AWS Artifact

Définition

AWS Artifact est un portail en libre-service permettant aux clients AWS d'accéder à des rapports de conformité AWS, à des accords réglementaires, et à des documents de sécurité de leurs fournisseurs de services AWS tiers. Il centralise la documentation de conformité permettant aux clients d'AWS de démontrer à leurs auditeurs que l'infrastructure cloud sur laquelle ils opèrent répond aux exigences réglementaires applicables. AWS Artifact propose deux types de contenus. Les rapports AWS (Artifact Reports) sont des rapports d'audit tiers validant la conformité de l'infrastructure AWS aux standards de sécurité : rapports SOC 1, SOC 2, SOC 3 (contrôles de sécurité, disponibilité et confidentialité), certifications PCI DSS (niveau 1, le plus strict), certifications ISO 27001, 27017, 27018, 9001, les rapports FedRAMP Moderate et High (conformité gouvernement américain), les rapports HIPAA, CSA STAR, et de nombreux autres standards sectoriels. Ces rapports sont produits par des auditeurs tiers indépendants. Les accords AWS Artifact (Artifact Agreements) permettent de signer et de gérer les accords réglementaires avec AWS : le Business Associate Addendum (BAA) requis pour les données médicales protégées HIPAA, le Non-Disclosure Agreement (NDA) pour certains rapports restreints, et les accords de traitement des données RGPD (Data Processing Addendum). Ces accords peuvent être signés pour l'ensemble d'une organisation AWS (via AWS Organizations) en une seule opération. L'utilisation d'AWS Artifact dans un programme de conformité suit le modèle de responsabilité partagée AWS : AWS est responsable de la sécurité de l'infrastructure cloud (dont les certifications sont disponibles dans Artifact), le client est responsable de la sécurité dans le cloud (configuration des services, données, contrôles d'accès). Les rapports Artifact prouvent la partie AWS de la responsabilité partagée lors des audits. AWS Artifact est disponible sans frais supplémentaires pour tous les clients AWS avec accès à la console de gestion AWS. Les rapports sont téléchargeables en PDF pour présentation aux auditeurs. Des notifications NDA sont automatiquement gérées pour les rapports restreints.