אתם צופים במסמכי התיעוד של Apigee Edge.
כניסה למסמכי העזרה של Apigee X. info
כדי שהלקוח יעמוד בדרישות התאימות ל-PCI ב-Apigee Edge Public Cloud, יש כמה פעולות ותהליכים שבבעלות הלקוח במסגרת 'מודל האחריות המשותפת'. הלקוחות שקנו את חבילת התאימות ל-PCI ונדרשים לעמוד בדרישות התאימות ל-PCI צריכים לבדוק את הפריטים הבאים. הפריטים האלה מנוהלים באופן עצמאי ב-Edge, וצריך לטפל בהם כדי שהארגון (org) של הלקוח יעמוד בדרישות של PCI. הרעיון הכללי הוא "Google מאבטחת את הפלטפורמה, והלקוח מאבטח את הנתונים שלו".
מטריצת האחריות של הלקוח
לקוחות צריכים לעיין במסמך Google Cloud Plaform: PCI DSS v4.0.1 Shared Responsibility Matrix ולשתף אותו עם בוחן האבטחה המוסמך של PCI כשהם עורכים ביקורת PCI משלהם.
מיפוי הדרישות של PCI
| דרישת PCI | Section |
|---|---|
| דרישות 7: הגבלת הגישה לרכיבי המערכת ולפרטי בעלי הכרטיסים לפי הצורך העסקי לדעת | |
| דרישה 3: הגנה על נתוני החשבון השמורים | |
| דרישה 10: רישום ביומן וניטור של כל הגישה לרכיבי המערכת ולנתוני בעלי הכרטיסים | |
| דרישה 8: זיהוי משתמשים ואימות הגישה לרכיבי המערכת | |
| דרישה 11: בדיקה שוטפת של אבטחת המערכות והרשתות | |
| דרישה 4: להגן על נתוני בעלי הכרטיס באמצעות הצפנה חזקה במהלך ההעברה ברשתות פתוחות וציבוריות | |
| דרישה 3: הגנה על נתוני החשבון השמורים | |
| דרישה 4: להגן על נתוני בעלי הכרטיס באמצעות הצפנה חזקה במהלך ההעברה ברשתות פתוחות וציבוריות |
כדי לקבל אישור תאימות (AOC) לתקן PCI Data Security Standard, פותחים כרטיס תמיכה ב-Apigee או פונים לצוות המכירות של Apigee.
מעקב / ניפוי באגים
Trace/Debug הוא כלי לפתרון בעיות שמאפשר למשתמש לראות את הסטטוס והתוכן של קריאה ל-API בזמן שהיא עוברת עיבוד דרך Apigee Message Processor. Trace ו-Debug הם שני שמות של אותו שירות, אבל הגישה אליהם מתבצעת באמצעות מנגנונים שונים. Trace הוא השם של השירות הזה בממשק המשתמש של Edge. Debug הוא השם של אותו שירות כשמשתמשים בו דרך קריאות ל-API. המונח 'מעקב' במסמך הזה מתייחס גם למעקב וגם לניפוי באגים.
במהלך סשן מעקב, המערכת אוכפת את האפשרות 'אנונימיזציה של נתונים'. הכלי הזה יכול לחסום את הצגת הנתונים במהלך מעקב. מידע נוסף זמין בקטע אנונימיזציה של נתונים שבהמשך.
לקוחות PCI יכולים להשתמש במפות מפתחות מוצפנות (KVM). אם נעשה שימוש ב-KVM מוצפן, עדיין אפשר להשתמש ב-Trace, אבל משתנים מסוימים לא יופיעו במסך התצוגה של Trace. אפשר לבצע שלבים נוספים כדי להציג את המשתנים האלה גם במהלך מעקב.
הוראות מפורטות לשימוש בכלי Trace זמינות במאמר שימוש בכלי Trace.
פרטים על מפות מפתח/ערך, כולל מפות מפתח/ערך מוצפנות, זמינים במאמר עבודה עם מפות מפתח/ערך.
שימוש/הרשאות
הגישה ל-Trace מנוהלת באמצעות מערכת RBAC (בקרת גישה מבוססת-תפקידים) לחשבונות משתמשים ב-Edge. במאמרים הקצאת תפקידים ויצירת תפקידים בהתאמה אישית בממשק המשתמש מפורטות הוראות מפורטות לשימוש במערכת RBAC כדי להקצות ולבטל הרשאות Trace. הרשאות המעקב מאפשרות למשתמש להפעיל מעקב, להפסיק מעקב ולגשת לפלט מסשן מעקב.
מאחר של-Trace יש גישה לעומס התעבורה של קריאות ה-API (שנקרא באופן רשמי 'גוף ההודעה'), חשוב לשקול למי יש גישה להרצת Trace. ניהול המשתמשים הוא באחריות הלקוח, ולכן גם הקצאת הרשאות המעקב היא באחריות הלקוח. ל-Apigee, בתור הבעלים של הפלטפורמה, יש אפשרות להוסיף משתמש לארגון של לקוח ולהקצות לו הרשאות. אנחנו משתמשים ביכולת הזו רק אם הלקוח מבקש תמיכה במצב שבו נראה ששירות הלקוחות נכשל, ואנחנו סבורים שבדיקה של סשן Trace תספק את המידע הטוב ביותר לגבי שורש הבעיה.
אנונימיזציה של נתונים
התממת נתונים מונעת את הצגת המידע הרגיש במהלך סשן Trace/Debug בלבד, גם ב-Trace (ממשק המשתמש של Edge) וגם בקצה העורפי באמצעות Debug (Edge API). פרטים על הגדרת אנונימיזציה זמינים במאמר התממת מידע והסתרת נתונים. אנו מסתירים מידע אישי רגיש בהתאם לדרישה 3 של PCI – הגנה על נתוני בעלי כרטיסים ששמורים
אנו ממליצים להוסיף דפוס של ביטוי רגולרי לקובץ logback.xml כדי לעזור לכם עם אנונימיזציה של נתונים ביומני המערכת, במטמון, בניתוח נתונים וכו'. בדרך כלל, אסור לכתוב נתונים רגישים במטמון או בניתוח נתונים ללא הצדקה עסקית חזקה ובלי בדיקה על ידי צוותי האבטחה והמשפט של הלקוח.
מטמון L1 ו-L2
הלקוחות של PCI יכולים להשתמש במטמון רק עם נתונים לא רגולטוריים. אסור להשתמש במטמון לנתוני בעלי כרטיסי PCI (CHD). הוא לא אושר על ידי הביקורת של Apigee בנושא תאימות ל-PCI כמיקום אחסון ל-CHD. בהתאם להנחיות של PCI (דרישה 3: הגנה על נתוני בעלי כרטיסים ששמורים) , נתוני PCI צריכים להיות מאוחסנים רק במיקום שתואם ל-PCI. שימוש במטמון L1 יגרום לשימוש אוטומטי גם במטמון L2. מטמון L1 הוא 'זיכרון בלבד', בעוד שמטמון L2 כותב נתונים בדיסק כדי לסנכרן בין כמה מטמון L1. מטמון L2 הוא זה שמאפשר לסנכרן בין מספר מעבדי הודעות בתוך אזור וברחבי העולם. בשלב זה אי אפשר להפעיל מטמון L1 בלי מטמון L2 מאחוריו. המטמון ברמה 2 כותב נתונים לדיסק כדי שניתן יהיה לסנכרן אותם עם מעבדי הודעות אחרים בארגון הלקוח. מכיוון שמטמון L2 כותב את הנתונים לדיסק, אי אפשר להשתמש במטמון ל-CHD או לנתונים מוגבלים אחרים.
לקוחות רשאים להשתמש במטמון לנתונים שאינם CHD ונתונים אחרים ללא הגבלה. אנחנו לא משביתים את המטמון כברירת מחדל ללקוחות PCI, כי חלק מהלקוחות מפעילים גם קריאות API שקשורות ל-PCI וגם קריאות API לא שקשורות ל-PCI דרך ארגון אחד. היכולת הזו עדיין מופעלת אצל לקוחות PCI, ולכן הלקוח אחראי להשתמש בשירות בצורה הולמת ולהדריך את המשתמשים שלו לא להשתמש במטמון כשסביר להניח שנתוני PCI נכללים בקריאת ה-API. בבדיקה של תאימות PCI ב-Apigee אין תמיכה ב-CHD שמאוחסן במטמון.
הוראות מפורטות לשימוש במטמון זמינות במאמר הוספת אחסון במטמון וקביעות.
נתיב ביקורת
הלקוחות יכולים לבדוק את נתיב הביקורת של כל הפעילויות הניהוליות שבוצעו בארגון שלהם, כולל השימוש ב-Trace. הוראות מפורטות זמינות כאן ובמאמר שימוש בכלי המעקב. (דרישה 10 של PCI: מעקב אחר כל הגישה למשאבי הרשת ולנתוני בעלי הכרטיסים וניטור שלה)
דרישות מורכבות לסיסמה או SAML
לקוחות עם דרישות ספציפיות לגבי סיסמאות צריכים להשתמש ב-SAML כדי לעמוד בדרישות הספציפיות שלהם. הפעלת אימות SAML ב-Edge ב-Edge יש גם אימות רב-גורמי (דרישה 8 של PCI: הקצאת מזהה ייחודי לכל אדם שיש לו גישה למחשב). איך מפעילים אימות דו-שלבי בחשבון Apigee
אבטחת נקודות קצה
סריקת נקודות קצה
סריקה ובדיקה של המארחים נדרשות כדי לעמוד בדרישות התאימות ל-PCI (דרישה 11: בדיקה סדירה של מערכות אבטחה ותהליכים). ב-Edge Cloud, הלקוחות אחראים על הסריקה והבדיקה של נקודות הקצה של ה-API (שנקראות לפעמים 'רכיבי סביבת זמן הריצה') ב-Edge. בדיקות הלקוחות צריכות לכלול את שירותי שרת ה-proxy של ה-API שמתארחים ב-Edge, שבהם תעבורת ה-API נשלחת ל-Edge לפני העיבוד ולאחר מכן נשלחת למרכז הנתונים של הלקוח. בדיקה של משאבים משותפים, כמו ממשק המשתמש של פורטל הניהול, לא מאושרת ללקוחות ספציפיים (לקוחות יכולים לקבל דוח של צד שלישי שכולל בדיקה של השירותים המשותפים, בכפוף להסכם סודיות ובתגובה לבקשה).
מומלץ ללקוחות לבדוק את נקודות הקצה של ה-API שלהם. ההסכם שלכם עם Apigee לא אוסר על בדיקה של נקודות הקצה של ה-API, אבל אנחנו לא מאפשרים לבדוק את ממשק המשתמש המשותף לניהול. עם זאת, אם דרושה הבהרה נוספת, אפשר לפתוח בקשת תמיכה ולציין בה את הבדיקה המתוכננת. מומלץ להודיע מראש ל-Apigee כדי שנוכל לדעת על תעבורת הנתונים לצורך הבדיקה.
לקוחות שבודקים את נקודות הקצה שלהם צריכים לחפש בעיות ספציפיות ל-API, בעיות שקשורות לשירותי Apigee וגם לבדוק את ה-TLS ופריטים אחרים שניתנים להגדרה. יש לדווח ל-Apigee על כל פריט שנמצא שקשור לשירותי Apigee באמצעות בקשת תמיכה.
רוב הפריטים שקשורים לנקודת הקצה הם פריטים בניהול עצמי של הלקוח, ואפשר לתקן אותם על ידי עיון במסמכי התיעוד של Edge. אם יש פריטים שלא ברור איך לתקן אותם, אפשר לפתוח בקשת תמיכה.
הגדרת TLS
בהתאם לתקני PCI, צריך להעביר את SSL ואת הגרסאות המוקדמות של TLS לגרסאות מאובטחות. הלקוחות אחראים להגדיר ולקבוע נקודות קצה משלהם מסוג TLS לשרתי proxy של API. זוהי תכונה בשירות עצמי ב-Edge. הדרישות של הלקוחות לגבי בחירת הצפנה, פרוטוקול ואלגוריתם משתנות מאוד ותלויות בתרחישי שימוש ספציפיים. מאחר ש-Apigee לא יודעת את הפרטים של תכנון ה-API ועומס הנתונים של כל לקוח, הלקוחות אחראים לקבוע את ההצפנה המתאימה לנתונים במעבר. הוראות מפורטות להגדרת TLS זמינות במאמר TLS/SSL.
אחסון הנתונים
אחסון נתונים ב-Edge לא נדרש כדי ש-Edge יפעל כראוי. עם זאת, יש שירותים זמינים לאחסון נתונים ב-Edge. הלקוחות יכולים להשתמש במטמון, במיפויים של ערכי מפתח או בניתוח נתונים לאחסון נתונים. אף אחד מהשירותים האלה לא מורשה לאחסון CHD בהתאם לבדיקת PCI של Apigee. בהתאם לדרישה 3 של PCI (הגנה על נתוני בעלי כרטיסים שמאוחסנים), נתוני PCI צריכים להיות מאוחסנים רק במיקומים שתואמים ל-PCI. הלקוחות יכולים להשתמש בשירותים האלה כדי לאחסן נתונים שאינם פרטי כרטיס אשראי או נתונים אחרים ללא הגבלה, בכפוף לדרישות האבטחה והמשפטיות של הלקוח. השירותים האלה הם פריטים בשירות עצמי של הלקוח, ולכן הלקוח אחראי להגדיר אותם כך שלא יתבצע תיעוד או אחסון של CHD. מומלץ לאדמינים של הלקוח לבדוק את ההגדרות, המדיניות והפריסות כדי למנוע שימוש לא מכוון או זדוני בשירותי אחסון הנתונים ב-Edge באופן לא תואם .
הצפנת נתונים
אנחנו לא מציעים ללקוחות כלים להצפנת נתונים לשימוש ב-Edge. עם זאת, הלקוחות יכולים להצפין את נתוני ה-PCI שלהם לפני השליחה ל-Edge. דרישה 4 של PCI: (הצפנת העברת נתוני בעלי כרטיסים ברשתות פתוחות וציבוריות) מומלץ להצפין נתוני בעלי כרטיסים ברשתות פתוחות וציבוריות. נתונים מוצפנים בעומס העבודה (או בגוף ההודעה) לא מונעים את הפעולה של Edge. יכול להיות שחלק מהמדיניות של Edge לא תהיה מסוגלת לבצע אינטראקציה עם הנתונים אם הם מתקבלים מוצפנים על ידי הלקוח. לדוגמה, לא ניתן לבצע טרנספורמציה אם הנתונים עצמם לא זמינים ל-Edge לשינוי. עם זאת, כללי מדיניות אחרים, חבילות וכללי מדיניות שנוצרו על ידי הלקוח יפעלו גם אם עומס הנתונים מוצפן.