Защита данных и хранение
Что Acceptable Use Policy (AUP) и Data Protection Policy (DPP) Amazon требуют от каждого разработчика SP-API: использование данных, хранение и удаление, меры безопасности и аудит.
Краткое изложение, не политика
Каждое утверждение на этой странице пересказывает опубликованные политики Amazon из раздела Источники. Номера разделов относятся к Data Protection Policy (DPP). Обязательны сами политики; эта страница — их краткое изложение.
Цифры кратко
- PII хранятся не дольше 30 дней после доставки заказа (2.1).
- Information удаляется в течение 30 дней после уведомления об удалении или отзыва авторизации (1.7).
- Книги и записи хранятся в течение срока действия соглашения и 12 месяцев после его окончания (3).
- О Security Incident сообщают Amazon в течение 24 часов после обнаружения (1.6.3).
- Доступ отключается или удаляется в течение 24 часов после увольнения (1.2.3).
- Блокировка экрана: автоматический тайм-аут не более 15 минут (1.1.2).
- Права доступа пересматриваются не реже раза в квартал; блокировка после не более чем 10 неудачных входов подряд (1.2.2).
- Пароли: не короче 12 символов, истечение не позже 365 дней, без повторного использования последних 10 (1.4.1).
- Ротация программных учётных данных не реже раза в 12 месяцев (1.4.2).
- Шифрование при передаче: TLS 1.2 или выше (1.5); при хранении: не слабее AES-128 или RSA с ключом 2048 бит (2.4).
- План реагирования на инциденты пересматривается и проверяется каждые шесть месяцев (1.6.2).
- Журналы просматриваются в реальном времени или не реже раза в 2 недели и хранятся не меньше 12 месяцев (2.6.1).
- Сканирование уязвимостей не реже раза в 30 дней, тесты на проникновение не реже раза в 365 дней (2.7.1, 2.7.2).
- Критические уязвимости устраняются за 7 дней, высокорисковые — за 30 дней после обнаружения (2.7.3).
К кому применяются политики
Data Protection Policy устанавливает требования к solution provider — разработчикам и сервис-провайдерам.
- Её раздел 1 (общие требования безопасности) относится к каждому solution provider, создающему приложение SP-API.
- Раздел 2 добавляет требования для тех, кто выполняет ограниченные операции с персональными данными (PII), которые открывают ограниченные роли.
- Каждый разработчик также принимает Acceptable Use Policy (AUP).
Определения (DPP, раздел 4)
- Information — любая информация, доступная через Amazon Services API, публичная или нет, включая PII.
- PII — информация, по которой сама по себе или вместе с другой информацией можно идентифицировать покупателя Amazon, связаться с ним, распознать его в контексте или определить его местоположение. Например: имя, адрес, адрес электронной почты, телефон, платёжные данные, cookies, IP-адрес, геолокация.
- Security Incident — любой фактический или предполагаемый несанкционированный доступ к Information, её сбор, раскрытие, повреждение или утрата.
Допустимое использование (AUP)
- Использовать API только для допустимых действий на Amazon и только для авторизованных пользователей; не способствовать нарушению соглашений между авторизованным пользователем и Amazon.
- Не рекламировать приложение ложно. Ясно и честно сообщать авторизованным пользователям, к каким данным есть доступ и зачем, включая применяемые к ним расчёты и модели, например искусственный интеллект.
- Не вводить авторизованных пользователей в заблуждение намеренным изменением Information.
- Никогда не передавать ключи доступа и пароли и никогда не запрашивать и не принимать ключи доступа авторизованного пользователя или другого solution provider.
- Давать доступ к данным внутри организации только по принципу need-to-know.
- Не использовать и не продвигать внешние сервисы, продающие данные, полученные с сайтов Amazon.
- Не раскрывать Information другим пользователям приложения, аффилированным лицам или сторонним лицам без надлежащего разрешения.
Ограничения на PII
Не использовать PII покупателей ни для чего, кроме доставки силами продавца (merchant-fulfilled shipping) и выполнения требований закона. Не нацеливаться на покупателей Amazon для маркетинга товаров, фабрикации или изменения отзывов.
Без агрегации между бизнесами
Не агрегировать данные по бизнесам или покупателям разных авторизованных пользователей.
Хранение и удаление
Хранение PII (2.1)
Хранить PII не дольше 30 дней после доставки заказа и только для того и столько, сколько нужно, чтобы:
- (i) выполнить заказы;
- (ii) рассчитать и перечислить налоги;
- (iii) сформировать налоговые счета и другие обязательные по закону документы;
- (iv) выполнить требования закона, включая налоговые и регуляторные.
Хранить PII дольше 30 дней после доставки можно только если этого требует закон и только для соблюдения этого закона.
Удаление данных (1.7)
Окончательно и безопасно удалить Information в течение 30 дней, когда Amazon направляет уведомление с требованием удаления или когда клиент solution provider отзывает авторизацию.
Записи (3)
Вести все надлежащие книги и записи в течение срока действия соглашения и 12 месяцев после его окончания.
Требования безопасности для каждого разработчика (раздел 1)
Раздел 1 относится к каждому solution provider, создающему приложение SP-API.
Уведомление об инциденте
Уведомить Amazon по адресу [email protected] в течение 24 часов после обнаружения Security Incident (1.6.3).
Раздел 1 по областям
- Защита сети (1.1.1)
- Сегментация сети, изолирующая чувствительные среды и ограничивающая горизонтальное перемещение.
- Web application firewall (WAF) или равноценные средства, которые отслеживают, фильтруют и блокируют вредоносный трафик API.
- Защита конечных точек с ручными обновлениями не реже раза в месяц.
- Защита конечных точек (1.1.2) — блокировка экрана с автоматическим тайм-аутом не более 15 минут.
- Документация (1.1.3) — документация средств защиты сети и конечных точек: схемы архитектуры сети и подтверждения развёрнутых firewall, WAF, IDS/IPS и защиты конечных точек.
- Управление идентификацией (1.2.1)
- Документированный процесс запроса, одобрения, выдачи, пересмотра и отзыва доступа по бизнес-потребности.
- Уникальный идентификатор у каждого пользователя.
- Никаких общих, разделяемых и стандартных учётных записей.
- Пересмотр доступа (1.2.2) — пересматривать права доступа не реже раза в квартал; блокировать учётную запись не более чем после 10 неудачных входов подряд.
- Увольнение (1.2.3) — отключить или удалить доступ в течение 24 часов после увольнения.
- Допущенные пользователи (1.2.4) — только допущенные пользователи: персонал с документированной бизнес-потребностью, прошедший обучение по защите данных и ИТ-безопасности, которое повторяется не реже раза в год.
- Минимальные привилегии (1.3) — доступ к Information ограничен минимумом, необходимым для разрешённых функций.
- Аутентификация пользователей (1.4.1)
- Многофакторная аутентификация (MFA) для всех учётных записей пользователей.
- Пароли, если используются: не короче 12 символов, без частей имени пользователя, со строчными и прописными буквами, цифрами и спецсимволами.
- Минимальный срок действия пароля один день, истечение не позже 365 дней, без повторного использования последних 10.
- Программные учётные данные (1.4.2) — ротация не реже раза в 12 месяцев.
- Шифрование при передаче (1.5) — шифровать всю Information при передаче защищёнными протоколами, такими как TLS 1.2 или выше.
- Риски и инциденты (1.6)
- Оценка рисков с угрозами, уязвимостями, вероятностью и последствиями (1.6.1).
- План реагирования на инциденты, который пересматривается и проверяется каждые шесть месяцев (1.6.2).
- Уведомить Amazon по адресу
[email protected]в течение 24 часов после обнаружения Security Incident (1.6.3). - Расследовать и документировать каждый инцидент, сохранять цепочку хранения доказательств и предоставлять документацию Amazon по запросу (1.6.4).
- Назначить контактное лицо по управлению инцидентами (1.6.5).
Дополнительные требования для PII (раздел 2)
Раздел 2 относится к solution provider, которые выполняют ограниченные операции с PII.
Раздел 2 по областям
- Управление данными (2.2)
- Документированная политика конфиденциальности и обращения с данными.
- Реестр операций обработки по каждому полю PII (сбор, обработка, хранение, использование, передача, уничтожение).
- Процесс выявления и соблюдения применимых законов о конфиденциальности и безопасности.
- Политика конфиденциальности о согласии и правах на доступ, исправление, удаление или прекращение обработки.
- Помощь авторизованным пользователям с запросами субъектов данных.
- Условия о конфиденциальности в трудовых договорах сотрудников, обрабатывающих PII.
- Управление активами (2.3) — точный реестр активов, обновляемый раз в квартал (2.3.1); никаких PII на съёмных носителях без шифрования не слабее AES-128 (2.3.2).
- Шифрование при хранении (2.4) — шифровать все PII при хранении не слабее AES-128 или RSA с ключом 2048 бит и выше.
- Безопасная разработка (2.5) — практики безопасной разработки по отраслевым стандартам.
- Журналирование (2.6.1)
- Журналировать события безопасности — успех или неудачу, дату и время, попытки доступа, изменения данных, системные ошибки.
- В журналах нет PII, если этого не требует закон.
- Просматривать журналы в реальном времени или не реже раза в 2 недели; хранить журналы не меньше 12 месяцев.
- Мониторинг (2.6.2)
- Оповещения о подозрительной активности (множественные несанкционированные вызовы, неожиданная частота запросов и объём выгрузки, обращения к канареечным записям).
- Обнаружение Information за пределами её защищённого периметра.
- Документированные расследования.
- Управление уязвимостями (2.7)
- Сканирование уязвимостей не реже раза в 30 дней (2.7.1).
- Тесты на проникновение не реже раза в 365 дней (2.7.2).
- Устранение критических уязвимостей в течение 7 дней и высокорисковых — в течение 30 дней после обнаружения (2.7.3).
- Аварийное восстановление (2.7.4) — документированные процедуры восстановления и географически отдельная резервная площадка для своевременного восстановления доступа к PII.
- Субподрядчики (2.8) — ежегодная оценка рисков вендоров и субподрядчиков до предоставления им доступа к данным Amazon.
Аудит и оценка (раздел 3)
- По письменному запросу Amazon solution provider письменно подтверждает, что соблюдает политики.
- По обоснованному запросу Amazon или выбранная Amazon независимая аудиторская фирма может проверить книги, записи, помещения, операции и безопасность всех задействованных систем.
- Найденные недостатки устраняются за счёт solution provider в согласованный срок.