chức ghi nhật ký, liên tục giám sát và giữ lại thông tin về hoạt động tài khoản liên quan tới các hành động trong AWS, từ đó đơn giản hóa việc phân tích bảo mật, theo dõi thay đổi tài nguyên và khắc phục sự cố (theo mặc định, AWS CloudTrail được kích hoạt trên tất cả tài khoản AWS).
    • Amazon GuardDuty là một dịch vụ phát hiện mối đe dọa có quản lý với chức năng liên tục giám sát hành vi độc hại hoặc trái phép để giúp bảo vệ tài khoản AWS và khối lượng công việc. Dịch vụ này giám sát hoạt động có dấu hiệu có thể xâm phạm tài khoản như lệnh gọi API bất thường hoặc tác vụ triển khai có khả năng là trái phép. Đồng thời, GuardDuty cũng phát hiện các phiên bản hoặc hoạt động do thám có khả năng gây tổn hại của kẻ tấn công.
    • Amazon Macie là một dịch vụ bảo mật sử dụng machine learning để giúp khách hàng và Đối tác APN bằng cách tự động phát hiện, phân loại và bảo vệ dữ liệu nhạy cảm trong AWS. Dịch vụ quản lý đầy đủ này liên tục theo dõi hoạt động truy cập dữ liệu xem có gì bất thường không, đồng thời khởi tạo cảnh báo chi tiết khi phát hiện thấy có rủi ro truy cập trái phép hoặc rò rỉ dữ liệu do vô ý – chẳng hạn như dữ liệu nhạy cảm mà một khách hàng đã vô tình tiết lộ ra bên ngoài.  
  • Có những công cụ nào để giúp tôi tìm dữ liệu cá nhân trong nội dung của mình trên AWS?

    Amazon Macie là một dịch vụ bảo mật sử dụng machine learning để giúp khách hàng và Đối tác APN tự động phát hiện, phân loại và bảo vệ dữ liệu nhạy cảm trong AWS. Dịch vụ quản lý đầy đủ này liên tục theo dõi hoạt động truy cập dữ liệu xem có gì bất thường không, đồng thời khởi tạo cảnh báo chi tiết khi phát hiện thấy có rủi ro truy cập trái phép hoặc rò rỉ dữ liệu do vô ý, chẳng hạn như truy cập dữ liệu nhạy cảm bị vô tình tiết lộ ra bên ngoài. Macie được chứng nhận theo các tiêu chuẩn được công nhận trên toàn cầu như ISO 27017 đối với bảo mật đám mây, ISO 27018 đối với quyền riêng tư trên đám mây, đồng thời khách hàng và Đối tác APN cũng có thể sử dụng Macie để liên tục giám sát việc truy cập dữ liệu của họ để phát hiện hoạt động đáng nghi dựa trên kiểu truy cập.

  • Làm thế nào tôi có thể kiểm soát việc truy cập dữ liệu cá nhân trong nội dung của mình trên AWS?

    Để giúp khách hàng và Đối tác APN tuân thủ GDPR, AWS có nhiều công cụ để kiểm soát việc truy cập dữ liệu cá nhân có trong nội dung của họ trên AWS. Những công cụ này bao gồm:

    Bảo mật theo mặc định, có nghĩa là dịch vụ AWS được thiết kế để luôn bảo mật theo mặc định. Nếu sử dụng cấu hình mặc định, quyền truy cập tài nguyên bị khóa, chỉ dành cho chủ tài khoản và quản trị viên gốc.

    • AWS Identity and Access Management (IAM) cho phép khách hàng và Đối tác APN quản lý truy cập vào dịch vụ và tài nguyên AWS một cách bảo mật. Sử dụng IAM, các tổ chức có thể tạo và quản lý người dùng và nhóm AWS cũng như sử dụng quyền để cho phép và từ chối truy cập tài nguyên AWS. IAM là một tính năng của tài khoản AWS và được cung cấp miễn phí.
    • AWS Multi-Factor Authentication bổ sung thêm một lớp bảo vệ ngoài tên người dùng và mật khẩu của tài khoản AWS. AWS cấp cho khách hàng tùy chọn thiết bị MFA ảo và phần cứng.
    • AWS Directory Service cho phép khách hàng và Đối tác APN tích hợp và liên kết với các danh mục doanh nghiệp để giảm chi phí quản lý và cải thiện trải nghiệm của người dùng cuối.
    • AWS Config cho phép khách hàng và Đối tác APN kích hoạt các quy tắc tích hợp sẵn để giúp đảm bảo rằng tài nguyên AWS của họ ở trạng thái được cấu hình và tuân thủ phù hợp.
    • AWS CloudTrail cho phép khách hàng và Đối tác APN ghi nhật ký, liên tục giám sát và giữ lại thông tin về hoạt động của tài khoản liên quan tới các hành động trên hạ tầng AWS của họ, từ đó đơn giản hóa việc phân tích bảo mật, theo dõi thay đổi tài nguyên và khắc phục sự cố.
    • Amazon Macie sử dụng machine learning để giúp khách hàng ngăn chặn việc mất dữ liệu bằng cách tự động phát hiện, phân loại và bảo vệ dữ liệu nhạy cảm trong AWS. Dịch vụ quản lý đầy đủ này liên tục theo dõi hoạt động truy cập dữ liệu xem có gì bất thường không, đồng thời khởi tạo cảnh báo chi tiết khi phát hiện thấy có rủi ro truy cập trái phép hoặc rò rỉ dữ liệu do vô ý – chẳng hạn như dữ liệu nhạy cảm mà một khách hàng đã vô tình tiết lộ ra bên ngoài.
  • Làm thế nào tôi có thể mã hóa dữ liệu cá nhân lưu trong AWS để ngăn chặn truy cập trái phép?

    AWS cung cấp cho khách hàng và Đối tác APN khả năng bổ sung thêm một lớp bảo mật cho dữ liệu lưu trữ của mình trong đám mây và giúp họ đáp ứng các nghĩa vụ về bảo mật xử lý với vai trò là bên kiểm soát dữ liệu theo GDPR. Các công cụ mã hóa có sẵn trên AWS bao gồm:

    • Các khả năng mã hóa dữ liệu có sẵn trong các dịch vụ lưu trữ và cơ sở dữ liệu AWS, chẳng hạn như Amazon Elastic Block Store, Amazon S3, Amazon Glacier, Amazon DynamoDB, Oracle RDS, SQL Server RDSRedshift
    • Các tùy chọn quản lý khóa linh hoạt, bao gồm AWS Key Management Service, cho phép lựa chọn xem nên cho AWS quản lý khóa mã hóa hay cho phép khách hàng giữ toàn quyền kiểm soát các khóa
    • Hàng đợi tin nhắn mã hóa để truyền dữ liệu nhạy cảm bằng cách sử dụng mã hóa phía máy chủ (SSE) cho Amazon SQS
    • Lưu trữ khóa mật mã hóa chuyên dụng, dựa trên phần cứng bằng cách sử dụng AWS CloudHSM, cho phép khách hàng đáp ứng các yêu cầu tuân thủ
     
    Ngoài ra, AWS cung cấp API cho khách hàng và Đối tác APN để họ tích hợp mã hóa và bảo vệ dữ liệu với bất kỳ dịch vụ nào mà họ phát triển hoặc triển khai trong môi trường AWS.
  • AWS xử lý chỉ dẫn xóa từ khách hàng như thế nào?

    Dịch vụ AWS cho phép khách hàng xóa nội dung theo yêu cầu bằng cách sử dụng Bảng điều khiển quản lý AWS, API và các phương pháp nhập liệu khác. Để biết thêm thông tin về tính năng dịch vụ cụ thể, vui lòng tham khảo https://aws.amazon.com/documentation.  

  • Làm thế nào tôi có thể chứng tỏ với nhà quản lý bảo vệ dữ liệu rằng việc tôi sử dụng AWS tuân thủ theo GDPR?

    AWS cung cấp thông tin hữu ích cho khách hàng và Đối tác APN, bao gồm một số báo cáo tuân thủ từ các chuyên viên đánh giá bên thứ ba, những người đã xác minh tính tuân thủ của chúng tôi bằng nhiều tiêu chuẩn và quy định về bảo mật máy tính, để chứng tỏ mức độ tuân thủ cao mà AWS duy trì đối với cơ sở hạ tầng của mình. Những báo cáo này cho các khách hàng và Đối tác APN của chúng tôi biết rằng chúng tôi đang bảo vệ dữ liệu cá nhân mà họ chọn xử lý trên AWS. Những ví dụ điển hình về điều này bao gồm tuân thủ ISO 27001, 27017 và 27018 của AWS. ISO 27018 có các biện pháp kiểm soát bảo mật tập trung vào việc bảo vệ dữ liệu cá nhân. Bạn có thể tham khảo chi tiết về tuân thủ ISO 27108 của AWS ở đây: https://aws.amazon.com/compliance/iso-27018-faqs/

    AWS cũng tuân thủ Bộ quy tắc ứng xử của CISPE đối với việc bảo vệ dữ liệu. CISPE là một liên minh của các nhà cung cấp cơ sở hạ tầng đám mây (hay còn gọi là Dịch vụ cơ sở hạ tầng), chuyên cung cấp dịch vụ đám mây cho khách hàng ở Châu Âu. Bộ quy tắc ứng xử của CISPE giúp khách hàng và Đối tác APN sử dụng đám mây đảm bảo rằng nhà cung cấp cơ sở hạ tầng đám mây đang sử dụng các tiêu chuẩn bảo vệ dữ liệu thích hợp để bảo vệ dữ liệu của họ theo GDPR. Một vài lợi ích quan trọng của Bộ quy tắc này bao gồm:

    • Nêu rõ trách nhiệm của từng đối tượng liên quan tới việc bảo vệ dữ liệu: Bộ quy tắc ứng xử giải thích vai trò của cả nhà cung cấp và khách hàng theo GDPR, đặc biệt là trong bối cảnh dịch vụ cơ sở hạ tầng đám mây.
    • Bộ quy tắc ứng xử đặt ra những nguyên tắc mà nhà cung cấp cần tuân thủ: Bộ quy tắc ứng xử vạch ra các hành động và cam kết mà nhà cung cấp cần tiến hành nhằm tuân thủ GDPR và giúp khách hàng và đối tác APN tuân thủ.
    • Bộ quy tắc ứng xử cung cấp cho khách hàng và đối tác APN thông tin liên quan tới việc bảo vệ dữ liệu và bảo mật dữ liệu mà họ cần để đưa ra quyết định về việc tuân thủ: Bộ quy tắc ứng xử yêu cầu nhà cung cấp công khai về các bước mà họ đang tiến hành để thực hiện cam kết bảo mật của mình. Những bước này liên quan tới thông báo về xâm phạm dữ liệu, xóa dữ liệu và việc xử lý lại của bên thứ ba, cũng như việc thực thi luật và các yêu cầu của chính phủ. Khách hàng và Đối tác APN có thể sử dụng thông tin này để hiểu đầy đủ về các cấp bảo mật cao được cung cấp.
compliance-contactus-icon
Bạn có câu hỏi? Hãy kết nối với đại diện kinh doanh AWS
Bạn đang khám phá vai trò của tuân thủ?
Hãy đăng ký ngay hôm nay »
Bạn muốn cập nhật Tuân thủ AWS?
Hãy theo dõi chúng tôi trên Twitter »