Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi
Apigee Edge ile HIPAA Uygunluğu
Müşterilerimizin verilerini güvende tutmak ve verilerine her zaman ulaşabilmelerini sağlamak, en önemli önceliklerimizden biridir. Google, sektördeki güvenlik standartlarına uygunluğumuzu göstermek için ISO 27001 sertifikası, SOC 2 ve SOC 3 Tip II denetimleri gibi güvenlik sertifikaları almıştır. Apigee Edge, Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası'nın (HIPAA) şartlarına tabi olan müşteriler için HIPAA uygunluğunu da destekleyebilir.
HIPAA kapsamında, bir kişinin sağlığı veya sağlık hizmetleri hakkındaki belirli bilgiler Korunan Sağlık Bilgileri (PHI) olarak sınıflandırılır. HIPAA'ya tabi olan ve Apigee Edge'i PHI ile birlikte kullanmak isteyen Apigee Edge müşterilerinin Google ile bir Ticari Ortaklık Sözleşmesi (BAA) imzalamaları gerekir.
Apigee Edge müşterileri, HIPAA şartlarına tabi olup olmadıklarını ve Google hizmetlerini PHI ile bağlantılı olarak kullanıp kullanmadıklarını veya kullanmayı amaçlayıp amaçlamadıklarını belirlemekten sorumludur. Google ile BAA sözleşmesini imzalamayan müşteriler, Google hizmetlerini PHI ile bağlantılı olarak kullanmamalıdır.
Yöneticiler, Google hizmetlerini PHI ile birlikte kullanmadan önce BAA'yı inceleyip kabul etmelidir.
PHI ile çalışırken Google hizmetlerindeki verilerin nasıl organize edileceği konusunda müşterilerimize yardımcı olması amacıyla bu konuda Apigee HIPAA Yapılandırma Kılavuzu yayınladık. Bu kılavuz, Apigee Edge'de HIPAA uygulaması ve uygunluğundan sorumlu kuruluş çalışanları için hazırlanmıştır.
Edge Public Cloud için HIPAA Yapılandırma Kılavuzu
Bu kılavuz yalnızca bilgilendirme amaçlıdır. Apigee, bu kılavuzdaki bilgilerin veya önerilerin yasal tavsiye niteliğinde olmasını amaçlamaz. Her müşteri, kanunlara ve kurallara uygunluk yükümlülüklerini desteklemek için hizmetleri kendi özel kullanımını bağımsız olarak değerlendirmekten sorumludur.
Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası'na (HIPAA olarak bilinir; Sağlık Bilgi Teknolojileri Ekonomik ve Klinik Sağlık Yasası [HITECH Yasası] dahil olmak üzere ile değişik haliyle) tabi olan ve HIPAA uygunluk paketini satın alan müşterilerin aşağıdaki öğeleri incelemesi gerekir. Bu öğeler Edge'de self servis olarak sunulur ve müşteri kuruluşunun (kurum) HIPAA uygunluğu yükümlülüklerini karşılamasına yardımcı olabilir. Genel konsept, "Google platformu, müşteri ise verilerini güvence altına alır"dır.
| HIPAA Koşulları | Bölümler |
|---|---|
| HIPAA uygunluğu: Güvenlik - Erişim Kontrolü | Kullanım/Yetkilendirmeler |
| HIPAA uygunluğu: Güvenlik Yönetimi Süreci - Bilgi Sistemi Etkinlik İncelemesi | Denetim takibi |
| HIPAA uygunluğu: Güvenli Şifre Yönetimi | Karmaşık şifre gereksinimleri veya SAML |
| HIPAA uygunluğu: Güvenlik - Güvenlik Yönetimi Süreci | Uç nokta taraması |
| HIPAA uygunluğu: Güvenlik - İletim | TLS yapılandırması |
İzleme / Hata Ayıklama
İzleme/Hata Ayıklama, kullanıcının bir API çağrısının Apigee Mesaj İşleyici'de işlenirken durumunu ve içeriğini görüntülemesine olanak tanıyan bir sorun giderme aracıdır. İzleme ve hata ayıklama, aynı hizmetin iki farklı adıdır ancak farklı mekanizmalarla erişilir. Trace, Edge kullanıcı arayüzündeki bu hizmetin adıdır. Debug, API çağrıları üzerinden kullanıldığında aynı hizmetin adıdır. Bu belgede İzleme teriminin kullanılması hem İzleme hem de Hata Ayıklama için geçerlidir.
İzleme oturumu sırasında, müşteri tarafından etkinleştirilip yapılandırılmışsa "Veri Maskeleme" uygulanır. Bu araç, izleme sırasında verilerin gösterilmesini engelleyebilir. Aşağıdaki Veri Maskeleme bölümünü inceleyin.
Şifrelenmiş anahtar-değer eşlemeleri (KVM'ler), HIPAA uyumluluğu gerektiren müşteriler için kullanılır. Şifrelenmiş bir KVM kullanılırken İzleme yine kullanılabilir ancak bazı değişkenler İzleme ekranında görünmez. İzleme sırasında bu değişkenleri de görüntülemek için ek adımlar uygulayabilirsiniz.
İzleme aracının kullanımıyla ilgili ayrıntılı talimatları İzleme aracını kullanma başlıklı makalede bulabilirsiniz.
Şifrelenmiş KVM'ler de dahil olmak üzere KVM'lerle ilgili ayrıntıları Anahtar-değer eşlemeleriyle çalışma başlıklı makalede bulabilirsiniz.
Kullanım/Yetkilendirmeler
Trace'e erişim, Edge'deki kullanıcı hesapları için RBAC (Rol Tabanlı Erişim Denetimi) sistemi üzerinden yönetilir (HIPAA uygunluğu: Güvenlik - Erişim Denetimi). RBAC sistemini kullanarak izleme ayrıcalıkları verme ve iptal etme ile ilgili ayrıntılı talimatları Rol atama ve Kullanıcı arayüzünde özel roller oluşturma başlıklı makalelerde bulabilirsiniz. İzleme izinleri, kullanıcının İzleme başlatmasına, İzleme'yi durdurmasına ve İzleme oturumundan elde edilen çıkışa erişmesine olanak tanır.
Trace, API çağrılarının yüküne (eski adıyla "Mesaj Gövdesi") erişebildiğinden, Trace çalıştırma erişimi olan kullanıcıları göz önünde bulundurmak önemlidir. Kullanıcı yönetimi müşterinin sorumluluğunda olduğundan, İzleme izinlerinin verilmesi de müşterinin sorumluluğundadır. Platform sahibi olarak Apigee, müşteri kuruluşuna kullanıcı ekleme ve ayrıcalık atama olanağına sahiptir. Bu özellik yalnızca müşteri hizmetlerinin başarısız olduğu ve bir izleme oturumunun incelenmesinin temel neden hakkında en iyi bilgiyi sağlayacağı düşünülen durumlarda müşteri desteği isteği üzerine kullanılır.
Veri Maskeleme
Veri maskeleme, yalnızca bir izleme/hata ayıklama oturumu sırasında hem izleme (Edge kullanıcı arayüzü) hem de hata ayıklama (Edge API) tarafından arka uçta hassas verilerin görüntülenmesini engeller. Maskelemenin nasıl ayarlanacağıyla ilgili ayrıntıları Veri maskeleme ve gizleme başlıklı makalede bulabilirsiniz.
Veri maskeleme, verilerin günlük dosyalarında, önbellekte, analizlerde vb. görünmesini ENGELLEMEZ. Günlüklerde veri maskeleme konusunda yardım almak için logback.xml dosyasına bir normal ifade kalıbı eklemeyi düşünebilirsiniz. Hassas veriler, genellikle güçlü bir ticari gerekçe ve güvenlik ile hukuk ekiplerinizin incelemesi olmadan önbelleğe veya analizlere yazılmamalıdır.
L1 ve L2 önbelleği
L1 önbelleği kullanıldığında L2 önbelleği de otomatik olarak kullanılır. L1 önbelleği "yalnızca bellek"tir. L2 önbelleği ise birden fazla L1 önbelleği arasında senkronizasyon sağlamak için verileri diske yazar. L2 önbelleği, bir bölge içinde ve dünya genelinde birden fazla ileti işlemcisini senkronize tutar. Şu anda L2 önbelleği olmadan L1 önbelleğinin etkinleştirilmesi mümkün değildir. L2 önbelleği, müşteri kuruluşunun diğer ileti işlemcileriyle senkronize edilebilmesi için verileri diske yazar. Önbelleği kullanmayla ilgili ayrıntılı talimatları Önbelleğe alma ve kalıcılık ekleme başlıklı makalede bulabilirsiniz.
Denetim takibi
Müşteriler, Trace'in kullanımı da dahil olmak üzere müşteri kuruluşunda gerçekleştirilen tüm yönetim etkinliklerinin denetim izini inceleyebilir (HIPAA uyumluluğu: Güvenlik Yönetimi Süreci - Bilgi Sistemi Etkinlik İncelemesi). Ayrıntılı talimatları burada ve İzleme aracını kullanma başlıklı makalede bulabilirsiniz.
Karmaşık şifre koşulları veya SAML
HIPAA müşterileri için kullanıcı şifreleri; uzunluk, karmaşıklık ve kullanım ömrü gibi gelişmiş şartları karşılayacak şekilde yapılandırılır. (HIPAA uygunluğu: Güvenlik Şifre Yönetimi)
Edge, kimlik doğrulama kontrolleri için alternatif olarak Apigee hesabınızda iki faktörlü kimlik doğrulamayı etkinleştirme başlıklı makalede açıklanan çok faktörlü kimlik doğrulama ve Edge'de SAML kimlik doğrulamasını etkinleştirme başlıklı makalede açıklanan SAML'yi de sunar.
Uç Nokta Güvenliği
Uç nokta taraması
Edge Cloud müşterileri, Edge'deki API uç noktalarının (bazen "çalışma zamanı bileşenleri" olarak da adlandırılır) taranması ve test edilmesinden sorumludur ( HIPAA uygunluğu: Güvenlik - Güvenlik Yönetimi Süreci). Müşteri testi, API trafiğinin işlenmeden önce Edge'e gönderildiği ve ardından müşterinin veri merkezine teslim edildiği Edge'de barındırılan gerçek API proxy hizmetlerini kapsamalıdır. Yönetim portalı kullanıcı arayüzü gibi paylaşılan kaynakların test edilmesi, bireysel müşteriler için onaylanmamıştır (Paylaşılan hizmetlerin test edilmesini kapsayan bir üçüncü taraf raporu, müşterilere gizlilik sözleşmesi kapsamında ve talep üzerine sunulur).
Müşterilerin API uç noktalarını test etmesi gerekir ve bu konuda teşvik edilirler. Apigee ile yaptığınız sözleşme, API uç noktalarınızın test edilmesini yasaklamaz ancak paylaşılan yönetim kullanıcı arayüzünü test etmemenizi ister. Ancak daha fazla açıklamaya ihtiyaç duyarsanız lütfen planladığınız testi referans göstererek bir destek kaydı açın. Test trafiğinden haberdar olabilmemiz için Apigee'ye önceden bildirimde bulunmanız rica olunur.
Uç noktalarını test eden müşteriler, API'ye özgü sorunların yanı sıra Apigee hizmetleriyle ilgili sorunları da aramalı ve TLS ile diğer yapılandırılabilir öğeleri kontrol etmelidir. Apigee hizmetleriyle ilgili bulunan tüm öğeler, destek kaydı aracılığıyla Apigee'ye bildirilmelidir.
Uç nokta ile ilgili öğelerin çoğu müşteri self servis öğeleridir ve Edge belgelerini inceleyerek düzeltilebilir. Nasıl düzeltileceği net olmayan öğeler varsa lütfen destek talebi açın.
TLS Yapılandırması
Müşteriler, API proxy'leri için kendi TLS uç noktalarını tanımlayıp yapılandırmaktan sorumludur. Bu, Edge'de self servis bir özelliktir. Şifreleme, protokol ve algoritma seçimleriyle ilgili müşteri gereksinimleri büyük ölçüde değişkendir ve kullanım alanlarına özeldir. Apigee, her müşterinin API tasarımı ve veri yükleri hakkında ayrıntılı bilgiye sahip olmadığından, müşteriler aktarım halindeki veriler için uygun şifrelemeyi belirlemekle yükümlüdür ( HIPAA uygunluğu: Güvenlik - İletim).
TLS yapılandırmasıyla ilgili ayrıntılı talimatları TLS/SSL sayfasında bulabilirsiniz.
Veri Depolama
Edge'in düzgün çalışması için verilerin Edge'de depolanması gerekmez. Ancak Edge'de veri depolama için hizmetler mevcuttur. Müşteriler, veri depolama için önbelleği veya analizi kullanmayı seçebilir. Müşteri yöneticileri tarafından yapılandırma, politikalar ve dağıtımların gözden geçirilmesi, Edge'deki veri depolama hizmetlerinin yanlışlıkla veya kötü amaçlı olarak politikaya uygun olmayan bir şekilde kullanılmasını önlemek için önerilir.
Yükün veri şifrelemesi
Müşterilere, Edge'de kullanmaları için veri şifreleme araçları sunulmaz. Ancak müşteriler, verileri Edge'e göndermeden önce şifreleyebilir. Yükteki (veya mesaj gövdesindeki) şifrelenmiş veriler Edge'in çalışmasını engellemez. Birkaç Edge politikası, müşteri tarafından şifrelenmiş olarak alınan verilerle etkileşime giremeyebilir. Örneğin, verinin kendisi Edge tarafından değiştirilemiyorsa dönüşüm mümkün değildir. Ancak diğer politikalar, müşteriler tarafından oluşturulan politikalar ve paketler, veri yükü şifrelenmiş olsa bile çalışır.
URI'lerdeki kimliği tanımlayabilecek bilgiler
Apigee'nin birleşik analiz platformu (UAP), bir API çağrısının tekdüzen kaynak tanımlayıcısında (URI) bulunan tüm KHS veya diğer hassas veriler de dahil olmak üzere analiz verilerini Apigee Edge'e aktarır ve 13 ay boyunca saklar. URI'deki PHI, Fast Healthcare Interoperability Resources (FHIR) standartları tarafından desteklendiği için Apigee tarafından da desteklenir. UAP'deki Analytics verileri varsayılan olarak şifrelenir.
Apigee şu anda aşağıdakileri desteklemiyor:
- UAP'ye veri maskeleme
- Saklama döngüsünü değiştirme
- UAP'yi devre dışı bırakma
- URI'yi UAP veri toplama işleminden çıkarma