澳大利亚数据隐私

概览

1988 年澳大利亚隐私法 (Cth) 中规定的澳大利亚隐私原则 (APP) 制定了有关收集、管理、处理、使用、披露和以其他方式处理个人信息的要求。APP 制定了数据保护原则，以保护个人隐私。

AWS 十分注重您的隐私和数据安全。AWS 的安全性始于我们的核心基础设施。我们的基础设施针对云定制，旨在满足全球最严格的安全要求，处于全天候监控之下，从而确保客户数据的机密性、完整性和可用性。世界级安全专家不但监控此基础设施，还构建并维护我们丰富多样的创新安全服务，这些服务可以帮助您简化满足自己的安全和法规要求。作为 AWS 客户，无论您的规模或位置如何，都能继承我们经验的所有优势，这些优势已经过最严格的第三方保证框架的测试。

根据全球公认的安全保障框架和认证，包括 IRAP、ISO 27001、ISO 27017、ISO 27018、PCI DSS 第 1 级以及 SOC 1、2 和 3，AWS 实施并维护适用于 AWS 云基础设施服务的技术和组织安全措施。这些技术和组织安全措施由独立的第三方评估机构验证，旨在防止未经授权访问或泄露客户内容。

例如，ISO 27018 是首个专注于云中个人数据保护的国际行为准则。它基于 ISO 信息安全标准 27002，并针对 ISO 27002 控制体系提供了实施指南，该体系适用于由公有云服务提供商处理的个人可识别信息 (PII)。这向客户表明，AWS 具有适当的控制体系来专门负责其内容的隐私保护。

这些全面的 AWS 技术和组织措施与 APP 的目标一致，都是为了保护个人数据。使用 AWS 服务的客户可以保持对其内容的控制，并负责根据其特定需求实施额外的安全措施，包括内容分类、加密、访问管理和安全凭证。

由于 AWS 不了解或不知道客户上传到其网络上的内容，包括数据是否被视为受隐私法保护，客户最终要对自己遵守隐私法和相关法规的情况负责。本页内容补充了现有的数据隐私资源，有助于您在使用 AWS 服务存储和处理个人数据时，将您的要求与 AWS 责任共担模型保持一致。

• 客户在保护其内容方面扮演着什么角色？

  在 AWS 责任共担模型下，AWS 客户可以控制选择实施哪种安全措施来保护自己的内容、平台、应用程序、系统和网络，如同保护现场数据中心内的应用程序一样。客户可以基于 AWS 提供的技术和组织安全措施以及控制措施管理自己的合规性要求。除了 AWS Identity and Access Management 等 AWS 安全功能之外，客户还可以使用熟悉的措施来保护自己的数据，例如加密和多因素身份验证。

  评估云解决方案的安全性时，理解和区分以下内容对客户很重要：

  • AWS 实施和操作的安全措施 -“云的安全性”，以及
  • 客户实施和操作的安全措施，与他们使用 AWS 服务的客户内容和应用程序的安全相关 -“云中的安全性”

  

• 谁有权访问客户内容？

  客户保留对其客户内容的所有权和控制，并且可以选择处理、存储和托管其客户内容的 AWS 服务。AWS 无法看到客户内容，也无法访问或使用客户内容，除非提供由客户选择的 AWS 服务，或者在需要遵守法律或有约束力的法律命令的情况下才可以。

  使用 AWS 服务的客户在 AWS 环境中保持对其内容的控制。他们可以：

  • 确定内容的存储位置，例如存储环境的类型和存储的地理位置。
  • 使用 AWS 提供的加密或客户选择的第三方加密机制来控制内容的格式，例如纯文本、掩码、匿名或加密。
  • 管理其他访问控制措施，例如身份和访问管理及安全凭证。
  • 控制是否使用 SSL、Virtual Private Cloud 等网络安全措施，防止未授权访问。

  这允许 AWS 客户控制其内容在 AWS 上的整个生命周期，并根据他们自己的特定需求管理其内容，包括内容分类、访问控制、保留和删除。

• 客户内容存储在哪里？

  AWS 全球基础设施让您能够灵活选择如何以及在何处运行工作负载，并且您始终使用相同的网络、控制层面、API 和 AWS 服务。如果您需要在全球运行应用程序，则可以选择任何 AWS 区域和可用区。作为客户，您可以选择存储您的客户内容的 AWS 区域，这样您就可以根据自己对地理位置的具体要求，在自己选择的地点部署 AWS 服务。例如，如果澳大利亚的 AWS 客户想要确保自己的数据只存储在澳大利亚境内，那么他可以选择将自己的 AWS 服务完全部署在亚太地区（悉尼）AWS 区域。如果您想探索其他灵活的存储选项，请参阅 AWS 区域网页。
  

  您可以在多个 AWS 区域中复制和备份客户内容。未经您同意，我们不会将您的内容移到或复制到您所选择的 AWS 区域之外，除非法律要求或者政府部门发布有约束力的指令要求。但是请注意，并非所有 AWS 服务都可以在所有 AWS 区域中使用。有关哪些 AWS 区域可以使用哪些服务的更多信息，请参阅 AWS 区域服务网页。
  

• AWS 如何保护其数据中心的安全？

  AWS 数据中心安全策略由可扩展的安全控制和多层防御组成，有助于保护您的信息。例如，AWS 小心地管理潜在的洪水和地震活动风险。我们使用物理屏障、安全警卫、威胁检测技术和深度筛选流程来限制对数据中心的访问。我们备份我们的系统，定期测试设备和流程，并持续培训 AWS 员工为意外做好准备。

  为了验证我们数据中心的安全性，外部审核机构全年对 2600 多项标准和要求进行测试。这种独立检查有助于确保始终符合或高于安全标准。因此，世界上监管最严格的组织信任 AWS 来保护他们的数据。

  如需详细了解我们如何通过设计保护 AWS 数据中心，请通过虚拟方式参观 AWS 数据中心 »

• 我可以使用哪些 AWS 区域？

  客户可以选择使用任意一个区域、所有区域或区域的任意组合。有关 AWS 区域的完整列表，请访问 AWS 全球基础设施页面。

• AWS 设置了哪些安全措施来保护系统？

  AWS 云基础设施旨在成为当今市场上最灵活、最安全的云计算环境之一。Amazon 的规模庞大，因此在安全管理和对策方面的投入远远高于任何其他大型企业有能力自行承担的投入。我们的基础设施由运行 AWS 服务的硬件、软件、联网和设施组成，可以针对个人数据的处理为客户和 AWS 合作伙伴提供强大的控制，其中包括安全配置控制。 

  AWS 还可以提供由第三方审计机构出具的多种合规性报告，这些审计机构已经测试并审计过我们是否符合各种安全标准和法规（包括 ISO 27001、ISO 27017 和 ISO 27018）。为了使这些措施的效果透明化，我们提供了在 AWS Artifact 中访问第三方审核报告的权限。无论自己是数据控制者还是数据处理者，客户和 APN 合作伙伴都可以从此类报告中看出，我们在保护他们用于存储和处理个人数据的底层基础设施。有关更多信息，请访问我们的合规性资源。
  

• 能否介绍下澳大利亚《数据泄露通报法案》（NDB）的相关情况？

  AWS 向受《1988年澳大利亚隐私法》（Cth）约束且使用 AWS 来存储和处理 NDB 所涉及到的个人信息的客户提供两种类型的《数据泄露通报法案》（ANDB）附录。如果某一个安全事件影响到客户的数据，ANDB 附录可满足客户获得通知的需求。AWS 已将两种类型的 ANDB 附录在 AWS Artifact（可从 AWS 管理控制台访问的、面向客户的审核与合规性门户）中以在线点击协议的形式提供。第一种类型的账户（Account）ANDB 附录仅适用于接受账户 ANDB 附录的特定的个别账户。对于客户要求涵盖的各个 AWS 账户，必须单独来接受 账户 ANDB 附录。第二种类型，即 Organizations ANDB 附录，一旦被 AWS Organizations 中的主账户所接受，则将适用于该主账户以及该 AWS Organization 中的所有成员账户。如果客户不需要或不希望利用 Organizations ANDB 附录，他们仍然可以为单个账户接受 Account ANDB 附录。可在 AWS Artifact 常见问题处在线了解有关 ANDB 附录的常见问题。