Snowflake: voltooiing NZISM-beoordeling op AWS in Nieuw-Zeeland

Samenvatting

Snowflake voltooit NZISM-beoordeling op AWS in Auckland voor overheidsdiensten met Restricted-beveiligingseisen.

Snowflake en de NZISM-beoordeling

Snowflake heeft een onafhankelijke beoordeling afgerond tegen de New Zealand Information Security Manual (NZISM) voor zijn implementatie in de AWS-regio Auckland. De beoordeling bevestigt dat de platformcontroles aansluiten op de Restricted-beveiligingseisen van de Nieuw-Zeelandse overheid.

Een onafhankelijke assurancepartij beoordeelde de controles aan de hand van de relevante NZISM-vereisten. Snowflake levert daarbij beoordelingsdocumenten, waaronder control mappings en risicodocumentatie. De beoordeling gaat over de platformcontroles van Snowflake, niet over de volledige configuratie van een overheidsinstantie.

Waarom de NZISM-beoordeling telt

De uitkomst raakt vooral het inkoop- en accreditatieproces. Overheidsinstanties moeten onder de Protective Security Requirements (PSR) nog steeds hun eigen certification and accreditation-proces uitvoeren voordat zij een authority to operate (ATO) verlenen. De onafhankelijke beoordeling neemt die verantwoordelijkheid niet weg.

Wel kunnen Chief Information Security Officers en lead assessors de beschikbare documentatie gebruiken bij hun eigen beoordeling. Daardoor hoeven zij niet opnieuw een volledige infrastructuuraudit op platformniveau uit te voeren. De aandacht verschuift naar de eigen configuraties, integraties en resterende risico’s.

Snowflake koppelt de beoordeling aan publieke workloads in Nieuw-Zeeland. De genoemde toepassingen omvatten het samenbrengen van gegevens uit verschillende systemen, beveiligd delen zonder onnodige duplicatie, rapportage op basis van beheerde gegevens en ondersteuning voor AI en geavanceerde analyses. De AWS Auckland-regio vormt daarbij de beschreven implementatieomgeving.

Concrete takeaway voor Snowflake-gebruikers

Een overheidsinstantie die Snowflake in Nieuw-Zeeland beoordeelt, moet de NZISM-documenten opnemen in het eigen C&A-dossier, maar daarnaast de eigen configuraties en integraties afzonderlijk toetsen. Controleer vooral welke platformcontroles al zijn afgedekt en welke risico’s nog onder de verantwoordelijkheid van de instantie vallen voordat een ATO wordt aangevraagd.