Privacy dei dati in Nuova Zelanda

Panoramica

I clienti in Nuova Zelanda possono eseguire le loro applicazioni e carichi di lavoro nella regione Asia Pacifico (Sydney) per ridurre la latenza sugli utenti finali dei clienti con sede in Australia e Nuova Zelanda evitando al tempo stesso gli investimenti anticipati, gli impegni a lungo termine e le sfide di ridimensionamento associate al mantenimento e alla gestione della loro infrastruttura.

I principali requisiti per il trattamento dei dati personali sono definiti negli Information Privacy Principles (“IPP”) che fanno parte del Privacy Act. Gli IPP impongono alcuni requisiti per la raccolta, la gestione, l’utilizzo, la divulgazione e la gestione in altro modo dei dati personali raccolti dagli individui in Nuova Zelanda.

Il Privacy Act fa una distinzione tra principali e agenti. Quando un’entità (agente) detiene informazioni personali al solo scopo di archiviarle o elaborarle per conto di un’altra entità (il principale) e non le utilizza o divulga per scopi propri, le informazioni sono da ritenersi come detenute dal principale. In tali casi, la responsabilità principale della conformità agli IPP è del principale. Per visualizzare la tabella completa dei requisiti IPP, fai clic qui.

• Qual è il ruolo del cliente nel mantenere protetti i suoi contenuti?

  Ai sensi del Modello di responsabilità condivisa di AWS, i clienti AWS detengono il controllo sulle procedure di sicurezza da implementare per proteggere contenuti, piattaforma, applicazioni, sistemi e reti, analogamente a quanto avverrebbe se utilizzassero per le loro applicazioni un data center in locale. I clienti possono basarsi sulle misure di sicurezza tecniche e organizzative e sui controlli offerti da AWS per la gestione dei loro requisiti di conformità. I clienti possono utilizzare misure familiari per proteggere i loro dati, ad esempio la crittografia e la multi-factor authentication, oltre alle funzionalità di sicurezza AWS, quali AWS Identity and Access Management.

  Quando si esamina la sicurezza di una soluzione cloud, è importante che i clienti sappiano distinguere tra:

  • Misure di sicurezza implementate e gestite da AWS: "sicurezza del cloud" e
  • Misure di sicurezza implementate e gestite dal cliente, relative alla protezione dei contenuti e delle applicazioni dell'organizzazione che impiega i servizi AWS: "sicurezza nel cloud"

  

• Chi può accedere al contenuto dei clienti?

  I clienti mantengono la titolarità e il controllo dei propri contenuti e scelgono quali servizi AWS possono elaborare, immagazzinare o conservare in hosting i loro contenuti dei clienti. AWS non dispone di visibilità del contenuto dei clienti né accede o utilizza tale contenuto, salvo per fornire i servizi AWS selezionati dai clienti oppure ove richiesto per ottemperare alle disposizioni di legge o a un atto vincolante.

  I clienti che ricorrono ai servizi AWS mantengono il controllo del loro contenuto all’interno dell’ambiente AWS. Possono:

  • determinare dove memorizzare i contenuti, ad esempio il tipo di ambiente di storage e l'area geografica dove conservarli;
  • controllare il formato dei contenuti, ad esempio testo semplice, mascherato, anonimo o crittografato, utilizzando il meccanismo di crittografia fornito da AWS o da terze parti, secondo le loro preferenze;
  • utilizzare ulteriori controlli degli accessi, come gestione di identità e accessi e credenziali di sicurezza;
  • controllare se utilizzare SSL, Virtual Private Cloud e altre misure di sicurezza di rete per impedire l’accesso non autorizzato.

  Ciò consente ai clienti AWS di controllare l'intero ciclo di vita dei contenuti che decidono di caricare in AWS, gestendoli in base alla riservatezza o alle necessità di controllo degli accessi, di retention o di eliminazione.

• Dove verranno memorizzati i contenuti dei clienti?

  I data center di AWS sono stati creati in cluster e si trovano in località sparse in tutto il mondo. I singoli cluster di data center in una determinata location vengono chiamati "regioni".

  Sono i clienti di AWS a scegliere in quale regione o in quali regioni debbano essere immagazzinati i loro dati. In questo modo è più semplice per loro soddisfare eventuali requisiti geografici specifici.

  Ad esempio, mentre AWS non dispone al momento di una regione in Nuova Zelanda, i clienti di AWS in Nuova Zelanda possono scegliere di distribuire i loro servizi AWS esclusivamente nella regione Asia Pacifico (Sydney) e archiviare i loro contenuti in Australia. Se il cliente decide di fare tale scelta, i contenuti saranno ubicati in Australia, a meno che non decida lui stesso di trasferirli.
  

  I clienti possono richiedere di eseguire una replica o un backup dei contenuti in più di una regione, ma AWS non trasferirà i loro contenuti al di fuori della regione da loro scelta, se non per fornire i servizi da loro richiesti o in conformità alle normative applicabili.
  

• In che modo AWS rende sicuri i suoi centri dati?

  La strategia di sicurezza dei data center di AWS è assemblata con controlli della sicurezza scalabili e livelli multipli di difesa, che facilitano la protezione delle tue informazioni. Ad esempio, AWS gestisce con attenzione i rischi potenziali di alluvioni e di sismicità. Ricorriamo a barriere fisiche, guardie particolari giurate, tecnologia di rilevamento delle minacce e a un processo di screening approfondito per limitare l’accesso ai data center. Eseguiamo il backup dei nostri sistemi, effettuiamo test regolari di attrezzature e processi e formiamo costantemente i dipendenti di AWS affinché siano pronti a ogni evenienza.

  Per convalidare la sicurezza dei nostri data center, i revisori esterni eseguono i test su oltre 2.600 standard e requisiti nel corso dell’anno. Questi esami indipendenti aiutano ad assicurare che gli standard di sicurezza siano sempre soddisfatti o addirittura superati. Ecco perché organizzazioni altamente regolamentate a livello globale si affidano ad AWS per la protezione dei loro dati.

  Per ulteriori informazioni sulla Security by Design dei nostri data center di AWS, fai un tour virtuale »

• Quali regioni AWS posso utilizzare?

  I clienti possono scegliere di usare una sola regione, tutte le regioni, oppure solo alcune. Per un elenco completo delle regioni AWS, consulta la pagina Infrastruttura globale AWS

• Quali misure di sicurezza ha implementato AWS per proteggere i propri sistemi?

  L'infrastruttura cloud AWS è stata progettata per essere uno degli ambienti di cloud computing più flessibili e sicuri sul mercato. La portata globale di Amazon permette un volume di investimenti nella sicurezza che quasi nessun'altra grande azienda può permettersi. L'infrastruttura include hardware, software, rete e strutture in cui sono in esecuzione i servizi AWS, che forniscono a clienti e partner APN controlli quali la configurazione della sicurezza per gestire i dati personali. Per ulteriori informazioni sulle misure adottate da AWS per mantenere livelli di sicurezza elevati e costanti, consulta il whitepaper AWS Overview of Security Processes Whitepaper.

  AWS offre anche diversi report di conformità provenienti da entità di controllo di terze parti, che hanno testato e verificato lo stato di conformità di AWS secondo diversi standard e normative di sicurezza, ad esempio le norme ISO 27001, ISO 27017 e ISO 27018. Per garantire la trasparenza sull'efficacia di queste misure, consentiamo l'accesso ai report di audit di terze parti disponibili in AWS Artifact. Questi report mostrano a clienti e partner APN, in quanto titolari o responsabili del trattamento dei dati, che AWS mantiene sicura l'infrastruttura che usano per memorizzare e trattare i dati personali. Per ulteriori informazioni, consulta la pagina Risorse di conformità.
  

• Informazioni sullo schema NDB della Nuova Zelanda (Notifiable Data Breaches)

  AWS offre due tipi di Addendum NZNDB (New Zealand Notifiable Data Breaches) ai clienti soggetti al New Zealand Privacy Act che utilizzano AWS per archiviare ed elaborare informazioni personali incluse nello schema NDB. L'addendum ZNDB risolve l'esigenza dei clienti relativamente alla notifica in caso di evento di sicurezza sui dati. AWS ha reso disponibili entrambi i tipi di addendum NZNDB online sottoforma di accordo sottoscrivibile con un clic in AWS Artifact (il portale per conformità e audit a disposizione dei clienti a cui si può effettuare l'accesso dalla console di gestione AWS). La prima tipologia, l'Account NZNDB Addendum, si applica solo a specifici account individuali a cui si applica. L'Account NZNDB Addendum deve essere accettato separatamente per ciascun account AWS che il cliente ha bisogno di includere. La seconda tipologia, l'Organizations NZNDB Addendum, deve essere accettato da un account principale in AWS Organizations e si applica all'account principale e a tutti gli account membri in tale organizzazione AWS. Se un cliente non ha bisogno o non desidera sfruttare il vantaggio dell'Organizations NZNDB Addendum può comunque accettare l'Account NZNDB Addendum per gli account individuali. Le domande frequenti relative all'Addendum NZNDB sono disponibili online qui Domande frequenti di AWS Artifact.