Anda sedang melihat dokumentasi Apigee Edge.
Buka
dokumentasi Apigee X. info
Agar pelanggan mematuhi PCI di Apigee Edge Public Cloud, ada beberapa tindakan dan proses yang dimiliki pelanggan berdasarkan "Model Tanggung Jawab Bersama". Item berikut harus ditinjau oleh pelanggan yang telah membeli paket kepatuhan PCI dan harus mematuhi PCI. Item ini adalah layanan mandiri dalam Edge dan perlu ditangani agar organisasi pelanggan (org) mematuhi PCI. Konsep keseluruhannya adalah "Google mengamankan platform, pelanggan mengamankan data mereka".
Matriks Tanggung Jawab Pelanggan
Pelanggan harus merujuk ke Matriks Tanggung Jawab PCI-DSS 3.2.1 Google Apigee dan membagikannya kepada Penilai Keamanan Berkualitas PCI mereka saat melakukan audit PCI sendiri.
Pemetaan Persyaratan PCI
| Persyaratan PCI | Section |
|---|---|
| Persyaratan 7: Membatasi akses ke data pemegang kartu berdasarkan hal yang perlu diketahui | |
| Persyaratan 3: Lindungi data pemegang kartu yang tersimpan | |
| Persyaratan 10: Melacak dan memantau semua akses ke resource jaringan dan data pemegang kartu | |
| Persyaratan 8: Tetapkan ID unik untuk setiap orang yang memiliki akses komputer | |
| Persyaratan 11: Menguji sistem dan proses keamanan secara rutin | |
| Persyaratan 4: Enkripsi transmisi data pemegang kartu di seluruh jaringan publik terbuka | |
| Persyaratan 3: Lindungi data pemegang kartu yang tersimpan | |
| Persyaratan 4: Enkripsi transmisi data pemegang kartu di seluruh jaringan publik terbuka |
Untuk mendapatkan PCI Data Security Standard Attestation of Compliance (AOC), buka tiket melalui Dukungan Apigee atau hubungi tim penjualan Apigee Anda.
Rekaman Aktivitas / Debug
Trace/Debug adalah alat pemecahan masalah yang memungkinkan pengguna melihat status dan konten panggilan API saat diproses melalui Apigee Message Processor. Trace dan Debug adalah dua nama untuk layanan yang sama, tetapi diakses melalui mekanisme berbeda. Trace adalah nama layanan ini di dalam UI Edge. Debug adalah nama layanan yang sama saat digunakan melalui panggilan API. Penggunaan istilah Trace dalam dokumen ini valid untuk Trace dan Debug.
Selama sesi Pelacakan, "Penyamaran Data" diterapkan. Alat ini dapat memblokir data agar tidak ditampilkan selama Trace. Lihat bagian Penyamaran Data di bawah.
Encrypted Key Value Maps (KVM) dapat digunakan untuk pelanggan PCI. Jika KVM terenkripsi sedang digunakan, Trace mungkin masih digunakan, tetapi beberapa variabel tidak akan terlihat di layar tampilan Trace. Anda dapat mengambil langkah tambahan untuk menampilkan variabel ini juga selama Trace.
Petunjuk detail tentang penggunaan Trace tersedia di Menggunakan alat Trace.
Detail tentang KVM, termasuk KVM terenkripsi, tersedia di Bekerja dengan peta nilai kunci.
Penggunaan/Otorisasi
Akses ke Trace dikelola melalui sistem RBAC (Role-Based Access Control) untuk akun pengguna dalam Edge. Petunjuk mendetail tentang penggunaan sistem RBAC untuk memberi dan mencabut hak istimewa Trace tersedia di Menetapkan peran dan Membuat peran kustom di UI. Izin perekaman aktivitas memungkinkan pengguna meluncurkan Trace, menghentikan Trace, mengakses output dari sesi Trace.
Karena Trace memiliki akses ke payload panggilan API (secara resmi disebut "Isi Pesan"), penting untuk mempertimbangkan siapa yang memiliki akses untuk menjalankan Trace. Karena pengelolaan pengguna adalah tanggung jawab pelanggan, pemberian izin Trace juga menjadi tanggung jawab pelanggan. Sebagai pemilik platform, Apigee dapat menambahkan pengguna ke organisasi pelanggan dan menetapkan hak istimewanya. Kemampuan ini hanya digunakan atas permintaan dukungan pelanggan dalam situasi ketika layanan pelanggan gagal, dan peninjauan sesi Trace diyakini memberikan informasi terbaik tentang akar masalahnya.
Data masking
Data masking mencegah tampilan data sensitif selama sesi Trace/Debug saja, baik di Trace (Edge UI) maupun di backend oleh Debug (Edge API). Detail cara menyiapkan masking tersedia di Data masking dan penyembunyian. Menyamarkan data sensitif adalah bagian dari Persyaratan PCI 3 - Melindungi data pemegang kartu yang tersimpan
Data masking TIDAK mencegah data terlihat di file log, cache, analisis, dll. Untuk bantuan terkait data masking di log, pertimbangkan untuk menambahkan pola ekspresi reguler ke file logback.xml. Data sensitif biasanya tidak boleh ditulis ke cache atau analisis tanpa justifikasi bisnis dan peninjauan yang kuat oleh tim keamanan dan hukum pelanggan.
Cache L1 & L2
Penyimpanan ke cache tersedia bagi pelanggan PCI untuk digunakan hanya dengan data yang tidak diatur hukum. Cache tidak boleh digunakan untuk Data Pemegang Kartu PCI (CHD); cache tidak disetujui oleh audit Kepatuhan PCI Apigee sebagai lokasi penyimpanan untuk CHD. Sesuai dengan panduan PCI (Persyaratan 3: Melindungi data pemegang kartu yang tersimpan) , data PCI hanya boleh disimpan di lokasi yang sesuai dengan PCI. Penggunaan cache L1 akan secara otomatis menggunakan cache L2. Cache L1 bersifat "hanya memori", sedangkan cache L2 menulis data ke disk untuk disinkronkan di beberapa cache L1. Cache L2 membuat beberapa Pemroses Pesan tetap sinkron dalam suatu region dan global. Saat ini, cache L1 tidak dapat diaktifkan tanpa cache L2 di belakangnya. Cache L2 menulis data ke disk sehingga dapat disinkronkan ke pemroses pesan lain untuk organisasi pelanggan. Karena Cache L2 menulis data ke disk, penggunaan cache untuk CHD atau data yang dibatasi lainnya tidak didukung.
Penggunaan cache oleh pelanggan diizinkan untuk non-CHD dan data yang tidak dibatasi lainnya. Kami tidak menonaktifkan cache secara default untuk pelanggan PCI, karena beberapa pelanggan menjalankan panggilan API terkait PCI dan non-PCI melalui satu organisasi. Karena kemampuan ini masih diaktifkan bagi pelanggan PCI, pelanggan bertanggung jawab untuk menggunakan layanan dengan tepat dan melatih penggunanya agar tidak menggunakan cache ketika data PCI kemungkinan ada dalam panggilan API. Audit Kepatuhan PCI Apigee tidak mendukung CHD yang disimpan dalam cache.
Petunjuk detail tentang penggunaan Cache tersedia di Menambahkan cache dan persistensi.
Jejak audit
Pelanggan memiliki kemampuan untuk meninjau jejak audit dari semua aktivitas administratif yang dilakukan dalam organisasi pelanggan, termasuk penggunaan Trace. Petunjuk detailnya tersedia di sini dan di Menggunakan alat Trace. (Persyaratan PCI 10: Melacak dan memantau semua akses ke resource jaringan dan data pemegang kartu)
Persyaratan sandi kompleks atau SAML
Pelanggan dengan persyaratan sandi tertentu harus menggunakan SAML untuk memenuhi persyaratan spesifik mereka. Lihat Mengaktifkan Autentikasi SAML untuk Edge. Edge juga menawarkan autentikasi multi-faktor (Persyaratan PCI 8: Tetapkan ID unik ke setiap orang yang memiliki akses komputer). Lihat Mengaktifkan autentikasi 2 langkah untuk akun Apigee.
Keamanan endpoint
Pemindaian endpoint
Pemindaian dan pengujian host diperlukan untuk memastikan kepatuhan terhadap PCI (Persyaratan 11: Menguji sistem dan proses keamanan secara rutin). Untuk Edge Cloud, pelanggan bertanggung jawab atas pemindaian dan pengujian endpoint API mereka (terkadang disebut "komponen runtime") di Edge. Pengujian pelanggan harus mencakup layanan proxy API sebenarnya yang dihosting di Edge, tempat traffic API dikirim ke Edge sebelum diproses, lalu dikirim ke pusat data pelanggan. Pengujian resource bersama, seperti UI portal pengelolaan, tidak disetujui untuk pelanggan perorangan (laporan pihak ketiga yang membahas pengujian layanan bersama tersedia untuk pelanggan berdasarkan perjanjian kerahasiaan (NDA) dan berdasarkan permintaan).
Pelanggan harus, dan didorong untuk menguji endpoint API mereka. Perjanjian Anda dengan Apigee tidak melarang pengujian endpoint API Anda, tetapi kami tidak mengizinkan Anda untuk menguji UI pengelolaan bersama. Meskipun jika diperlukan klarifikasi tambahan, harap buka permintaan dukungan dengan mereferensikan pengujian yang Anda rencanakan. Notifikasi ke Apigee terlebih dahulu sangat dihargai agar kami dapat mengetahui traffic pengujian.
Pelanggan yang menguji endpoint mereka harus mencari masalah khusus API, masalah terkait layanan Apigee, dan juga memeriksa TLS serta item lain yang dapat dikonfigurasi. Setiap item yang ditemukan terkait layanan Apigee harus dikomunikasikan ke Apigee melalui permintaan dukungan.
Sebagian besar item yang terkait dengan endpoint adalah item layanan mandiri pelanggan dan dapat diperbaiki dengan meninjau dokumentasi Edge. Jika ada item yang cara memperbaikinya tidak jelas, buka permintaan dukungan.
Konfigurasi TLS
Sesuai standar PCI, SSL dan TLS awal harus dimigrasikan ke versi yang diamankan. Pelanggan bertanggung jawab untuk menentukan dan mengonfigurasi endpoint TLS mereka sendiri untuk proxy API. Ini adalah fitur layanan mandiri di Edge. Persyaratan pelanggan terkait pemilihan enkripsi, protokol, dan algoritma sangat bervariasi dan spesifik untuk kasus penggunaan perorangan. Karena Apigee tidak mengetahui detail setiap desain API dan payload data pelanggan, pelanggan bertanggung jawab untuk menentukan enkripsi yang sesuai untuk data dalam pengiriman. Instruksi detail tentang konfigurasi TLS tersedia di TLS/SSL.
Penyimpanan data
Penyimpanan data dalam Edge tidak diperlukan agar Edge dapat berfungsi dengan baik. Namun, ada beberapa layanan yang tersedia untuk penyimpanan data di Edge. Pelanggan dapat memilih menggunakan cache, peta nilai kunci, atau analisis untuk penyimpanan data. Tidak satu pun dari layanan ini yang diberi otorisasi untuk penyimpanan CHD per audit PCI Apigee. Sesuai dengan Persyaratan PCI 3 (Melindungi data pemegang kartu yang tersimpan), data PCI hanya boleh disimpan di lokasi yang sesuai dengan PCI. Penggunaan layanan ini tersedia bagi pelanggan untuk menyimpan data non-PCI atau data yang tidak dibatasi lainnya, sesuai dengan persyaratan keamanan dan hukum pelanggan. Layanan ini adalah item layanan mandiri pelanggan, sehingga pelanggan bertanggung jawab untuk mengonfigurasinya agar tidak menangkap atau menyimpan CHD. Peninjauan konfigurasi, kebijakan, dan deployment oleh administrator pelanggan direkomendasikan untuk menghindari penggunaan layanan penyimpanan data yang tidak disengaja atau berbahaya di Edge dengan cara yang tidak mematuhi kebijakan .
Enkripsi data
Alat enkripsi data tidak ditawarkan kepada pelanggan untuk digunakan di dalam Edge. Namun, pelanggan bebas mengenkripsi data PCI mereka sebelum mengirim ke Edge. Persyaratan PCI 4: (Enkripsi transmisi data pemegang kartu melalui jaringan publik dan terbuka) rekomendasikan untuk mengenkripsi data pemegang kartu di jaringan publik terbuka. Data terenkripsi dalam payload (atau Isi Pesan) tidak mencegah fungsi Edge. Beberapa kebijakan Edge mungkin tidak dapat berinteraksi dengan data jika diterima terenkripsi oleh pelanggan. Misalnya, transformasi tidak mungkin dilakukan jika data itu sendiri tidak tersedia bagi Edge untuk diubah. Namun, kebijakan serta kebijakan dan paket lain yang dibuat oleh pelanggan akan berfungsi meskipun payload data dienkripsi.