Esta página se aplica a Apigee y Apigee Hybrid.
Consulta la documentación de
Apigee Edge.
Para que un cliente cumpla el estándar de seguridad de datos de la industria de tarjetas de pago (PCI) en Apigee, debe llevar a cabo una serie de acciones y procesos en virtud del modelo de responsabilidad compartida. Los clientes que quieran cumplir el estándar PCI deben revisar los siguientes elementos. Estos elementos son de autoservicio en Apigee y deben abordarse para que la organización del cliente cumpla los requisitos de PCI. El concepto general es "Google protege la plataforma y el cliente protege sus datos".
Asignación de requisitos de PCI
En la siguiente tabla se relacionan los requisitos de PCI con la documentación de Apigee correspondiente. Para obtener más información sobre los requisitos, consulta la guía de referencia rápida de PCI DSS versión 3.2.1.
| Requisito de PCI | Sección |
| Requisito 3: Proteger los datos de los titulares de tarjetas almacenados | Anonimización de datos |
| Requisito 3: Proteger los datos de los titulares de tarjetas almacenados | Almacenamiento de datos |
| Requisito 4: Cifrar la transmisión de datos de los titulares de las tarjetas en redes públicas abiertas | Configuración de TLS |
| Requisito 4: Cifrar la transmisión de datos de los titulares de las tarjetas en redes públicas abiertas | Cifrado de datos |
| Requisito 7: Restringir el acceso a los datos de los titulares de tarjetas según la necesidad de conocerlos | Uso/Autorizaciones |
| Requisito 8: Asignar un ID único a cada persona que tenga acceso a un ordenador | Requisitos de contraseñas complejas o SAML |
| Requisito 10: Monitorizar y registrar todos los accesos a los recursos de red y a los datos de los titulares de las tarjetas | Registro de auditoría |
| Requisito 11: Probar periódicamente los sistemas y procesos de seguridad | Búsqueda por punto |
Para obtener una certificación de cumplimiento del estándar de seguridad de datos de la PCI, visita el gestor de informes de cumplimiento de Google o ponte en contacto con tu equipo de ventas de Apigee.
Sesiones de depuración
Sesiones de depuración es una herramienta para solucionar problemas que permite al usuario ver el estado y el contenido de una llamada a la API a medida que se procesa en la plataforma Apigee.
Durante una sesión de depuración, se aplica el anonimización de datos. El enmascaramiento de datos puede impedir que se muestren datos durante una sesión de depuración. Consulta la sección Máscara de datos que aparece más abajo.
Encontrarás instrucciones detalladas sobre el uso de la depuración en el artículo Usar la depuración.
Usos/Autorizaciones
El acceso a la sesión de depuración se gestiona mediante el sistema de control de acceso basado en roles (RBAC) de Gestión de Identidades y Accesos (IAM) de Cloud. En Roles de Apigee y Gestionar usuarios en la interfaz de usuario de Apigee, se ofrecen instrucciones detalladas sobre cómo usar el sistema RBAC para conceder y revocar privilegios de sesión de depuración. Los permisos de sesión de depuración permiten al usuario iniciar una sesión de depuración y acceder a su salida.
Como la sesión de depuración tiene acceso a la carga útil de las llamadas a la API (antes denominada "Cuerpo del mensaje"), es importante tener en cuenta quién tiene acceso para ejecutar una sesión de depuración. Dado que la gestión de usuarios es responsabilidad del cliente, la concesión de permisos de sesión de depuración también lo es.
Enmascaramiento de datos
El enmascaramiento de datos evita que se muestren datos sensibles durante una sesión de depuración, tanto en la herramienta de depuración (interfaz de usuario de Apigee) como en el backend mediante la API Debug de Apigee. Para obtener información sobre cómo configurar el enmascaramiento, consulta el artículo Enmascarar y ocultar datos. El enmascaramiento de datos sensibles forma parte del requisito 3 de PCI: proteger los datos de los titulares de tarjetas almacenados.
El enmascaramiento de datos NO impide que los datos se vean en lugares como los archivos de registro, la caché y las analíticas. Por lo general, los datos sensibles no deben escribirse en la caché ni en las analíticas sin una justificación empresarial sólida y sin que los equipos de seguridad y legales del cliente los revisen.
Almacenamiento en caché
El almacenamiento en caché está disponible para todos los clientes. Para obtener más información, consulta Internos de la caché.
Registro de auditoría
Los clientes pueden revisar el registro de auditoría de todas las actividades administrativas realizadas en la organización del cliente, incluido el uso de Depuración. Para obtener instrucciones detalladas, consulta los artículos Registro de auditoría y Usar depuración. Requisito 10 de PCI: monitorizar y registrar todos los accesos a los recursos de red y a los datos de los titulares de las tarjetas.
Requisitos de contraseñas complejas o SAML
En el caso de los clientes que cumplen el PCI, las contraseñas de los usuarios se configuran para cumplir la mayoría de los requisitos obligatorios del PCI DSS. Cloud Identity también ofrece la autenticación multifactor (requisito 8 de PCI: asignar un ID único a cada persona con acceso a ordenadores). SAML, tal como se describe en Descripción general de SAML, se puede usar como alternativa para los controles de autenticación.
Nota: Recomendamos a los clientes con requisitos de contraseña específicos que usen SAML para cumplir sus requisitos individuales.
Seguridad de los puntos finales
Análisis de endpoints
Para cumplir la normativa PCI, es necesario analizar y probar los hosts (requisito 11: probar periódicamente los sistemas y procesos de seguridad). En Apigee, los clientes son responsables de analizar y probar sus endpoints de API (a veces denominados "componentes de tiempo de ejecución") en Apigee. Las pruebas de los clientes deben cubrir los servicios de proxy de API reales alojados en Apigee, donde se envía el tráfico de las APIs a Apigee antes de procesarse y, a continuación, se entrega al centro de datos del cliente. No se ha aprobado la prueba de recursos compartidos, como la interfaz de usuario del portal de gestión, para clientes individuales (los clientes pueden solicitar un informe de terceros sobre las pruebas de los servicios compartidos, que está disponible bajo un acuerdo de confidencialidad).
Los clientes deben probar sus endpoints de API y se les anima a hacerlo. Tu contrato con Apigee no prohíbe que pruebes tus endpoints de API, pero no te permite probar la interfaz de gestión compartida. Agradeceríamos que nos avisaras con antelación para que podamos estar al tanto del tráfico de pruebas.
Los clientes que prueben sus endpoints deben buscar problemas específicos de la API, problemas relacionados con los servicios de Apigee y también comprobar los elementos configurables, como TLS. Cualquier elemento que se encuentre relacionado con los servicios de Apigee debe comunicarse a Apigee a través de una solicitud de asistencia.
La mayoría de los elementos relacionados con el endpoint son de autoservicio para el cliente y se pueden solucionar consultando la documentación de Apigee. Si hay elementos en los que no está claro cómo corregirlos, abre una solicitud de asistencia.
Configuración de TLS
Según los estándares PCI, SSL y las versiones anteriores de TLS deben migrarse a versiones seguras. Los clientes son responsables de definir y configurar sus propios endpoints TLS para los proxies de API. Se trata de una función de autoservicio de Apigee. Los requisitos de los clientes en cuanto a cifrado, protocolo y algoritmos varían mucho y son específicos de cada caso práctico. Como Apigee no conoce los detalles del diseño de las APIs ni las cargas útiles de datos de cada cliente, los clientes son los responsables de determinar el cifrado adecuado para los datos en tránsito. Puedes consultar instrucciones detalladas sobre la configuración de TLS en TLS/SSL.
Almacenamiento de datos
No es necesario almacenar datos en Apigee para que funcione correctamente. Sin embargo, hay servicios disponibles para el almacenamiento de datos en Apigee. Los clientes pueden usar la caché, los mapas de pares clave-valor o las analíticas para almacenar datos. Analytics no está autorizado para almacenar datos de titulares de tarjetas (CHD) según la auditoría de PCI de Apigee. De acuerdo con el requisito 3 de PCI (Proteger los datos de los titulares de tarjetas almacenados), los datos de PCI solo deben almacenarse en ubicaciones que cumplan los requisitos de PCI. Los clientes pueden usar estos servicios para almacenar datos no pertenecientes a PCI u otros datos sin restricciones, de acuerdo con sus requisitos legales y de seguridad. Estos servicios son de autoservicio para los clientes, por lo que es responsabilidad del cliente configurarlos para que no capturen ni almacenen datos de tarjetas. Recomendamos que los administradores de los clientes revisen la configuración, las políticas y las implementaciones para evitar que se usen los servicios de almacenamiento de datos de Apigee de forma accidental o malintencionada y que no cumplan las normas .
Encriptado de datos
No se ofrecen herramientas de cifrado de datos a los clientes para que las usen en Apigee. Sin embargo, los clientes pueden cifrar sus datos de PCI antes de enviarlos a Apigee. Requisito 4 de PCI: (cifrar la transmisión de datos de los titulares de las tarjetas en redes públicas abiertas) recomienda cifrar los datos de los titulares de las tarjetas en redes públicas abiertas. Los datos cifrados de la carga útil (o del cuerpo del mensaje) no impiden que Apigee funcione. Es posible que algunas políticas de Apigee no puedan interactuar con los datos si el cliente los recibe cifrados. Por ejemplo, no se puede realizar una transformación si Apigee no tiene acceso a los datos para cambiarlos. Sin embargo, otras políticas y las políticas y los paquetes creados por los clientes funcionarán aunque la carga útil de datos esté cifrada.
Captura de datos
Los clientes pueden usar la política de captura de datos para enviar atributos personalizados a la plataforma de analíticas de Apigee. Apigee recomienda no usar la captura de datos para almacenar información de titulares de tarjetas.
Exposición de información a través de cadenas de consulta en la URL
Apigee recomienda diseños de APIs que eviten los datos sensibles (incluida, entre otra información, la información del titular de la tarjeta) a través de cadenas de consulta en URLs.