Вы просматриваете документацию по Apigee Edge.
Перейдите к документации по Apigee X. Информация
Чтобы клиент мог соответствовать требованиям PCI в общедоступном облаке Apigee Edge, он должен выполнить некоторые действия и процессы в рамках модели совместной ответственности. Клиентам, которые приобрели пакет соответствия требованиям PCI и должны соблюдать эти требования, следует ознакомиться с приведенными ниже пунктами. Эти элементы настраиваются самостоятельно в Edge и должны быть приведены в соответствие с требованиями PCI DSS для организации клиента. Основная идея заключается в том, что Google обеспечивает безопасность платформы, а клиент – безопасность своих данных.
Матрица ответственности клиента
Клиентам следует ознакомиться с матрицей распределения ответственности за соответствие требованиям стандарта PCI DSS версии 4.0.1 для Google Cloud Platform и предоставить ее своему аудитору, уполномоченному Советом по стандартам безопасности PCI, при проведении собственной проверки на соответствие требованиям PCI.
Сопоставление требований PCI
| Требования стандарта PCI | Section |
|---|---|
| Требование 7. Ограничьте доступ к компонентам системы и данным держателей карт в соответствии с потребностями бизнеса | |
| Требование 3. Защита сохраненных данных в аккаунте | |
| Требование 10. Ведение журналов и мониторинг всех случаев доступа к компонентам системы и данным держателей карт | |
| Требование 8. Идентификация пользователей и аутентификация доступа к компонентам системы | |
| Требование 11. Регулярно тестируйте безопасность систем и сетей | |
| Требование 4. Защита данных держателей карт с помощью надежного шифрования при передаче по открытым общедоступным сетям | |
| Требование 3. Защита сохраненных данных в аккаунте | |
| Требование 4. Защита данных держателей карт с помощью надежного шифрования при передаче по открытым общедоступным сетям |
Чтобы получить подтверждение соответствия стандарту безопасности данных индустрии платежных карт (PCI DSS), создайте запрос в службу поддержки Apigee или свяжитесь с отделом продаж Apigee.
Трассировка / отладка
Инструмент Trace/Debug позволяет пользователю просматривать статус и содержимое вызова API по мере его обработки процессором сообщений Apigee. Trace и Debug – это два названия одной и той же службы, но доступ к ней осуществляется разными способами. Трассировка – это название этого сервиса в интерфейсе Edge. При использовании через вызовы API этот сервис называется "Отладка". Термин "Трассировка", используемый в этом документе, относится как к трассировке, так и к отладке.
Во время сеанса трассировки применяется маскировка данных. Этот инструмент позволяет блокировать данные, чтобы они не отображались во время трассировки. Подробнее о маскировке данных…
Зашифрованные карты пар "ключ-значение" могут использоваться клиентами, соблюдающими требования стандарта PCI DSS. Если используется зашифрованное хранилище пар "ключ-значение", Trace можно использовать, но некоторые переменные не будут видны на экране Trace. Чтобы эти переменные также отображались во время трассировки, можно выполнить дополнительные действия.
Подробные инструкции по использованию Trace приведены в статье Как использовать инструмент Trace.
Подробную информацию о картах "ключ-значение", в том числе зашифрованных, можно найти в статье Как работать с картами "ключ-значение".
Использование/авторизация
Доступ к Trace управляется с помощью системы контроля доступа на основе ролей для аккаунтов пользователей в Edge. Подробные инструкции по использованию системы RBAC для предоставления и отзыва прав на трассировку приведены в статьях Как назначать роли и Как создавать специальные роли в интерфейсе. Разрешения на отслеживание позволяют пользователю запускать и останавливать отслеживание, а также получать доступ к результатам сеанса отслеживания.
Поскольку у Trace есть доступ к полезной нагрузке вызовов API (официально называемой "телом сообщения"), важно учитывать, у кого есть доступ к запуску Trace. Поскольку управление пользователями – это обязанность клиента, предоставление разрешений на трассировку также является обязанностью клиента. Apigee как владелец платформы может добавить пользователя в организацию клиента и назначить ему права. Эта возможность используется только по запросу клиента в тех случаях, когда служба поддержки не может решить проблему и есть основания полагать, что анализ сеанса трассировки поможет определить ее причину.
Деидентификация данных
Маскировка данных предотвращает показ данных деликатного характера только во время сеанса трассировки или отладки как в интерфейсе трассировки (Edge UI), так и в серверной части с помощью отладки (Edge API). Подробнее о том, как настроить деидентифицирование и скрытие данных… Маскировка конфиденциальных данных является частью требования 3 стандарта PCI – "Защита хранимых данных держателей карт".
Маскировка данных НЕ предотвращает их появление в файлах журналов, кеше, аналитике и т. д. Чтобы замаскировать данные в журналах, добавьте шаблон регулярного выражения в файл logback.xml. Данные деликатного характера, как правило, не должны записываться в кеш или аналитику без веских оснований и проверки со стороны службы безопасности и юридического отдела клиента.
Кеш L1 и L2
Кэширование доступно клиентам, соблюдающим требования стандарта PCI DSS, только для использования с данными, не подпадающими под действие нормативных требований. Кэш не должен использоваться для хранения данных держателей платежных карт, поскольку это не соответствует требованиям аудита PCI. Согласно рекомендациям PCI (Требование 3: защитите сохраненные данные владельцев карт), данные PCI должны храниться только в месте, соответствующем требованиям PCI. При использовании кеша L1 автоматически используется и кеш L2. Кеш L1 – это "только память", а кеш L2 записывает данные на диск для синхронизации между несколькими кешами L1. Кэш L2 обеспечивает синхронизацию нескольких процессоров сообщений в регионе и во всем мире. В настоящее время нельзя включить кеш L1 без кеша L2. Кэш L2 записывает данные на диск, чтобы их можно было синхронизировать с другими процессорами сообщений для организации клиента. Поскольку кеш L2 записывает данные на диск, использование кеша для CHD или других конфиденциальных данных не поддерживается.
Клиентам разрешено использовать кеш для данных, не относящихся к CHD, и других данных без ограничений. Мы не отключаем кеш по умолчанию для клиентов, соблюдающих требования стандарта PCI DSS, поскольку некоторые из них выполняют через одну организацию как вызовы API, связанные с PCI DSS, так и не связанные с ним. Поскольку эта функция по-прежнему включена для клиентов, соблюдающих требования PCI, они несут ответственность за надлежащее использование сервиса и должны обучить своих пользователей не использовать кеш, если в вызове API могут содержаться данные PCI. Аудит соответствия требованиям стандарта PCI DSS для Apigee не поддерживает данные держателей карт, хранящиеся в кеше.
Подробные инструкции по использованию кеша приведены в разделе Добавление кеширования и сохранения данных.
Журнал аудита
Клиенты могут просматривать журнал аудита всех действий администраторов, выполненных в организации, в том числе с использованием Trace. Подробные инструкции приведены здесь и в разделе Как использовать инструмент трассировки. (Требование 10 стандарта PCI: отслеживайте и контролируйте все случаи доступа к сетевым ресурсам и данным держателей карт)
Сложные требования к паролям или SAML
Клиентам с особыми требованиями к паролям следует использовать SAML. Подробнее о включении аутентификации SAML для Edge… Edge также предлагает многофакторную аутентификацию (требование 8 стандарта PCI: назначьте уникальный идентификатор каждому пользователю, имеющему доступ к компьютеру). Подробнее о том, как включить двухфакторную аутентификацию для аккаунта Apigee…
Безопасность конечных точек
Сканирование конечных точек
Сканирование и тестирование хостов необходимы для соответствия стандарту PCI DSS (Требование 11: регулярно тестируйте системы и процессы безопасности). В Edge Cloud клиенты несут ответственность за сканирование и тестирование своих конечных точек API (иногда называемых компонентами среды выполнения) в Edge. Тестирование должно охватывать фактические прокси-серверы API, размещенные в Edge, куда трафик API отправляется до обработки и доставки в центр обработки данных клиента. Тестирование общих ресурсов, например интерфейса портала управления, не разрешено для отдельных клиентов (отчет сторонней организации о тестировании общих сервисов предоставляется клиентам по запросу и при условии подписания соглашения о неразглашении).
Клиентам рекомендуется тестировать конечные точки API. Ваше соглашение с Apigee не запрещает тестирование конечных точек API, но мы не разрешаем тестировать общий интерфейс управления. Если вам нужна дополнительная информация, отправьте запрос в службу поддержки, указав, что вы планируете тестирование. Мы будем благодарны, если вы заранее уведомите нас о тестировании, чтобы мы могли отслеживать трафик.
Клиентам, тестирующим свои конечные точки, следует искать проблемы, связанные с API и сервисами Apigee, а также проверять TLS и другие настраиваемые элементы. Если вы обнаружите какие-либо элементы, связанные с сервисами Apigee, сообщите об этом команде Apigee, отправив запрос в службу поддержки.
Большинство проблем, связанных с конечной точкой, можно устранить самостоятельно, изучив документацию Edge. Если вы не знаете, как исправить некоторые проблемы, отправьте запрос в службу поддержки.
Конфигурация TLS
Согласно стандартам PCI, SSL и ранние версии TLS необходимо заменить на более безопасные. Клиенты должны самостоятельно определять и настраивать конечные точки TLS для прокси API. Это функция самообслуживания в Edge. Требования клиентов к шифрованию, протоколу и алгоритму сильно различаются и зависят от конкретных случаев использования. Поскольку Apigee не знает подробностей о структуре API и полезной нагрузке данных каждого клиента, клиенты сами должны определять подходящий способ шифрования передаваемых данных. Подробные инструкции по настройке TLS приведены в статье TLS/SSL.
Хранение данных
Для корректной работы Edge не требуется хранить данные в Edge. Однако для хранения данных в Edge доступны следующие сервисы: Клиенты могут использовать для хранения данных кеш, карты пар "ключ-значение" или аналитику. Ни один из этих сервисов не авторизован для хранения данных держателей карт в соответствии с аудитом PCI Apigee. Согласно требованию 3 стандарта PCI (защита хранимых данных владельцев карт), данные PCI должны храниться только в местах, соответствующих этому стандарту. Клиенты могут использовать эти сервисы для хранения данных, не относящихся к PCI, или других данных без ограничений в соответствии со своими требованиями к безопасности и законодательством. Поскольку эти сервисы предназначены для самостоятельной настройки, клиент несет ответственность за то, чтобы они не собирали и не хранили данные владельцев карт. Администраторам клиентов рекомендуется проверять конфигурацию, правила и развертывания, чтобы избежать случайного или злонамеренного использования сервисов хранения данных в Edge с нарушением требований .
Шифрование данных
Клиентам не предлагаются инструменты шифрования данных для использования в Edge. Однако клиенты могут зашифровать данные PCI до отправки в Edge. Требование 4 стандарта PCI DSS: (шифрование данных держателей карт при передаче по открытым общедоступным сетям). Рекомендуем шифровать данные держателей карт при передаче по открытым общедоступным сетям. Зашифрованные данные в полезной нагрузке (или теле письма) не мешают работе Edge. Некоторые правила Edge могут не взаимодействовать с данными, если они были зашифрованы клиентом. Например, преобразование невозможно, если данные недоступны для изменения в Edge. Однако другие правила, а также созданные клиентом правила и пакеты будут работать, даже если полезная нагрузка данных зашифрована.