Estás viendo la documentación de Apigee Edge.
Ir a la documentación de
Apigee X. info
Cumplimiento de la HIPAA con Apigee Edge
Garantizar que los datos de nuestros clientes estén protegidos, seguros y siempre disponibles para ellos es una de nuestras principales prioridades. Para demostrar nuestro cumplimiento con los estándares de seguridad de la industria, Google obtuvo certificaciones de seguridad, como la certificación ISO 27001 y las auditorías de tipo II de SOC 2 y SOC 3. Para los clientes que están sujetos a los requisitos de la Ley de Responsabilidad y Portabilidad de Seguros Médicos (HIPAA), Apigee Edge también puede admitir el cumplimiento de la HIPAA.
Según la HIPAA, cierta información sobre la salud de una persona o los servicios de atención médica se clasifica como Información de Salud Protegida (PHI). Los clientes de Apigee Edge que estén sujetos a la HIPAA y deseen usar Apigee Edge con PHI deben firmar un Acuerdo entre Socios Comerciales (BAA) con Google.
Los clientes de Apigee Edge son responsables de determinar si están sujetos a los requisitos de la HIPAA y si usan o tienen la intención de usar los servicios de Google en relación con la PHI. Los clientes que no hayan firmado un BAA con Google no deben usar los servicios de Google en relación con la PHI.
Los administradores deben revisar y aceptar un BAA antes de usar los servicios de Google con PHI.
En este tema, publicamos nuestra Guía de configuración de la HIPAA de Apigee para ayudar a los clientes a comprender cómo organizar los datos en los servicios de Google cuando se maneja PHI. Esta guía está destinada a los empleados de las organizaciones que son responsables de la implementación de la HIPAA y el cumplimiento con Apigee Edge.
Guía de configuración de la HIPAA para la nube pública de Edge
Esta guía solo tiene fines informativos. Apigee no pretende que la información o las recomendaciones de esta guía constituyan asesoramiento legal. Cada cliente es responsable de evaluar de forma independiente su uso particular de los servicios según corresponda para respaldar sus obligaciones de cumplimiento de los requisitos legales.
Los clientes sujetos a la Ley de Responsabilidad y Portabilidad de Seguros Médicos (conocida como HIPAA, en su forma enmendada, incluidas las de la Ley de Tecnología de la Información de Salud Clínica y Económica [HITECH]) que compraron el paquete de cumplimiento de la HIPAA deben revisar los siguientes elementos. Estos elementos son de autoservicio en Edge y pueden ayudar a la organización del cliente (org) a cumplir con sus obligaciones de cumplimiento de la HIPAA. El concepto general es "Google protege la plataforma, el cliente protege sus datos".
| Requisitos de la HIPAA | Secciones |
|---|---|
| Cumplimiento de la HIPAA: Seguridad: Control de acceso | Uso/autorizaciones |
| Cumplimiento de la HIPAA: Proceso de administración de la seguridad: Revisión de la actividad del sistema de información | Registro de auditoría |
| Cumplimiento de la HIPAA: Administración de contraseñas de seguridad | Requisitos de contraseña compleja o SAML |
| Cumplimiento de la HIPAA: Seguridad - Proceso de administración de la seguridad | Análisis de extremos |
| Cumplimiento de la HIPAA: Seguridad: Transmisión | Configuración de TLS |
Trace / Debug
Trace/Debug es una herramienta de solución de problemas que permite al usuario ver el estado y el contenido de una llamada a la API a medida que se procesa a través del Message Processor de Apigee. Trace y Debug son dos nombres para el mismo servicio, pero se accede a ellos a través de diferentes mecanismos. Trace es el nombre de este servicio dentro de la IU de Edge. Debug es el nombre del mismo servicio cuando se usa a través de llamadas a la API. El uso del término "registro" en este documento es válido tanto para el registro como para la depuración.
Durante una sesión de registro, se aplica el "enmascaramiento de datos" si el cliente lo habilitó y configuró. Esta herramienta puede bloquear la visualización de los datos durante un registro. Consulta la sección Enmascaramiento de datos a continuación.
Los mapas de pares clave-valor (KVM) encriptados se usan para los clientes que requieren el cumplimiento de la HIPAA. Con una KVM encriptada en uso, se puede seguir usando Trace, pero algunas variables no serán visibles en la pantalla de visualización de Trace. Es posible tomar medidas adicionales para mostrar también estas variables durante un registro.
Las instrucciones detalladas sobre el uso de Trace están disponibles en Usa la herramienta Trace.
Los detalles sobre los KVM, incluidos los KVM encriptados, están disponibles en Usa mapas de clave-valor.
Uso/autorizaciones
El acceso a Trace se administra a través del sistema RBAC (control de acceso basado en roles) para las cuentas de usuario dentro de Edge (cumplimiento de la HIPAA: Seguridad - Control de acceso). Las instrucciones detalladas sobre el uso del sistema de RBAC para otorgar y revocar privilegios de Trace están disponibles en Asignación de roles y Creación de roles personalizados en la IU. Los permisos de registro permiten al usuario iniciar y detener un registro, y acceder al resultado de una sesión de registro.
Dado que Trace tiene acceso a la carga útil de las llamadas a la API (denominada anteriormente “Cuerpo del mensaje”), es importante considerar quién tiene acceso para ejecutar un registro de Trace. Debido a que la administración de usuarios es una responsabilidad del cliente, la asignación de permisos de seguimiento también es una responsabilidad del cliente. Apigee, como propietario de la plataforma, tiene la capacidad de agregar un usuario a una organización del cliente y asignarle privilegios. Esta capacidad solo se usa a solicitud del cliente para obtener asistencia en una situación en la que parece que la atención al cliente no funciona y se cree que revisar una sesión de registro proporciona la mejor información sobre la causa raíz.
Enmascaramiento de datos
El enmascaramiento de datos evita que se muestren datos sensibles durante una sesión de seguimiento o depuración, tanto en el seguimiento (IU de Edge) como en el backend de depuración (API de Edge). Los detalles sobre cómo configurar el enmascaramiento están disponibles en Enmascaramiento y ocultamiento de datos.
El enmascaramiento de datos NO evita que los datos sean visibles en archivos de registro, caché, estadísticas, etc. Para obtener ayuda con el enmascaramiento de datos en los registros, considera agregar un patrón de regex al archivo logback.xml. Por lo general, los datos sensibles no se deben escribir en caché ni en estadísticas sin una justificación comercial sólida y una revisión por parte de tus equipos de seguridad y jurídico.
Caché L1 y L2
El uso de la caché L1 también usará automáticamente la caché L2. La caché L1 es "solo memoria", mientras que la caché L2 escribe datos en el disco para sincronizarse en varias cachés L1. La caché L2 mantiene sincronizados varios Message Processors dentro de una región y a nivel global. Actualmente, no es posible habilitar la caché L1 sin una caché L2 detrás. La caché L2 escribe datos en el disco para que se puedan sincronizar con otros Message Processor de la organización del cliente. Las instrucciones detalladas para usar la caché están disponibles en Cómo agregar almacenamiento en caché y persistencia.
Registro de auditoría
Los clientes tienen la capacidad de revisar el registro de auditoría de todas las actividades administrativas que se realizan dentro de la organización del cliente, incluido el uso de Trace (cumplimiento de la HIPAA: Proceso de administración de la seguridad: Revisión de la actividad del sistema de información). Las instrucciones detalladas están disponibles aquí y en Cómo usar la herramienta de seguimiento.
Requisitos de contraseña compleja o SAML
Para los clientes de HIPAA, las contraseñas de usuario se configuran para cumplir con requisitos avanzados, como longitud, complejidad y vida útil. (Cumplimiento de la HIPAA: Administración de contraseñas de seguridad)
Edge también ofrece autenticación de varios factores, que se describe en Habilita la autenticación de dos factores para tu cuenta de Apigee, y SAML, que se describe en Cómo habilitar la autenticación SAML para Edge, como alternativas para los controles de autenticación.
Seguridad de extremos
Análisis de extremos
Los clientes de Edge Cloud son responsables del análisis y las pruebas de sus extremos de API (a veces denominados “componentes del entorno de ejecución”) en Edge ( Cumplimiento de la HIPAA: Seguridad - Proceso de administración de la seguridad). Las pruebas de clientes deben abarcar los servicios de proxy de API reales alojados en Edge, en los que el tráfico de la API se envía a Edge antes de procesarse y, luego, entregarse al centro de datos del cliente. Las pruebas de recursos compartidos, como la IU del portal de administración, no están aprobadas para clientes individuales (un informe de terceros que abarca las pruebas de los servicios compartidos está disponible para los clientes en virtud de un acuerdo de confidencialidad y cuando se lo solicite).
Los clientes deben probar sus extremos de API y se recomienda que lo hagan. Tu acuerdo con Apigee no prohíbe las pruebas de los extremos de la API, pero te solicita que no pruebes la IU de administración compartida. Sin embargo, si se requiere una aclaración adicional, abre un ticket de asistencia en el que se haga referencia a las pruebas planificadas. Agradeceremos que notifiques a Apigee con anticipación para que podamos estar al tanto del tráfico de prueba.
Los clientes que prueban sus extremos deben buscar cualquier problema específico de la API, cualquier problema relacionado con los servicios de Apigee y, también, verificar la TLS y otros elementos configurables. Cualquier elemento que se encuentre y esté relacionado con los servicios de Apigee debe comunicarse a Apigee a través de un ticket de asistencia.
La mayoría de los elementos relacionados con el extremo son elementos de autoservicio del cliente y se pueden corregir con una revisión de la documentación de Edge. Si no tiene claro cómo solucionar ciertos elementos, abra una solicitud de asistencia.
Configuración de TLS
Los clientes son responsables de definir y configurar sus propios extremos de TLS para proxies de API. Esta es una función de autoservicio en Edge. Los requisitos del cliente en cuanto a las selecciones de encriptación, protocolo y algoritmo son muy variables y específicos de cada caso de uso. Debido a que Apigee no conoce los detalles del diseño de API de cada cliente y las cargas útiles de datos, los clientes tienen la responsabilidad de determinar la encriptación adecuada para los datos en tránsito (cumplimiento de la HIPAA: Seguridad - Transmisión).
Las instrucciones detalladas sobre la configuración de TLS están disponibles en TLS/SSL.
Almacenamiento de datos
No es necesario almacenar los datos dentro de Edge para que funcione de forma correcta. Sin embargo, hay servicios disponibles para el almacenamiento de datos en Edge. Los clientes pueden elegir usar la caché o las estadísticas para el almacenamiento de datos. Se recomienda que los administradores del cliente revisen las configuraciones, las políticas y las implementaciones para evitar el uso accidental o malicioso de los servicios de almacenamiento de datos en Edge, lo que infringe las normas.
Encriptación de datos de la carga útil
Las herramientas de encriptación de datos no se ofrecen a los clientes para su uso dentro de Edge. Sin embargo, los clientes son libres de encriptar los datos antes de enviarlos a Edge. Los datos encriptados en la carga útil (o el cuerpo del mensaje) no evitan que Edge funcione. Es posible que algunas políticas de Edge no puedan interactuar con los datos si el cliente los recibe encriptados. Por ejemplo, no es posible realizar una transformación si los datos no están disponibles para que Edge los cambie. Sin embargo, otras políticas y paquetes creados por el cliente funcionarán incluso si la carga útil de los datos está encriptada.
PII en URIs
La plataforma unificada de Analytics (UAP) de Apigee captura datos de estadísticas, incluida cualquier PHI o cualquier otro dato sensible incluido en el identificador uniforme de recursos (URI) de una llamada a la API en Apigee Edge, y los conserva durante 13 meses. Los estándares de Fast Healthcare Interoperability Resources (FHIR) admiten la PHI en el URI y, por lo tanto, Apigee también la admite. Los datos de Analytics en la UAP se encriptan en reposo de forma predeterminada.
Actualmente, Apigee no admite lo siguiente:
- Enmascaramiento de datos en la UAP
- Cómo cambiar el ciclo de retención
- Cómo inhabilitar la UAP
- Se descarta el URI de la recopilación de datos de la UAP