French | German | Italian | Spanish

At AWS, earning and maintaining customer trust is the foundation of our business. We understand that protecting customer data is key to achieving this. We also know that trust must continue to be earned through transparency and assurances.

In November 2022, we announced the new AWS Digital Sovereignty Pledge, our commitment to offering all AWS customers the most advanced set of sovereignty controls and features available in the cloud. Two pillars of this are verifiable control over data access, and the ability to encrypt everything everywhere. We already offer a range of data protection features, accreditations, and contractual commitments that give customers control over where they locate their data, who can access it, and how it is used. Today, I’d like to update you on how we are continuing to earn your trust with verifiable control over customer data access and external control of your encryption keys.

AWS Nitro System achieves independent third-party validation

We are committed to helping our customers meet evolving sovereignty requirements and providing greater transparency and assurances to how AWS services are designed and operated. With the AWS Nitro System, which is the foundation of AWS computing service Amazon EC2, we designed and delivered first-of-a-kind innovation by eliminating any mechanism AWS personnel have to access customer data on Nitro. Our removal of an operator access mechanism was unique in 2017 when we first launched the Nitro System.

As we continue to deliver on our digital sovereignty pledge of customer control over data access, I’m excited to share with you an independent report on the security design of the AWS Nitro System. We engaged NCC Group, a global cybersecurity consulting firm, to conduct an architecture review of our security claims of the Nitro System and produce a public report. This report confirms that the AWS Nitro System, by design, has no mechanism for anyone at AWS to access your data on Nitro hosts. The report evaluates the architecture of the Nitro System and our claims about operator access. It concludes that “As a matter of design, NCC Group found no gaps in the Nitro System that would compromise these security claims.” It also goes on to state, “NCC Group finds…there is no indication that a cloud service provider employee can obtain such access…to any host.” Our computing infrastructure, the Nitro System, has no operator access mechanism, and now is supported by a third-party analysis of those data controls. Read more in the NCC Group report.

New AWS Service Term

At AWS, security is our top priority. The NCC report shows the Nitro System is an exceptional computing backbone for AWS, with security at its core. The Nitro controls that prevent operator access are so fundamental to the Nitro System that we’ve added them in our AWS Service Terms, which are applicable to anyone who uses AWS.

Our AWS Service Terms now include the following on the Nitro System:

AWS personnel do not have access to Your Content on AWS Nitro System EC2 instances. There are no technical means or APIs available to AWS personnel to read, copy, extract, modify, or otherwise access Your Content on an AWS Nitro System EC2 instance or encrypted-EBS volume attached to an AWS Nitro System EC2 instance. Access to AWS Nitro System EC2 instance APIs – which enable AWS personnel to operate the system without access to Your Content – is always logged, and always requires authentication and authorization.

External control of your encryption keys with AWS KMS External Key Store

As part of our promise to continue to make the AWS Cloud sovereign-by-design, we pledged to continue to invest in an ambitious roadmap of capabilities, which includes our encryption capabilities. At re:Invent 2022, we took further steps to deliver on this roadmap of encrypt everything everywhere with encryption keys managed inside or outside the AWS Cloud by announcing the availability of AWS Key Management Service (AWS KMS) External Key Store (XKS). This innovation supports our customers who have a regulatory need to store and use their encryption keys outside the AWS Cloud. The open source XKS specification offers customers the flexibility to adapt to different HSM deployment use cases. While AWS KMS also prevents AWS personnel from accessing customer keys, this new capability may help some customers demonstrate compliance with specific regulations or industry expectations requiring storage and use of encryption keys outside of an AWS data center for certain workloads.

In order to accelerate our customers’ ability to adopt XKS for regulatory purposes, we collaborated with external HSM, key management, and integration service providers that our customers trust. To date, Thales, Entrust, Fortanix, DuoKey, and HashiCorp have launched XKS implementations, and Salesforce, Atos, and T-Systems have announced that they are building integrated service offerings around XKS. In addition, many SaaS solutions offer integration with AWS KMS for key management of their encryption offerings. Customers using these solutions, such as the offerings from Databricks, MongoDB, Reltio, Slack, Snowflake, and Zoom, can now utilize keys in external key managers via XKS to secure data. This allows customers to simplify their key management strategies across AWS as well as certain SaaS solutions by providing a centralized place to manage access policies and audit key usage.

We remain committed to helping our customers meet security, privacy, and digital sovereignty requirements. We will continue to innovate sovereignty features, controls, and assurances within the global AWS Cloud and deliver them without compromise to the full power of AWS.
 

French version

Un point de situation sur l’AWS Digital Sovereignty Pledge : le contrôle sans compromis

Chez AWS, gagner et garder la confiance de nos clients est le fondement de notre activité. Nous avons conscience que la protection des données des clients est essentielle pour y parvenir. Nous savons également que la confiance de nos clients doit être entretenue grâce à la transparence et aux garanties que nous leur apportons.

En novembre 2022, nous avons annoncé l’AWS Digital Sovereignty Pledge. Il s’agit de notre engagement à offrir à tous les clients d’AWS l’ensemble le plus avancé de contrôles et de fonctionnalités de souveraineté disponibles dans le cloud. Les deux piliers de cette approche sont le contrôle fiable de l’accès aux données et la possibilité de chiffrer toutes les données, quel que soit leur emplacement. Nous proposons déjà une gamme de fonctionnalités de protection des données, des accréditations et des engagements contractuels qui permettent aux clients de contrôler la localisation de leurs données, qui peut y accéder et comment elles sont utilisées. Aujourd’hui, afin de continuellement renforcer votre confiance, je souhaite vous présenter nos progrès en matière de contrôle vérifiable de l’accès aux données client et de contrôle externe de vos clés de chiffrement.

Le Système AWS Nitro validé par un expert tiers indépendant

Nous nous engageons à aider nos clients à répondre aux évolutions des exigences de souveraineté et à leur proposer une transparence et des garanties accrues quant à la façon dont les services AWS sont conçus et gérés. Avec le Système AWS Nitro, sur lequel repose le service de calcul Amazon EC2, nous avons conçu et mis en œuvre une innovation unique en éliminant toute possibilité, pour le personnel d’AWS, d’accéder aux données client. La suppression de tout mécanisme d’accès pour les opérateurs était unique en 2017 lorsque nous avons lancé le Système AWS Nitro.

Alors que nous progressons dans notre engagement à donner à nos clients toujours plus de contrôle sur l’accès à ses données, gage de souveraineté numérique, j’ai le plaisir de vous annoncer la publication d’un rapport indépendant sur la conception de sécurité du Système AWS Nitro. Nous avons sollicité les services de NCC Group, une société internationale de conseil en cybersécurité, afinde réaliser un examen d’architecture du Système AWS Nitro et de produire un rapport public. Ce rapport confirme que le Système AWS Nitro, de par sa conception, ne dispose d’aucun mécanisme permettant à quiconque au sein d’AWS d’accéder à vos données sur des hôtes Nitro. Le rapport évalue l’architecture du Système Nitro et nos affirmations concernant l’absence d’accès opérateur. Il conclut en ces termes : « Sur le plan de la conception, NCC Group n’a trouvé aucune faille dans le Système Nitro susceptible de compromettre ces affirmations en termes de sécurité. » Et de poursuivre : « NCC Group considère […] que rien n’indique qu’un employé du fournisseur de servicescloud puisse obtenir un tel accès […] quel que soit l’hôte. » Notre infrastructure informatique, le Système AWS Nitro, ne dispose d’aucun mécanisme d’accès opérateur, désormais attesté par une analyse indépendante des contrôles réalisée par un expert indépendant. Pour en savoir plus, vous pouvez consulter le rapport de NCC Group.

Nouvelles Conditions de Service AWS

Chez AWS, la sécurité est notre priorité absolue. Le rapport de NCC Group montre que le Système AWS Nitro est un système unique en son genre, intégrant nativement la sécurité. Les contrôles Nitro qui empêchent tout accès opérateur sont si fondamentaux que nous les avons intégrés à nos Conditions de Service AWS, qui s’appliquent à tous les utilisateurs d’AWS.

Nos Conditions de service AWS incluent désormais les éléments suivants à propos du Système Nitro:

Le personnel d’AWS n’a pas accès à Votre Contenu sur les instances EC2 AWS Nitro System. Le personnel d’AWS ne dispose d’aucun moyen technique ni d’aucune API pour lire, copier, extraire, modifier Votre Contenu ou y accéder sur une instance EC2 AWS Nitro System ou un volume EBS chiffré associé à une instance EC2 AWS Nitro System. L’accès aux APIs d’instance EC2 AWS Nitro System – lesquelles permettent au personnel d’AWS d’utiliser le système sans accéder à Votre Contenu – est toujours enregistré et nécessite toujours une authentification et une autorisation.

Contrôle externe de vos clés de chiffrement avec AWS KMS External Key Store

Dans le cadre de notre promesse de continuer à rendre le cloud AWS souverain par conception, nous nous sommes engagés à continuer d’investir dans une feuille de route ambitieuse en matière de fonctionnalités incluant nos capacités de chiffrement. À l’occasion de re:Invent 2022, nous avons pris de nouvelles mesures conformément à cette feuille de route, consistant à chiffrer toutes les données, quel que soit leur emplacement, au moyen de clés de chiffrement gérées à l’intérieur ou à l’extérieur du Cloud AWS : AWS Key Management Service (AWS KMS) External Key Stores (XKS). Cette innovation soutient nos clients qui ont besoin, pour des raisons réglementaires, de stocker et d’utiliser leurs clés de chiffrement en dehors du Cloud AWS. La spécification open source de XKS offre la possibilité aux clients de s’adapter aux différents cas de déploiement de HSM (Hardware Security Module). Bien que AWS KMS empêche déjà le personnel d’AWS d’accéder aux clés des clients, cette nouvelle fonctionnalité peut aider certains clients à mettre en évidence leur conformité vis-à-vis de réglementations spécifiques ou des attentes dans certains secteurs, exigeant le stockage et l’utilisation des clés de chiffrement à l’extérieur des centres de données AWS, pour certains traitements de données.

Afin d’accélérer la capacité de nos clients à adopter XKS à des fins réglementaires, nous avons collaboré avec les fournisseurs externes de services de HSM, de gestion de clés et d’intégration auxquels nos clients font confiance. À ce jour, Thales, Entrust, Fortanix, DuoKey et HashiCorp se sont lancés dans des implémentations de XKS, tandis que Salesforce, Atos et T-Systems ont annoncé qu’ils élaboraient des offres de services intégrées autour de XKS. Par ailleurs, de nombreuses solutions SaaS s’intègrent à AWS KMS pour la gestion des clés de leurs offres de chiffrement. Les clients qui utilisent ces solutions, telles que les offres de Databricks, MongoDB, Reltio, Slack, Snowflake et Zoom, peuvent désormais utiliser des gestionnaires de clés externes via XKS pour sécuriser les données. Cela permet aux clients de simplifier leurs stratégies de gestion des clés dans AWS, ainsi que sur certaines solutions SaaS, grâce à un emplacement centralisé pour la gestion de leurs stratégies d’accès et l’audit de l’utilisation des clés.

Nous restons déterminés à aider nos clients à répondre aux exigences de sécurité, de confidentialité et de souveraineté numérique. Nous continuerons d’innover en matière de fonctionnalités, de contrôles et de garanties de souveraineté au sein du Cloud AWS mondial et à les fournir sans compromis, afin de tirer le meilleur parti de la puissance du Cloud AWS.
 

German version

AWS Digital Sovereignty Pledge: Volle Kontrolle über die Daten – ohne Kompromisse bei der Leistung

Das Vertrauen unserer Kunden ist die Grundlage unseres Geschäfts. Und Vertrauen muss man sich verdienen. Deshalb stehen unsere Services für ein Höchstmaß an Transparenz und Sicherheit. Mit dem im November 2022 angekündigten AWS Digital Sovereignty Pledge verpflichten wir uns, die modernsten Kontrollmechanismen anzubieten, die in der Cloud verfügbar sind. Dazu zählen umfassende Datenschutzfunktionen, Akkreditierungen und vertragliche Verpflichtungen, durch die unsere Kunden die Kontrolle haben, wo sie ihre Daten speichern, wer darauf zugreifen darf, und wie sie verwendet werden. Wir arbeiten weiter daran, das Vertrauen unserer Kunden zu stärken, indem wir ihnen eine nachweisbare Kontrolle über ihre Daten sowie die Möglichkeit bieten, diese auch außerhalb der Cloud zu verschlüsseln.

Kein Datenzugriff durch Dritte

Ein besonders innovatives Beispiel ist das AWS Nitro System, das die Grundlage des Computing-Services Amazon EC2 bildet: Bei der Entwicklung und Bereitstellung von Nitro wurden bereits 2017 alle Mechanismen beseitigt, die AWS-Mitarbeitern Zugang zu Kundendaten verschaffen können. Das belegen auch Untersuchungen durch unabhängige Experten. So hat die NCC Group, ein weltweit tätiges Beratungsunternehmen im Bereich Cyber-Sicherheit, das Security-Design von AWS Nitro im Rahmen einer Architekturprüfung validiert. Das Urteil der Experten: Das System ist so konzipiert, dass Daten auf dem Nitro-Host für AWS-Personal nicht zugänglich sind. „Es gibt aus unserer Sicht keinen Hinweis darauf, dass sich Mitarbeiter eines Cloud-Service-Anbieters einen solchen Zugriff auf einen beliebigen Host verschaffen können“, heißt es im Bericht der NCC Group. Insgesamt weise Nitro keinerlei Lücken auf, die die geltenden Sicherheitsanforderungen unterlaufen könnten.

Da die Kontrollen, die den Zugriff durch Dritte verhindern, grundlegend für das Nitro-System sind, haben wir unsere Terms of Service entsprechend erweitert. Die AWS Service Terms enthalten jetzt den folgenden Passus:

„AWS-Mitarbeiter haben keinen Zugang zu Inhalten auf AWS-EC2-Instances des Nitro-Systems. Es stehen ihnen auch keine technischen Mittel oder APIs zur Verfügung, um Ihre Inhalte auf einer EC2-Instance von Nitro oder einem verschlüsselten, mit einer EC2-Instance verbundenen EBS-Volume zu lesen, zu kopieren, zu extrahieren, zu ändern oder anderweitig darauf zuzugreifen. Um das System ohne Zugriff auf Ihre Inhalte zu betreiben, haben AWS-Mitarbeiter ausschließlich Zugang zu den APIs der EC2-Instance. Dieser Zugriff wird kontinuierlich protokolliert und erfordert eine Authentifizierung und Autorisierung.“

Schlüsselverwaltung außerhalb der AWS-Cloud

Datensicherheit hat bei AWS oberste Priorität. Das gilt auch für das Thema Verschlüsselung: Wir versetzen unsere Kunden in die Lage, ihre Daten an jedem Ort zu verschlüsseln – mithilfe von Schlüsseln, die sich sowohl innerhalb als auch außerhalb der AWS Cloud verwalten lassen. Im Rahmen dieser Strategie haben wir auf der re:Invent 2022 den AWS Key Management Service (AWS KMS) External Key Store (XKS) angekündigt. Mit dieser Funktion unterstützen wir Unternehmen, die ihre Schlüssel außerhalb der AWS Cloud speichern und verwenden müssen oder wollen. AWS KMS verhindert, dass unsere Mitarbeiter auf Kundenschlüssel zugreifen können, und hilft unseren Kunden bei der Einhaltung von Vorschriften oder Branchenspezifikationen, indem die Funktion bei bestimmten Workloads nur Schlüssel außerhalb des AWS-Rechenzentrums zulässt.

Die Open-Source-Spezifikation XKS bietet Unternehmen die nötige Flexibilität, um ihre Umgebungen an unterschiedliche HSM-Anwendungsfälle (Hardware Security Modules) anzupassen. Wir unterstützen sie bei der Einführung von XKS für regulatorische Zwecke. Daher arbeiten wir mit externen HSM-, Schlüsselmanagement- und Integrationsdienstleistern zusammen, denen unsere Kunden vertrauen. Bislang haben Thales, Entrust, Fortanix, DuoKey und HashiCorp AWS XKS implementiert. Salesforce, Atos und T-Systems bieten das externe Key-Management ebenfalls an und haben integrierte Serviceangebote rund um XKS angekündigt.

Mittlerweile verfügen auch viele SaaS-Lösungen von Drittanbietern über eine Integration mit AWS KMS für die Schlüsselverwaltung – etwa von Databricks, MongoDB, Reltio, Slack, Snowflake und Zoom. Kunden von AWS, die solche Angebote nutzen, können Schlüssel in externen Key-Managern via XKS einsetzen, um ihre Daten zu sichern. Sie verfügen damit über eine zentrale Stelle, um die Zugriffsrichtlinien zu verwalten und die Schlüsselnutzung zu überprüfen. Das erleichtert ihnen die Umsetzung von Key-Management-Strategien über AWS und bestimmte SaaS-Lösungen.

Digitale Transformation bei vollem Datenschutz

Mit unserer Verpflichtung zur digitalen Souveränität behalten unsere Kunden die Kontrolle über ihre Inhalte und deren Speicherung sowie über den Datenzugriff. Zudem können sie ihre Inhalte verschlüsseln – sowohl innerhalb als auch außerhalb der Cloud. Damit sind sie in der Lage, ihre Daten bestmöglich zu schützen und die gesetzlichen Anforderungen einzuhalten. AWS unterstützt die digitale Souveränität von Unternehmen und öffentlichen Organisationen und hilft ihnen gleichzeitig, die digitale Transformation voranzutreiben. Deshalb arbeiten wir weiter an entsprechenden Funktionen und innovativen Kontrollmechanismen, die unsere Kunden ohne Kompromisse bei Leistung und Skalierbarkeit nutzen können.
 

Italian version

Adempiere all’ AWS Digital Sovereignty Pledge

In AWS, conquistare e mantenere la fiducia da parte dei clienti è la base del nostro business: sappiamo che la protezione dei loro dati è la chiave per raggiungere questo obiettivo. Siamo inoltre consapevoli che la fiducia si guadagna attraverso trasparenza e adegute garanzie.

A novembre 2022 abbiamo annunciato il nuovo AWS Digital Sovereignty Pledge, il nostro impegno nell’offrire a tutti i clienti AWS il set più avanzato di funzionalità e controllo della sovranità disponibile nel cloud. I due pilastri di questo set sono il controllo verificabile dell’accesso ai dati e la capacità di crittografare tutti i dati in qualsiasi posizione. Offriamo già ai nostri clienti una varietà di funzionalità attinenti alla protezione dei dati, di accreditamenti e di impegni contrattuali che consentono di controllare dove si trovano i propri dati, chi può accedervi e come vengono utilizzati. Oggi vorrei illustrarvi come perseveriamo nell’impegno finalizzato a conquistare la fiducia dei clienti mediante il controllo verificabile sull’accesso ai dati e il controllo esterno delle chiavi di cifratura.

AWS Nitro System ottiene la convalida indipendente di terze parti

Ci impegniamo affinché i nostri clienti possano rispettare i requisiti di sovranità in costante evoluzione, fornendo maggiore trasparenza e garanzie su come i servizi AWS sono progettati e gestiti. Con AWS Nitro System, che è la base del servizio di calcolo AWS Amazon EC2, abbiamo progettato e implementato un’innovazione unica nel suo genere eliminando qualsiasi meccanismo necessario ai team AWS per accedere ai dati dei clienti su Nitro. Siamo stati gli unici a rimuovere il meccanismo di accesso dell’operatore nel 2017, quando abbiamo lanciato per la prima volta il sistema Nitro.

Ora, mentre confermiamo la nostra promessa di sovranità digitale mediante il controllo da parte dei clienti sull’accesso ai dati, sono entusiasta di condividere con voi un report indipendente sulla progettazione della sicurezza di AWS Nitro System. Abbiamo incaricato NCC Group, una società globale di consulenza sulla sicurezza informatica, di condurre un’analisi dell’accuratezza delle nostre affermazioni sulla sicurezza dell’architettura Nitro System e di produrre un report pubblico. Questo report conferma che AWS Nitro System, per progettazione, non dispone di alcun meccanismo che consenta a un utente in AWS di accedere ai dati sugli host Nitro. Il report valuta l’architettura di Nitro System e l’accuratezza delle nostre affermazioni sull’accesso degli operatori. La conclusione è che “Grazie alla progettazione di Nitro System, NCC Group non ha riscontrato lacune che possano smentire le affermazioni sulla sicurezza”. Inoltre si afferma che: “NCC Group rileva che non vi è alcuna possibilità che un dipendente di un fornitore di servizi cloud possa ottenere l’accesso a un host”. La nostra infrastruttura di calcolo Nitro System non ha alcun meccanismo di accesso dell’operatore, e ciò è ora supportato da un’analisi di terze parti condotta sul controllo dei dati. Maggiori informazioni sono disponibili nel report di NCC Group.

Nuovi termini di servizio AWS

In AWS, la sicurezza è la priorità assoluta. Il report di NCC mostra che Nitro System è un’eccezionale e fondamentale strumento di calcolo per AWS, in particolare per quanto riguarda gli aspetti relativi alla sicurezza. I controlli Nitro che impediscono l’accesso degli operatori sono così importanti per Nitro System che li abbiamo aggiunti nei nostri termini di servizio AWS, applicabili a chiunque utilizzi AWS.

I termini del servizio AWS ora includono, per Nitro System, la seguente clausola:

I team AWS non hanno accesso ai contenuti sulle istanze AWS Nitro System EC2. Non ci sono mezzi tecnici o API a disposizione dei team AWS per leggere, copiare, estrarre, modificare o accedere in altro modo ai contenuti su un’istanza AWS Nitro System EC2 o su un volume EBS crittografato collegato a un’istanza AWS Nitro System EC2. L’accesso alle API dell’istanza AWS Nitro System EC2, che consentono ai team AWS di utilizzare il sistema senza accedere ai contenuti, viene sempre registrato e richiede sempre l’autenticazione e l’autorizzazione.

Controllo esterno delle chiavi di cifratura con l’archivio di chiavi esterne AWS KMS

Nel contesto della nostra promessa di assicurare la sovranità sul cloud AWS tramite la sua stessa progettazione, ci siamo impegnati a investire in un’ambiziosa roadmap sull’implementazione di capacità, che include le nostre funzionalità di cifratura. Al re:Invent 2022, abbiamo confermato il rispetto di questa roadmap di cifratura di tutti i dati in qualsiasi posizione con chiavi di cifratura gestite all’interno o all’esterno del cloud AWS, annunciando la disponibilità dell’archivio di chiavi esterne (XKS, External Key Store) del Servizio di gestione delle chiavi AWS (AWS KMS). Questa innovazione supporta i clienti che sono soggetti all’obbligo normativo di archiviare e utilizzare le loro chiavi di cifratura al di fuori del cloud AWS. La specifica XKS open source offre ai clienti la flessibilità di adattarsi a diversi casi d’uso di implementazione di HSM. Mentre AWS KMS impedisce ai team AWS di accedere alle chiavi dei clienti, questa nuova funzionalità può aiutare i clienti a rispettare la conformità a normative specifiche o aspettative del settore che richiedono per determinati carichi di lavoro l’archiviazione e l’uso di chiavi di cifratura all’esterno di un data center AWS.

Al fine di accelerare la capacità dei nostri clienti di adottare la specifica XKS a fini normativi, abbiamo collaborato con fornitori di servizi di integrazione, gestione delle chiavi e HSM esterni, di cui i nostri clienti si fidano. A oggi, Thales, Entrust, Fortanix, DuoKey e HashiCorp hanno lanciato le implementazioni XKS, mentre Salesforce, Atos e T–Systems hanno comunicato che stanno creando offerte di servizi integrati con XKS. Inoltre, molte soluzioni SaaS offrono l’integrazione con AWS KMS per la gestione delle chiavi delle offerte di cifratura. I clienti che utilizzano queste soluzioni, come le offerte di Databricks, MongoDB, Reltio, Slack, Snowflake e Zoom, possono ora usare le chiavi in gestori di chiavi esterni tramite XKS per proteggere i dati. In tal modo semplificano le proprie strategie di gestione delle chiavi su AWS e in determinate soluzioni SaaS, fornendo una posizione centralizzata per gestire le policy di accesso e controllare l’utilizzo delle chiavi.

Confermiamo il nostro impegno ad aiutare i clienti a rispettare i requisiti di sicurezza, privacy e sovranità digitale. Continueremo a innovare le funzionalità, i controlli e le garanzie di sovranità nel cloud AWS globale e a offrirli senza compromessi con tutta l’efficacia di AWS.
 

Spanish version

Avanzando en el compromiso de soberanía digital de AWS: control sin concesiones

En AWS, ganarnos y mantener la confianza de los clientes es la base de nuestro negocio. Para lograrlo, sabemos que proteger los datos de los clientes es clave. También sabemos que la confianza se gana con transparencia y garantías.

En noviembre de 2022, anunciamos el nuevo Compromiso de Soberanía Digital de AWS, nuestra garantía de que ofreceremos a todos los clientes de AWS el conjunto de funciones y controles de soberanía más avanzados disponibles en la nube. Dos de sus pilares son el control verificable sobre el acceso a los datos y la capacidad de cifrar todo en cualquier lugar. Ya ofrecemos una serie de servicios de protección de datos, acreditaciones y compromisos contractuales que permiten a los clientes controlar dónde alojar sus datos, quién puede acceder a ellos y cómo se utilizan. Hoy me gustaría ponerles al día sobre cómo seguimos ganándonos su confianza con un control verificable sobre el acceso a los datos de los clientes y un control externo de las claves de cifrado.

AWS Nitro System obtiene la validación de un tercero independiente

Nos comprometemos a ayudar a nuestros clientes a cumplir los requisitos de soberanía en constante evolución y a proporcionar mayor transparencia y garantías sobre cómo se diseñan y operan los servicios de AWS. Con AWS Nitro System, que es la base de los servicios de computación de AWS Amazon EC2, diseñamos y ofrecimos una innovación pionera al eliminar todos los mecanismos que permitían al personal de AWS acceder a los datos de los clientes en Nitro. La eliminación de un mecanismo de acceso de los operadores fue única en 2017 cuando lanzamos por primera vez el sistema Nitro.

A la vez que seguimos cumpliendo nuestra promesa de soberanía digital de control del cliente sobre el acceso a los datos, me complace compartir con ustedes un informe independiente sobre el diseño de seguridad de AWS Nitro System. Contactamos con NCC Group, una consultora mundial de ciberseguridad, para que llevase a cabo una revisión de la arquitectura respecto a nuestras declaraciones de seguridad del sistema Nitro y elaborase un informe público. Este informe confirma que AWS Nitro System, por diseño, carece de mecanismos para que alguien de AWS pueda acceder a sus datos en los hosts Nitro. El informe evalúa la arquitectura del sistema Nitro y nuestras afirmaciones sobre el acceso de los operadores. Llega a la conclusión de que «En términos de diseño, NCC Group no encontró lagunas en el sistema Nitro que pudieran poner en entredicho estas afirmaciones sobre la seguridad». Asimismo afirma que «NCC Group considera que…no hay indicios de que un empleado de un proveedor de servicios en la nube pueda obtener dicho acceso…a ningún host». Nuestra infraestructura de computación, el Nitro System, no cuenta con ningún mecanismo de acceso de los operadores, y ahora esta declaración goza del respaldo de un análisis externo de esos controles de datos. Obtenga más información en el informe de NCC Group.

Nuevos términos de servicio de AWS

En AWS, la seguridad es nuestra máxima prioridad. El informe de NCC muestra que asegura que Nitro System es una excepcional columna vertebral computacional para AWS, con la seguridad como hilo conductor. Los controles Nitro que impiden el acceso de los operadores son una parte tan integral del sistema Nitro que los hemos añadido a nuestros Términos de servicio de AWS, que son aplicables a cualquiera que utilice AWS.

Los Términos de servicio de AWS incluyen ahora lo siguiente sobre el Nitro System:

El personal de AWS no tiene acceso a Su Contenido en las instancias EC2 de AWS Nitro System. No existen medios técnicos ni API a disposición del personal de AWS para leer, copiar, extraer, modificar o acceder de cualquier otro modo a Su Contenido en una instancia EC2 de AWS Nitro System o en un volumen cifrado de EBS adjunto a una instancia EC2 de AWS Nitro System. El acceso a las API de la instancia EC2 de AWS Nitro System, que permite al personal de AWS operar el sistema sin acceso a Su Contenido, siempre se registra y siempre requiere autenticación y autorización.

Control externo de las claves de cifrado con el almacén de claves externas de AWS KMS

Como parte de nuestra promesa de seguir haciendo que la nube de AWS sea soberana por diseño, nos comprometimos a seguir invirtiendo en una ambiciosa hoja de ruta de capacidades, que incluye nuestras capacidades de cifrado. En re:Invent 2022, dimos nuevos pasos para cumplir esta hoja de ruta de cifrar todo en todas partes con claves de cifrado gestionadas dentro o fuera de la nube de AWS al anunciar la disponibilidad del almacén de claves externas (XKS) de AWS Key Management Service (AWS KMS). Esta innovación apoya a nuestros clientes que tienen que almacenar y utilizar sus claves de cifrado fuera de la nube de AWS debido a las necesidades regulatorias. La especificación XKS de código abierto ofrece a los clientes la flexibilidad de adaptarse a diferentes casos de uso de despliegue de HSM. Mientras AWS KMS también impide que el personal de AWS acceda a las claves de los clientes, esta nueva capacidad podría ayudar a algunos clientes a demostrar el cumplimiento de expectativas del sector o regulaciones concretas que requieran el almacenamiento y uso de claves de cifrado fuera de un centro de datos de AWS para determinadas cargas de trabajo.

Con objeto de acelerar la capacidad de los clientes de adoptar XKS con fines reglamentarios, hemos colaborado con los proveedores externos de servicios de HSM, gestión de claves e integración en los que confían nuestros clientes. Hasta la fecha, Thales, Entrust, Fortanix, DuoKey y HashiCorp han lanzado implementaciones de XKS, y Salesforce, Atos y T-Systems han anunciado la creación de ofertas de servicios integrados en torno a XKS. Además, numerosas soluciones SaaS ofrecen integración con AWS KMS para la gestión de claves de sus ofertas de cifrado. Los clientes que utilizan estas soluciones, como las ofertas de Databricks, MongoDB, Reltio, Slack, Snowflake y Zoom, ahora pueden utilizar claves en gestores de claves externos a través de XKS para proteger los datos. Esto permite a los clientes simplificar sus estrategias de gestión de claves en AWS, así como algunas soluciones SaaS, al proporcionar un punto centralizado en el que gestionar las políticas de acceso y auditar el uso de claves.

Mantenemos nuestro compromiso de ayudar a los clientes a cumplir los requisitos de seguridad, privacidad y soberanía digital. Seguiremos innovando en las funciones, los controles y las garantías de soberanía en la nube global de AWS y ofreceremos esto sin comprometer todo el potencial de AWS.

If you have feedback about this post, submit comments in the Comments section below. If you have questions about this post, contact AWS Support.

Want more AWS Security news? Follow us on Twitter.