アルゼンチンのデータプライバシー
概要
アルゼンチンの Executive Order No. 1558/2001 と付則を含む Personal Data Protection Law No. 25,326 (以下、「PDPL」) は、アルゼンチンの連邦法であり、アルゼンチンの個人データの保護および個人データが処理のために国外に転送される場合に適用されます。2018 年 7 月、アルゼンチンのデータ保護機関 (Agencia de Acceso a la Información Pública、「ADPA」) は、PDPL に基づいて Resolution 47/2018 (「Resolution 47」) を発行し、これまではデータ管理者 (AWS のお客様など) が個人データを処理する際に考慮する必要があったセキュリティ対策に関連する Disposition No. 11/2006 を廃止しました。Resolution 47 は、国際的なベストプラクティスと標準に沿っており、かつ、データの収集から削除まで、処理中の個人データの機密性と完全性を保護することを目的とした、新しい推奨セキュリティ対策について規定しています。特筆すべきは、この新しい Resolution が、個人データを処理する際のセキュリティの管理、計画、制御、および改善に推奨される対策と制御策のリストを更新したことです。これらの、推奨されるセキュリティ対策は、データ収集、アクセスコントロール、変更管理、バックアップとリカバリ、脆弱性管理、データの除外もしくは削除、セキュリティインシデント、開発環境など、各処理に関連するアクティビティで分類されています。加えて、Resolution 47 には、「機密データ（PDPL で規定）」に適用が可能な、一連のセキュリティ対策も含まれます。
AWS では、お客様のプライバシーとデータセキュリティの扱いに慎重を期しています。AWS のセキュリティは、その中核となるインフラストラクチャから始まります。クラウドに合わせて特別に構築され、世界で最も厳しいセキュリティ要件を満たすように設計された AWS のインフラストラクチャは、お客様のデータの機密性、整合性、可用性を確保するために 24 時間年中無休でモニタリングされています。このインフラストラクチャをモニタリングしている、同じく世界クラスのセキュリティの専門家たちは、AWS の幅広い革新的なセキュリティサービスの構築や管理にも携わっています。お客様は AWS のサービスを使用することにより、セキュリティ要件や規制要件を簡単に満たすことができます。AWS のお客様は、その規模や場所にかかわらず、サードパーティーの最も厳しい保証フレームワークに照らしてテストされた AWS の経験から、あらゆる利点を引き継ぎます。
AWS では、ISO 27001、ISO 27017、ISO 27018、PCI DSS レベル 1、SOC 1、2、3 など、世界的に認められたセキュリティ保証フレームワークと認定に基づいて AWS クラウドインフラストラクチャサービスに適切な技術的で体系的なセキュリティ対策を実装し、管理しています。この技術的で体系的なセキュリティ対策は、独立したサードパーティーの評価機関によって検証済みで、お客様のコンテンツへの不正アクセスおよびお客様のコンテンツの漏えいを防止するように設計されています。
例えば、ISO 27018 は、クラウド内の個人データ保護に焦点を合わせた最初の国際的な実務規範です。ISO 27018 は、情報セキュリティ基準である ISO 27002 に基づいており、公開クラウドサービスプロバイダーによって処理される個人識別情報 (PII) に適用される ISO 27002 統制の実装ガイダンスが用意されています。これは、特にお客様のコンテンツにおけるプライバシー保護のための AWS の管理体制が整っていることをお客様に示すものとなります。
AWS が包括的に講じているこれらの技術的で体系的な対策は、個人データを保護するための PDPL および PDPL に基づく Resolution 47 の目標に合致しています。AWS のサービスを使用しているお客様は、自身のコンテンツの管理を維持し、コンテンツの分類、暗号化、アクセス管理、セキュリティ認証情報など、特定のニーズに基づいてその他のセキュリティ対策を実装する責任を負います。
AWS には、データが PDPL の対象であるとみなされるかどうかなど、お客様が AWS に保存することを選択したコンテンツのタイプの意味に関する可視性がないため、お客様が最終的に PDPL および関連する規制の遵守について責任を負います。このページの内容は既存のデータプライバシーリソースを補足するもので、お客様が海外のデータセンターで個人データを処理する際に AWS 責任共有モデルに沿ってお客様の要件を定義できるようにすることを目的としています。
よくある質問
AWS 責任共有モデルでは、AWS のお客様は、自身のコンテンツ、プラットフォーム、アプリケーション、システム、ネットワークを保護するために実装する、セキュリティ策を選択する権限を保持します。これはオンプレミスのデータセンターのアプリケーション管理と異なるものではありません。お客様は、AWS によって提供される技術的で体系的なセキュリティ対策およびセキュリティ統制に基づいて構築を行い、お客様自身のコンプライアンス要件を管理できます。お客様は、AWS Identity and Access Management といった AWS のセキュリティ機能に加えて、暗号化や多要素認証といった使い慣れた対策を使用してデータを保護できます。
クラウドソリューションのセキュリティを評価する場合、お客様が次の点を理解して区別することが重要です。
- AWS 側で実装および運用するセキュリティ対策 –「クラウドのセキュリティ」
- AWS のサービスを使用するお客様のコンテンツとアプリケーションのセキュリティが関連し、お客様が実装および運用するセキュリティ対策 – "クラウドにおけるセキュリティ"
