メニュー
Amazon CloudFront
開発者ガイド (API Version 2016-09-29)

CloudFront コンプライアンス

CloudFront は PCI DSS および HIPAA の基準に準拠しています。

PCI DSS

CloudFront は、マーチャントまたはサービスプロバイダーによるクレジットカードデータの処理、ストレージ、および伝送をサポートしており、Payment Card Industry (PCI) Data Security Standard (DSS) に準拠していることが確認されています。PCI DSS の詳細 (AWS PCI Compliance Package のコピーをリクエストする方法など) については、「PCI DSS レベル 1」を参照してください。

セキュリティを確保するうえでのベストプラクティスとして、CloudFront エッジキャッシュにクレジットカード情報をキャッシュしないことを推奨します。たとえば、クレジットカード番号の末尾 4 桁の数字やカード所有者の連絡先情報などのクレジットカード情報を含んでいる Cache-Control:no-cache="field-name" ヘッダーをレスポンスの含めるようにオリジンを設定できます。

HIPAA

AWS では、その HIPAA コンプライアンスプログラムを拡張し、CloudFront を HIPAA 対応サービスとして含めました。AWS と事業提携契約 (BAA) を締結している場合は、保護された医療情報 (PHI) が含まれているコンテンツを CloudFront で配信できます。詳細については、「HIPAA への準拠」を参照してください。

監査用の CloudFront 使用状況データのログ記録

AWS 責任共有モデルに基づいて、PCI または HIPAA 準拠ワークロードを実行する場合は、将来の監査目的のために過去 365 日間の CloudFront 使用状況データのログを記録することをお勧めします。使用状況データを記録するには、以下の操作を実行できます。