אתם צופים במסמכי העזרה של Apigee Edge.
כניסה למסמכי העזרה של Apigee X. info
כדי שהלקוח יעמוד בדרישות התאימות ל-PCI ב-Apigee Edge Public Cloud, יש כמה פעולות ותהליכים שבבעלות הלקוח במסגרת 'מודל האחריות המשותפת'. הלקוחות שקנו את חבילת התאימות ל-PCI ונדרשים לעמוד בדרישות התאימות ל-PCI צריכים לבדוק את הפריטים הבאים. הפריטים האלה מנוהלים בשירות עצמי ב-Edge, וצריך לטפל בהם כדי שהארגון של הלקוח (org) יעמוד בדרישות PCI. הרעיון הכללי הוא "Google מאבטחת את הפלטפורמה, והלקוח מאבטח את הנתונים שלו".
מטריצת האחריות של הלקוח
הלקוחות צריכים לעיין במטריצה של האחריות ב-Google Apigee PCI-DSS 3.2.1 ולשתף אותה עם בוחן האבטחה המוסמך של PCI כשהם עורכים ביקורת PCI משלהם.
מיפוי הדרישות של PCI
| דרישה של PCI | Section |
|---|---|
| דרישות 7: הגבלת הגישה לפרטים של בעלי כרטיסים בהתאם לצורכי העסק | |
| דרישה 3: הגנה על נתוני בעלי כרטיסים ששמורים | |
| דרישה 10: מעקב אחר כל הגישה למשאבי הרשת ולנתוני בעלי הכרטיסים וניטור שלה | |
| דרישה 8: הקצאת מזהה ייחודי לכל אדם שיש לו גישה למחשב | |
| דרישה 11: בדיקה קבועה של מערכות אבטחה ותהליכים | |
| דרישה 4: הצפנת העברת נתוני בעלי כרטיסים ברשתות פתוחות וציבוריות | |
| דרישה 3: הגנה על נתוני בעלי כרטיסים ששמורים | |
| דרישה 4: הצפנת העברת נתוני בעלי כרטיסים ברשתות פתוחות וציבוריות |
כדי לקבל אישור תאימות (AOC) לתקן PCI Data Security Standard, פותחים כרטיס תמיכה ב-Apigee או פונים לצוות המכירות של Apigee.
מעקב / ניפוי באגים
Trace/Debug הוא כלי לפתרון בעיות שמאפשר למשתמש לראות את הסטטוס והתוכן של קריאה ל-API בזמן שהיא עוברת עיבוד דרך Apigee Message Processor. Trace ו-Debug הם שני שמות של אותו שירות, אבל הגישה אליהם מתבצעת באמצעות מנגנונים שונים. Trace הוא השם של השירות הזה בממשק המשתמש של Edge. Debug הוא השם של אותו שירות כשמשתמשים בו דרך קריאות ל-API. המונח 'מעקב' במסמך הזה מתייחס גם למעקב וגם לניפוי באגים.
במהלך סשן מעקב, המערכת אוכפת את האפשרות 'אנונימיזציה של נתונים'. הכלי הזה יכול לחסום את הצגת הנתונים במהלך מעקב. מידע נוסף זמין בקטע אנונימיזציה של נתונים שבהמשך.
לקוחות PCI יכולים להשתמש במפות מפתחות מוצפנות (KVM). אם נעשה שימוש ב-KVM מוצפן, עדיין אפשר להשתמש ב-Trace, אבל משתנים מסוימים לא יופיעו במסך התצוגה של Trace. אפשר לבצע שלבים נוספים כדי להציג את המשתנים האלה גם במהלך מעקב.
הוראות מפורטות לשימוש בכלי Trace זמינות במאמר שימוש בכלי Trace.
פרטים על מפות KVM, כולל מפות KVM מוצפנות, זמינים במאמר עבודה עם מפות של מפתחות וערכים.
שימוש/הרשאות
הגישה ל-Trace מנוהלת באמצעות מערכת RBAC (בקרת גישה מבוססת-תפקידים) לחשבונות משתמשים ב-Edge. הוראות מפורטות לשימוש במערכת RBAC כדי להקצות ולבטל הרשאות Trace מפורטות במאמרים הקצאת תפקידים ויצירת תפקידים בהתאמה אישית בממשק המשתמש. הרשאות המעקב מאפשרות למשתמש להפעיל מעקב, להפסיק מעקב ולגשת לפלט מסשן מעקב.
מאחר של-Trace יש גישה לעומס התעבורה של קריאות ל-API (שנקרא באופן רשמי 'גוף ההודעה'), חשוב לשקול למי יש גישה להרצת Trace. ניהול המשתמשים הוא באחריות הלקוח, ולכן גם הענקת ההרשאות ל-Trace היא באחריות הלקוח. ל-Apigee, בתור הבעלים של הפלטפורמה, יש אפשרות להוסיף משתמש לארגון של לקוח ולהקצות את ההרשאות. אנחנו משתמשים ביכולת הזו רק אם הלקוח מבקש תמיכה במצב שבו נראה ששירות הלקוחות נכשל, ואנחנו סבורים שבדיקה של סשן Trace תספק את המידע הטוב ביותר לגבי שורש הבעיה.
אנונימיזציה של נתונים
התממת נתונים מונעת את הצגת המידע הרגיש במהלך סשן Trace/Debug בלבד, גם ב-Trace (ממשק המשתמש של Edge) וגם בקצה העורפי באמצעות Debug (Edge API). פרטים על הגדרת אנונימיזציה זמינים במאמר התממת מידע והסתרת נתונים. אנו מסתירים מידע אישי רגיש בהתאם לדרישה 3 של PCI – הגנה על נתוני בעלי כרטיסים מאוחסנים
אנו ממליצים להוסיף דפוס של ביטוי רגולרי לקובץ logback.xml כדי לעזור לכם עם אנונימיזציה של נתונים ביומני המערכת, במטמון, בניתוח נתונים וכו'. בדרך כלל, אסור לכתוב נתונים רגישים במטמון או בניתוח נתונים ללא הצדקה עסקית חזקה ובלי בדיקה על ידי צוותי האבטחה והמשפט של הלקוח.
מטמון L1 ו-L2
לקוחות PCI יכולים להשתמש במטמון רק עם נתונים לא רגולטוריים. אסור להשתמש במטמון לנתוני בעלי כרטיסי PCI (CHD). הוא לא אושר על ידי הביקורת של Apigee בנושא תאימות ל-PCI כמיקום אחסון ל-CHD. בהתאם להנחיות של PCI (דרישה 3: הגנה על נתוני בעלי כרטיסים ששמורים) , נתוני PCI צריכים להיות מאוחסנים רק במיקום שתואם ל-PCI. שימוש במטמון L1 יגרום לשימוש אוטומטי גם במטמון L2. מטמון L1 הוא 'זיכרון בלבד', בעוד שמטמון L2 כותב נתונים בדיסק כדי לסנכרן בין כמה מטמון L1. מטמון L2 הוא זה שמאפשר לסנכרן בין מספר מעבדי הודעות בתוך אזור וברחבי העולם. בשלב זה אי אפשר להפעיל מטמון L1 בלי מטמון L2 מאחוריו. המטמון ברמה 2 כותב נתונים לדיסק כדי שניתן יהיה לסנכרן אותם עם מעבדי הודעות אחרים בארגון הלקוח. מכיוון שמטמון L2 כותב את הנתונים בדיסק, אי אפשר להשתמש במטמון ל-CHD או לנתונים מוגבלים אחרים.
לקוחות רשאים להשתמש במטמון לנתונים שאינם CHD ונתונים אחרים ללא הגבלה. אנחנו לא משביתים את המטמון כברירת מחדל אצל לקוחות PCI, כי חלק מהלקוחות מפעילים גם קריאות API שקשורות ל-PCI וגם קריאות API לא שקשורות ל-PCI דרך ארגון אחד. היכולת הזו עדיין מופעלת אצל לקוחות PCI, ולכן הלקוח אחראי להשתמש בשירות בצורה הולמת ולהדריך את המשתמשים שלו לא להשתמש במטמון כשסביר להניח שנתוני PCI נכללים בקריאת ה-API. בבדיקה של תאימות PCI ב-Apigee אין תמיכה ב-CHD ששמור במטמון.
הוראות מפורטות לשימוש במטמון זמינות במאמר הוספת אחסון במטמון וקיבולת אחסון.
נתיב ביקורת
ללקוחות יש אפשרות לבדוק את נתיב הביקורת של כל הפעילויות הניהוליות שבוצעו בארגון של הלקוח, כולל השימוש ב-Trace. הוראות מפורטות זמינות כאן ובמאמר שימוש בכלי המעקב. (דרישה 10 של PCI: מעקב אחר כל הגישה למשאבי הרשת ולנתוני בעלי הכרטיסים וניטור שלה)
דרישות מורכבות לסיסמה או SAML
לקוחות עם דרישות ספציפיות לגבי סיסמאות צריכים להשתמש ב-SAML כדי לעמוד בדרישות הספציפיות שלהם. הפעלת אימות SAML ב-Edge ב-Edge יש גם אימות רב-גורמי (דרישה 8 של PCI: הקצאת מזהה ייחודי לכל אדם שיש לו גישה למחשב). איך מפעילים אימות דו-שלבי בחשבון Apigee
אבטחת נקודות קצה
סריקת נקודות קצה
סריקה ובדיקה של מארחים נדרשות כדי לעמוד בדרישות התאימות ל-PCI (דרישה 11: בדיקה קבועה של מערכות אבטחה ותהליכים). ב-Edge Cloud, הלקוחות אחראים על הסריקה והבדיקה של נקודות הקצה של ה-API (שנקראות לפעמים 'רכיבי סביבת זמן הריצה') ב-Edge. בדיקות הלקוחות צריכות לכלול את שירותי שרת ה-proxy של ה-API שמתארחים ב-Edge, שבהם תעבורת ה-API נשלחת ל-Edge לפני העיבוד ולאחר מכן נשלחת למרכז הנתונים של הלקוח. בדיקה של משאבים משותפים, כמו ממשק המשתמש של פורטל הניהול, לא מאושרת ללקוחות ספציפיים (דוח של צד שלישי שכולל בדיקה של השירותים המשותפים זמין ללקוחות בכפוף להסכם אי-גילוי סודות ועל פי בקשה).
מומלץ ללקוחות לבדוק את נקודות הקצה של ה-API שלהם. ההסכם שלכם עם Apigee לא אוסר על בדיקה של נקודות הקצה של ה-API, אבל אנחנו לא מאפשרים לכם לבדוק את ממשק המשתמש המשותף לניהול. עם זאת, אם יש צורך בהבהרה נוספת, אפשר לפתוח בקשת תמיכה שתתייחס לבדיקות המתוכננות. מומלץ להודיע מראש ל-Apigee כדי שנוכל לדעת על תעבורת הנתונים לצורך הבדיקה.
לקוחות שבודקים את נקודות הקצה שלהם צריכים לחפש בעיות ספציפיות ל-API, בעיות שקשורות לשירותי Apigee וגם לבדוק את TLS ופריטים אחרים שניתנים להגדרה. יש לדווח ל-Apigee על כל פריט שקשור לשירותי Apigee באמצעות בקשת תמיכה.
רוב הפריטים שקשורים לנקודת הקצה הם פריטים בשירות עצמי של הלקוח, ואפשר לתקן אותם על ידי עיון במסמכי העזרה של Edge. אם יש פריטים שלא ברור איך לתקן אותם, אפשר לפתוח בקשת תמיכה.
הגדרת TLS
בהתאם לתקני PCI, צריך להעביר את SSL ואת הגרסאות המוקדמות של TLS לגרסאות מאובטחות. הלקוחות אחראים להגדיר ולקבוע את נקודות הקצה של ה-TLS שלהם לשרתי proxy ל-API. זוהי תכונה בשירות עצמי ב-Edge. הדרישות של הלקוחות לגבי בחירת הצפנה, פרוטוקול ואלגוריתם משתנות מאוד ותלויות בתרחישי שימוש ספציפיים. מאחר ש-Apigee לא יודעת את הפרטים של תכנון ה-API ועומס הנתונים של כל לקוח, הלקוחות אחראים לקבוע את ההצפנה המתאימה לנתונים במעבר. הוראות מפורטות להגדרת TLS זמינות במאמר TLS/SSL.
אחסון הנתונים
אחסון נתונים ב-Edge לא נדרש כדי ש-Edge יפעל כראוי. עם זאת, יש שירותים זמינים לאחסון נתונים ב-Edge. הלקוחות יכולים להשתמש במטמון, במיפויים של ערכי מפתח או בניתוח נתונים לאחסון נתונים. אף אחד מהשירותים האלה לא מורשה לאחסון CHD בהתאם לבדיקת PCI של Apigee. בהתאם לדרישה 3 של PCI (הגנה על נתוני בעלי כרטיסים שמאוחסנים), נתוני PCI צריכים להיות מאוחסנים רק במיקומים שתואמים ל-PCI. הלקוחות יכולים להשתמש בשירותים האלה כדי לאחסן נתונים שאינם PCI או נתונים אחרים ללא הגבלה, בכפוף לדרישות האבטחה והמשפטיות של הלקוח. השירותים האלה הם פריטים בשירות עצמי של הלקוח, ולכן הלקוח אחראי להגדיר אותם כך שלא יתבצע תיעוד או אחסון של CHD. מומלץ לאדמינים של הלקוח לבדוק את ההגדרות, המדיניות והפריסות כדי למנוע שימוש לא מכוון או זדוני בשירותי אחסון הנתונים ב-Edge באופן לא תואם .
הצפנת נתונים
אנחנו לא מציעים ללקוחות כלים להצפנת נתונים לשימוש ב-Edge. עם זאת, הלקוחות יכולים להצפין את נתוני ה-PCI שלהם לפני השליחה ל-Edge. דרישה 4 של PCI: (הצפנת העברת נתוני בעלי כרטיסים ברשתות פתוחות וציבוריות) מומלץ להצפין נתונים של בעלי כרטיסים ברשתות פתוחות וציבוריות. נתונים מוצפנים במטען הייעודי (או בגוף ההודעה) לא מונעים את הפעולה של Edge. יכול להיות שחלק מהמדיניות של Edge לא תהיה מסוגלת לבצע אינטראקציה עם הנתונים אם הם מתקבלים מוצפנים על ידי הלקוח. לדוגמה, לא ניתן לבצע טרנספורמציה אם הנתונים עצמם לא זמינים ל-Edge כדי לשנות אותם. עם זאת, כללי מדיניות אחרים, חבילות וכללי מדיניות שנוצרו על ידי הלקוח יפעלו גם אם עומס הנתונים מוצפן.