Protezione dei dati in AWS

AWS e la protezione dei dati con il GDPR
Categorie:

I server Amazon sono conformi al GDPR?

Il cloud computing sta diventando sempre più popolare. I fornitori dominanti in questo mercato hanno tutti sede negli Stati Uniti, tra cui Amazon Web Services (AWS). Diventare Dati personali trasferiti negli Stati Uniti da aziende tedesche ed europee richiede sempre una base giuridica. Dopo la sentenza della Corte di giustizia europea del 16 luglio 2020 che ha stabilito che il cosiddetto Scudo per la privacy è stato dichiarato non valido, il trasferimento dei dati è di solito Clausole contrattuali standard vengono utilizzati. Tuttavia, da soli non sono sufficienti.

Nella sua sentenza, la Corte di giustizia europea ha sottolineato la responsabilità del responsabile del trattamento di valutare se i diritti degli interessati negli Stati Uniti (o in altri paesi terzi) sono protetti dalla conclusione del contratto. Clausole contrattuali standard godrebbero di un livello di protezione equivalente a quello dell'UE. In realtà, le autorità di vigilanza europee si aspettano misure aggiuntive, come ad esempio un Anonimizzazione o Cifratura dei dati da trasferire. Se e come AWS Protezione dei dati e supporta i propri clienti nell'implementazione, come evidenziato in questo blog post.

 

AWS

 

Amazon Web Services (AWS) è un fornitore di cloud computing statunitense. È stata fondata nel 2006 come sussidiaria della società di vendita per corrispondenza online Amazon.com. Da allora, AWS è cresciuta rapidamente. Nel 2017, Gartner ha nominato AWS come il principale fornitore internazionale nel settore del cloud computing. Nuvola Informatica. Qualche anno fa, AWS aveva un fatturato di 46 miliardi di dollari.

 

 

AWS e protezione dei dati

 

In quanto azienda statunitense, Amazon Web Services, come altri servizi analoghi, è stata criticata per anni per quanto riguarda la protezione dei dati. Per compensare questo problema, AWS offre le cosiddette regioni, che a loro volta sono suddivise in zone di disponibilità e corrispondono a luoghi fisici per l'archiviazione dei dati. Ad esempio, è possibile selezionare le regioni Irlanda (eu-west-1) e Francoforte sul Meno (eu-central-1) in modo che le istanze vengano eseguite solo lì. Il problema è che le istanze che si trovano nella zona UE Server non proteggono dall'accesso da parte delle autorità statunitensi nel contesto della Nuvola Atti. Questo è un problema per l'AWS e la protezione dei dati in Germania.

Amazon offre ai suoi clienti un sistema preconfigurato Clausole contrattuali standard e fa riferimento anche a un Addendum sul trattamento dei dati. Tuttavia, entrambi i documenti sono concepiti secondo un "approccio di alto livello". Essi supportano il cliente nell'esecuzione del processo descritto nel documento Clausole contrattuali standard valutazioni d'impatto del trasferimento richieste. Ad esempio, la seguente descrizione delle categorie di dati trattati, tratta dall'addendum: "Dati del cliente caricati sui servizi nell'ambito degli account AWS del cliente". è ovviamente troppo superficiale per fornire un'adeguata valutazione dell'impatto del trasferimento. Valutazione dell'impatto del trasferimento da realizzare.

Per migliorare la protezione dei dati, Amazon offre agli sviluppatori la possibilità di crittografare essi stessi i dati archiviati su AWS, anche quando utilizzano un kit di sviluppo software ufficiale. Ai grandi clienti viene offerto l'uso della crittografia hardware con componenti personalizzati.

 

Conclusione
Secondo l'autopresentazione di AWS, le richieste delle autorità statunitensi vengono sempre controllate attentamente e, se necessario, respinte. Per quanto riguarda la protezione dei dati, Amazon AWS sottolinea inoltre che i dati crittografati dal cliente saranno rilasciati alle autorità statunitensi solo in forma criptata.

Per i servizi AWS con Cifratura Viene utilizzato il servizio KMS di AWS, che garantisce che AWS stessa non abbia modo di decifrare il testo in chiaro.

Ciò significa che AWS può essere utilizzato in conformità con le normative sulla protezione dei dati, ma solo se la crittografia viene effettivamente utilizzata e i possibili rischi residui sono stati valutati come accettabili nell'ambito della valutazione dell'impatto del trasferimento.

Avete bisogno di un supporto per l'implementazione professionale di una valutazione d'impatto del trasferimento? Contattateci. Saremo lieti di supportarvi con la nostra pluriennale esperienza in materia di protezione dei dati.

Tag:
Condividi questo post :