Questa pagina si applica a Apigee e Apigee ibridi.
Visualizza
documentazione di Apigee Edge.
Affinché un cliente sia conforme ad Apigee nel settore delle carte di pagamento (PCI), è necessario eseguire alcune azioni e processi possiede il "Modello di responsabilità condivisa". I seguenti articoli devono essere rivisti dai clienti che che vogliono essere conformi allo standard PCI. Questi elementi sono self-service all'interno di Apigee e devono essere affrontati in modo che l'organizzazione del cliente (organizzazione) soddisfi i requisiti PCI. La è "Google protegge la piattaforma, il cliente protegge i propri dati".
Mappatura dei requisiti PCI
La tabella seguente mappa i requisiti PCI alla relativa documentazione di Apigee. Per ulteriori informazioni sui requisiti, vedi Guida di riferimento rapida per PCI DSS v3.2.1.
| Requisito PCI | Sezione |
| Requisito 3: proteggere i dati memorizzati dei titolari della carta | Mascheramento dei dati |
| Requisito 3: proteggere i dati memorizzati dei titolari della carta | Archiviazione dei dati |
| Requisito 4: criptare la trasmissione dei dati dei titolari delle carte su reti pubbliche aperte | Configurazione TLS |
| Requisito 4: criptare la trasmissione dei dati dei titolari delle carte su reti pubbliche aperte | Crittografia dei dati |
| Requisito 7: limitare l'accesso ai dati dei titolari delle carte in base alle esigenze aziendali | Utilizzo/Autorizzazioni |
| Requisito 8: assegnare un ID univoco a ogni persona con accesso al computer | Requisiti complessi per le password o SAML |
| Requisito 10: localizzare e monitorare tutto l'accesso alle risorse di rete e ai dati dei titolari della carta | Audit trail |
| Requisito 11: testare regolarmente i sistemi e i processi di sicurezza | Scansione degli endpoint |
Per ottenere un’attestazione di conformità (AOC) standard di sicurezza dei dati PCI, visita Google Gestore dei report di conformità o contatta il team di vendita di Apigee.
Sessioni di debug
Le sessioni di debug sono uno strumento per la risoluzione dei problemi che consente all'utente di visualizzare lo stato e i contenuti di una chiamata API mentre viene elaborata tramite la piattaforma Apigee.
Durante una sessione di debug, viene applicato il mascheramento dei dati. Mascheramento dei dati può bloccare la visualizzazione dei dati durante una sessione di debug. Consulta la sezione Mascheramento dei dati riportata di seguito.
Istruzioni dettagliate sull'uso del debug sono disponibili in Utilizzo del debug.
Utilizzo/Autorizzazioni
L'accesso alla sessione di debug è gestito tramite il RBAC di Cloud IAM (Identity Access Management) (Controllo degli accessi basato sui ruoli). Istruzioni dettagliate sull'uso del sistema RBAC per fornire e revocare i privilegi della sessione di debug sono disponibili nei ruoli Apigee e Gestire gli utenti nella UI di Apigee. Le autorizzazioni della sessione di debug consentono all'utente di avviare una sessione di debug e di accedere all'output da una sessione di debug.
Poiché la sessione di debug ha accesso al payload delle chiamate API (precedentemente denominato "Corpo del messaggio"), è importante valutare chi può accedere a una sessione di debug. Poiché la gestione degli utenti è responsabilità del cliente, anche la concessione delle autorizzazioni della sessione di debug è una responsabilità del cliente.
Mascheramento dei dati
Il mascheramento dei dati impedisce la visualizzazione di dati sensibili solo durante una sessione di debug, sia in lo strumento di debug (UI Apigee) e nel backend da Debug (API Apigee). Dettagli sulla configurazione il mascheramento è disponibile nella sezione Data come mascheramento e occultamento. Il mascheramento dei dati sensibili fa parte del requisito PCI 3 - Proteggere i dati dei titolari di carte memorizzati.
Il mascheramento dei dati NON impedisce che i dati siano visibili in posizioni come file di log, cache e analisi. In genere, i dati sensibili non devono essere scritti nella cache o nell'analisi senza un la giustificazione aziendale e la revisione da parte del team legale e della sicurezza del cliente.
Memorizzazione nella cache
La memorizzazione nella cache è disponibile per tutti i clienti. Per ulteriori informazioni, consulta la sezione Interni della cache.
Audit trail
I clienti hanno la possibilità di rivedere gli audit trail di tutte le attività amministrative eseguite nell'organizzazione del cliente, incluso l'uso di debug. Per istruzioni dettagliate, vedi Audit logging e Utilizzo del debug. Requisito PCI 10: tracciare e monitorare tutti gli accessi alle risorse di rete e ai dati dei titolari di carte).
Requisiti complessi per le password o SAML
Per i clienti PCI, le password utente sono configurate in modo da soddisfare la maggior parte dei requisiti imposti da PCI DSS. Cloud Identity offre anche l'autenticazione a più fattori (PCI Requisito 8: assegna un ID univoco a ogni persona con accesso al computer. SAML come descritto in Panoramica di SAML, può essere utilizzato come alternativa per i controlli di autenticazione.
Nota:si consiglia ai clienti con requisiti specifici per le password di utilizzare SAML per soddisfare le proprie esigenze individuali.
Sicurezza degli endpoint
Scansione degli endpoint
L'analisi e il test degli host sono obbligatori per la conformità PCI (Requisito 11: testa regolarmente i sistemi e i processi di sicurezza). Per Apigee, i clienti sono responsabili della scansione e del test degli endpoint API (a volte chiamati "componenti di runtime") in Apigee. I test dei clienti dovrebbero riguardare gli effettivi servizi proxy API ospitati su Apigee, dove il traffico API viene inviato ad Apigee prima di essere elaborato e quindi consegnato al data center del cliente. I test delle risorse condivise, ad esempio l'interfaccia utente del portale di gestione, non sono approvati per i singoli clienti (un report di terze parti relativo ai test dei servizi condivisi è disponibile per i clienti ai sensi di un accordo di non divulgazione e su richiesta).
I clienti dovrebbero e sono incoraggiati a testare i propri endpoint API. Il tuo contratto con Apigee non vietiamo i test degli endpoint API, ma non ti consentiamo di testare un'interfaccia utente di gestione. Ti ringraziamo anticipatamente per la notifica ad Apigee per consentirci di essere a conoscenza del per testare il traffico.
I clienti che testano i propri endpoint devono cercare eventuali problemi specifici delle API, ai servizi Apigee e controllare TLS e altri elementi configurabili. Qualsiasi elemento che relative ai servizi Apigee devono essere comunicati ad Apigee mediante una richiesta di assistenza.
La maggior parte degli elementi relativi all'endpoint sono elementi self-service per il cliente e possono essere risolti esaminando la documentazione di Apigeee. Se ci sono elementi per i quali non è chiaro come risolvere il problema invia una richiesta di assistenza.
Configurazione TLS
Secondo lo standard PCI standard, SSL e TLS iniziale devono essere migrati a versioni protette. I clienti sono responsabile della definizione e della configurazione dei propri endpoint TLS per i proxy API. Si tratta di un una funzionalità self-service in Apigee. Requisiti dei clienti relativi a crittografia, protocollo e algoritmo sono molto variabili e specifiche per i singoli casi d'uso. Poiché Apigee non conoscere i dettagli della progettazione delle API e dei payload di ogni cliente, la responsabilità di determinare l'appropriata crittografia per i dati in transito. Istruzioni dettagliate per la configurazione TLS sono disponibili in TLS/SSL.
Archiviazione dei dati
L'archiviazione di dati in Apigee non è necessaria per il corretto funzionamento di Apigee. Tuttavia, sono servizi disponibili per l'archiviazione dei dati in Apigee. I clienti possono scegliere di utilizzare cache, mappe di valori o analisi per l'archiviazione dei dati. Analytics non è autorizzato ad archiviare i dati dei titolari di carte (CHD) in base all'audit PCI Apigee. In base al requisito PCI 3 (protezione dei dati dei titolari di carte memorizzate), i dati PCI devono essere archiviati solo in località conformi allo standard PCI. L'utilizzo di questi servizi è disponibile per i clienti per l'archiviazione di dati non PCI o altri dati senza limitazioni soggetti ai requisiti legali e di sicurezza del cliente. Questi servizi sono articoli self-service per il cliente, quindi è responsabilità del cliente configurarli in modo da non acquisire o archiviare contenuti CHD. Si consiglia di rivedere la configurazione, i criteri e le implementazioni da parte degli amministratori dei clienti per evitare l'uso accidentale o dannoso dei servizi di archiviazione dati in Apigee in modo non conforme .
Crittografia dei dati
Non vengono offerti ai clienti strumenti di crittografia dei dati per il loro utilizzo all'interno di Apigee. Tuttavia, I clienti sono liberi di criptare i propri dati PCI prima di inviarli ad Apigee. Requisito PCI 4: (crittografia della trasmissione dei dati dei titolari di carte su reti aperte e pubbliche) consiglia di criptare i dati dei titolari di carte su reti aperte e pubbliche. I dati criptati nel payload (o nel corpo del messaggio) non impediscono il funzionamento di Apigee. Alcuni criteri di Apigee potrebbero non essere in grado di interagire con i dati se vengono ricevuti criptati dal cliente. Ad esempio, una trasformazione non è possibile se i dati stessi non sono disponibili per la modifica da parte di Apigee. Tuttavia, altri criteri, criteri e pacchetti creati dal cliente funzioneranno anche se il payload dei dati è criptato.
Acquisizione dei dati
I clienti possono utilizzare i dati Acquisisci il criterio per inviare attributi personalizzati alle analisi di Apigee completamente gestita. Apigee consiglia di non utilizzare Data Capture per archiviare le informazioni dei titolari delle carte.
Esposizione delle informazioni attraverso la query stringhe nell'URL
Apigee consiglia progettazioni di API che evitino i dati sensibili (inclusi, a titolo esemplificativo, informazioni del titolare della carta) tramite stringhe di query negli URL.