Você está lendo a documentação do Apigee Edge.
Acesse a documentação da
Apigee X. info
Para que um cliente seja compatível com o PCI na nuvem pública do Apigee Edge, há algumas ações e processos que o cliente possui no "Modelo de responsabilidade compartilhada". Os itens a seguir precisam ser analisados por clientes que compraram o pacote de conformidade com PCI e precisam estar em conformidade com o PCI. Esses itens são de autoatendimento no Edge e precisam ser resolvidos para que a organização do cliente esteja em conformidade com o PCI. O conceito geral é: "O Google protege a plataforma, e o cliente protege os dados".
Matriz de responsabilidade do cliente
Os clientes precisam consultar a Matriz de responsabilidade compartilhada do Google Cloud Platform: PCI DSS v4.0.1 e compartilhar com o avaliador de segurança qualificado do PCI ao realizar a própria auditoria do PCI.
Mapeamento de requisitos de PCI
| Requisito do PCI | Section |
|---|---|
| Requisito 7: restringir o acesso aos componentes do sistema e dados do titular do cartão por necessidade de conhecimento | |
| Requisito 3: proteger os dados da conta armazenados | |
| Requisito 10: registrar e monitorar todo o acesso a componentes do sistema e dados do titular do cartão | |
| Requisito 8: identificar usuários e autenticar o acesso aos componentes do sistema | |
| Requisito 11: testar a segurança dos sistemas e das redes regularmente | |
| Requisito 4: proteger os dados do titular do cartão com criptografia forte durante a transmissão em redes públicas abertas | |
| Requisito 3: proteger os dados da conta armazenados | |
| Requisito 4: proteger os dados do titular do cartão com criptografia forte durante a transmissão em redes públicas abertas |
Para receber uma Declaração de Conformidade (AOC) com o Padrão de Segurança de Dados do PCI, abra um tíquete com o suporte da Apigee ou entre em contato com a equipe de vendas da Apigee.
Trace / Debug
O rastreamento/depuração é uma ferramenta de solução de problemas que permite ao usuário ver o status e o conteúdo de uma chamada de API à medida que ela é processada pelo processador de mensagens da Apigee. Trace e Debug são dois nomes para o mesmo serviço, mas acessados por mecanismos diferentes. "Trace" é o nome desse serviço na interface do Edge. Debug é o nome do mesmo serviço quando usado por chamadas de API. O uso do termo "Trace" neste documento é válido para "Trace" e "Debug".
Durante uma sessão de rastreamento, o "mascaramento de dados" é aplicado. Essa ferramenta pode impedir que os dados sejam mostrados durante um rastreamento. Consulte a seção Mascaramento de dados abaixo.
Mapas de chave-valor (KVMs) criptografados podem ser usados para clientes PCI. Se uma KVM criptografada estiver em uso, o Trace ainda poderá ser usado, mas algumas variáveis não vão aparecer na tela de exibição do Trace. É possível tomar outras medidas para mostrar essas variáveis durante um rastreamento.
Instruções detalhadas sobre o uso do Trace estão disponíveis em Como usar a ferramenta Trace.
Confira detalhes sobre KVMs, incluindo KVMs criptografados, em Como trabalhar com mapas de chave-valor.
Uso/autorizações
O acesso ao Trace é gerenciado pelo sistema RBAC (controle de acesso baseado em papéis) para contas de usuário no Edge. Instruções detalhadas sobre como usar o sistema RBAC para conceder e revogar privilégios do Trace estão disponíveis em Atribuição de papéis e Criação de papéis personalizados na interface. As permissões de rastreamento permitem que o usuário inicie e pare um rastreamento e acesse a saída de uma sessão de rastreamento.
Como o Trace tem acesso ao payload das chamadas de API (formalmente chamado de "corpo da mensagem"), é importante considerar quem tem acesso para executar um rastreamento. Como o gerenciamento de usuários é responsabilidade do cliente, a concessão de permissões do Trace também é. A Apigee, como proprietária da plataforma, pode adicionar um usuário a uma organização do cliente e atribuir os privilégios. Essa capacidade só é usada quando o cliente pede suporte em uma situação em que parece que o atendimento ao cliente está falhando e acredita-se que a análise de uma sessão de rastreamento forneça as melhores informações sobre a causa raiz.
Mascaramento de dados
O mascaramento de dados impede a exibição de dados sensíveis apenas durante uma sessão de rastreamento/depuração, tanto no rastreamento (interface do Edge) quanto no back-end pela depuração (API do Edge). Os detalhes sobre como configurar o mascaramento estão disponíveis em Mascaramento e ocultação de dados. O mascaramento de dados sensíveis faz parte do requisito 3 do PCI: proteger os dados armazenados do titular do cartão.
O mascaramento de dados NÃO impede que eles fiquem visíveis em arquivos de registro, no cache, no Google Analytics etc. Para receber ajuda com o mascaramento de dados em registros, considere adicionar um padrão de regex ao arquivo logback.xml. Normalmente, dados sensíveis não devem ser gravados em cache ou análises sem uma justificativa comercial sólida e uma revisão das equipes jurídicas e de segurança do cliente.
Cache L1 e L2
O armazenamento em cache está disponível para clientes da PCI apenas para uso com dados não regulamentados. O cache não pode ser usado para dados do titular do cartão (CHD) do PCI. Ele não é aprovado pela auditoria de compliance do PCI da Apigee como um local de armazenamento para CHD. De acordo com as orientações do PCI (Requisito 3: proteger os dados armazenados do titular do cartão) , os dados do PCI só podem ser armazenados em um local em conformidade com o PCI. O uso do cache L1 também usa automaticamente o cache L2. O cache L1 é "somente memória", enquanto o cache L2 grava dados no disco para sincronizar em vários caches L1. O cache L2 mantém vários processadores de mensagens sincronizados em uma região e globalmente. No momento, não é possível ativar o cache L1 sem um cache L2 por trás dele. O cache L2 grava dados no disco para que eles possam ser sincronizados com outros processadores de mensagens da organização do cliente. Como o cache L2 grava os dados no disco, o uso do cache para CHD ou outros dados restritos não é compatível.
O uso de cache pelos clientes é permitido para dados não relacionados a CHD e outros dados sem restrições. Não desativamos o cache por padrão para clientes PCI porque alguns deles executam chamadas de API relacionadas e não relacionadas ao PCI em uma única organização. Como o recurso ainda está ativado para clientes da PCI, é responsabilidade do cliente usar o serviço de maneira adequada e treinar os usuários para não usar o cache quando dados da PCI provavelmente estiverem na chamada de API. A auditoria de conformidade com PCI da Apigee não oferece suporte a CHD armazenados em cache.
Instruções detalhadas sobre como usar o cache estão disponíveis em Adicionar armazenamento em cache e persistência.
Trilha de auditoria
Os clientes podem analisar a trilha de auditoria de todas as atividades administrativas realizadas na organização do cliente, incluindo o uso do Trace. Confira instruções detalhadas aqui e em Como usar a ferramenta de rastreamento. Requisito 10 do PCI: rastreie e monitore todo o acesso a recursos de rede e dados do titular do cartão
Requisitos de senha complexa ou SAML
Os clientes com requisitos específicos de senha precisam usar o SAML para atender às necessidades individuais. Consulte Como ativar a autenticação SAML para o Edge. O Edge também oferece autenticação multifator (Requisito 8 do PCI: atribua um ID exclusivo a cada pessoa com acesso ao computador). Consulte Ativar a autenticação de dois fatores na sua conta da Apigee.
Segurança de endpoint
Verificação de endpoints
A verificação e o teste de hosts são necessários para a conformidade com o PCI (Requisito 11: teste regularmente os sistemas e processos de segurança). No Edge Cloud, os clientes são responsáveis pela verificação e teste dos endpoints de API (às vezes chamados de "componentes de execução") no Edge. Os testes do cliente precisam abranger os serviços de proxy de API reais hospedados no Edge, em que o tráfego de API é enviado para o Edge antes de ser processado e entregue ao data center do cliente. O teste de recursos compartilhados, como a interface do portal de gerenciamento, não é aprovado para clientes individuais. Um relatório de terceiros que abrange o teste dos serviços compartilhados está disponível para clientes sob um contrato de confidencialidade e mediante solicitação.
Os clientes devem testar os endpoints da API, e são incentivados a fazer isso. Seu contrato com a Apigee não proíbe o teste dos endpoints de API, mas não permitimos que você teste a interface de gerenciamento compartilhada. Se precisar de mais esclarecimentos, abra uma solicitação de suporte referenciando o teste planejado. Agradecemos a notificação antecipada à Apigee para que possamos estar cientes do tráfego de teste.
Os clientes que testam os endpoints precisam procurar problemas específicos da API, problemas relacionados aos serviços da Apigee e verificar o TLS e outros itens configuráveis. Qualquer item encontrado relacionado aos serviços da Apigee deve ser comunicado à Apigee por uma solicitação de suporte.
A maioria dos itens relacionados ao endpoint são de autoatendimento e podem ser corrigidos revisando a documentação do Edge. Se houver itens em que não está claro como corrigir, abra uma solicitação de suporte.
Configuração de TLS
De acordo com os padrões de PCI, é necessário migrar o SSL e o TLS com antecedência para versões protegidas. Os clientes são responsáveis por definir e configurar os próprios endpoints de TLS para proxies de API. Esse é um recurso de autoatendimento no Edge. Os requisitos do cliente sobre seleções de criptografia, protocolo e algoritmo são amplamente variáveis e específicos para casos de uso individuais. Como a Apigee não conhece os detalhes do design de API e dos payloads de dados de cada cliente, é responsabilidade dos clientes determinar a criptografia adequada para os dados em trânsito. Instruções detalhadas sobre a configuração do TLS estão disponíveis em TLS/SSL.
Armazenamento de dados
O armazenamento de dados no Edge não é necessário para que ele funcione corretamente. No entanto, há serviços disponíveis para armazenamento de dados na borda. Os clientes podem usar cache, mapas de chave-valor ou análises para armazenamento de dados. Nenhum desses serviços está autorizado para armazenamento de CHD de acordo com a auditoria do PCI da Apigee. De acordo com o requisito 3 do PCI (proteja os dados armazenados do titular do cartão), os dados do PCI só podem ser armazenados em locais em conformidade com o PCI. O uso desses serviços está disponível para clientes que armazenam dados não PCI ou outros dados irrestritos sujeitos aos requisitos legais e de segurança do cliente. Esses serviços são itens de autoatendimento do cliente. Portanto, é responsabilidade do cliente configurar para que não capturem nem armazenem dados de titulares de cartão. Recomendamos que os administradores de clientes revisem as configurações, políticas e implantações para evitar o uso acidental ou malicioso dos serviços de armazenamento de dados no Edge de maneira não compatível .
Criptografia de dados
As ferramentas de criptografia de dados não são oferecidas aos clientes para uso no Edge. No entanto, os clientes podem criptografar os dados de PCI antes de enviá-los para o Edge. Requisito 4 do PCI: criptografar a transmissão de dados do titular do cartão em redes públicas abertas. Os dados criptografados no payload (ou corpo da mensagem) não impedem o funcionamento do Edge. Algumas políticas do Edge não podem interagir com os dados se eles forem recebidos criptografados pelo cliente. Por exemplo, uma transformação não é possível se os dados não estiverem disponíveis para o Edge mudar. No entanto, outras políticas e políticas e pacotes criados pelo cliente vão funcionar mesmo que o payload de dados esteja criptografado.