Esta página se aplica à Apigee e à Apigee híbrida.
Confira a documentação da Apigee Edge.
Para que um cliente seja compatível com o setor de cartões de pagamento (PCI, na sigla em inglês) na Apigee, há algumas ações e processos que o cliente possui no "Modelo de responsabilidade compartilhada". Os itens a seguir precisam ser revisados pelos clientes que buscam estar em conformidade com a PCI. Esses itens são de autoatendimento dentro da Apigee e precisam ser abordados para que a organização do cliente (org) atenda aos requisitos de PCI. O conceito geral é "O Google protege a plataforma, o cliente protege seus dados".
Mapeamento de requisitos de PCI
A tabela a seguir correlaciona os requisitos de PCI à documentação relacionada da Apigee. Para mais informações sobre os requisitos, consulte o Guia de referência rápida de PCI DSS v3.2.1.
| Requisito de PCI | Seção |
| Requisito 3: proteger os dados armazenados do titular do cartão | Mascaramento de dados |
| Requisito 3: proteger os dados armazenados do titular do cartão | Armazenamento de dados |
| Requisito 4: criptografar a transmissão de dados do titular do cartão em redes públicas abertas | Configuração de TLS |
| Requisito 4: criptografar a transmissão de dados do titular do cartão em redes públicas abertas | Criptografia de dados |
| Requisito 7: restringir o acesso aos dados do titular do cartão por necessidade de saber corporativa | Uso/autorizações |
| Requisito 8: atribuir um ID exclusivo a cada pessoa com acesso ao computador | Requisitos de senha complexa ou SAML |
| Requisito 10: rastrear e monitorar todo o acesso a recursos de rede e dados do titular do cartão | Trilha de auditoria |
| Requisito 11: testar regularmente os sistemas e processos de segurança | Verificação de endpoints |
Para conseguir um atestado de conformidade (AOC, na sigla em inglês) com a norma de segurança de dados de PCI, acesse o Gerenciador de relatórios de conformidade do Google ou entre em contato com sua equipe de vendas da Apigee.
Sessões de depuração
As sessões de depuração são uma ferramenta de solução de problemas que permite ao usuário visualizar o status e o conteúdo de uma chamada de API conforme ela é processada na plataforma Apigee.
Durante uma sessão de depuração, o mascaramento de dados é aplicado. O mascaramento de dados pode impedir a exibição de dados durante uma sessão de depuração. Consulte a seção Mascaramento de dados abaixo.
Instruções detalhadas sobre o uso de depuração estão disponíveis em Como usar a depuração.
Uso/autorizações
O acesso à sessão de depuração é gerenciado pelo sistema de controle de acesso com base em papéis (RBAC, na sigla em inglês) do Cloud IAM (Identity and Access Management). Instruções detalhadas sobre como usar o sistema RBAC para conceder e revogar privilégios da sessão de depuração estão disponíveis nas seções papéis da Apigee e Gerenciar usuários na IU da Apigee. Com as permissões de sessão de depuração, o usuário pode iniciar uma sessão de depuração e acessar os respectivos resultados.
Como a sessão de depuração tem acesso ao payload das chamadas da API (formalmente chamado de "Corpo da mensagem"), é importante considerar quem tem acesso para executar uma sessão de depuração. Como o gerenciamento de usuários é de responsabilidade do cliente, a concessão de permissões da sessão de depuração também é de responsabilidade do cliente.
Mascaramento de dados
A máscara de dados impede a exibição de dados confidenciais apenas durante uma sessão de depuração, tanto na ferramenta de depuração (IU da Apigee) quanto no back-end pela depuração (API Apigee). Veja detalhes sobre como configurar o mascaramento em Mascaramento e ocultação de dados. O mascaramento de dados confidenciais faz parte do Requisito 3 de PCI: proteger os dados armazenados do titular do cartão.
O mascaramento de dados NÃO impede que os dados fiquem visíveis em locais como arquivos de registros, cache e análises. Os dados confidenciais geralmente não devem ser gravados em cache ou análises sem uma forte justificativa comercial e uma revisão feita pelas equipes de segurança do cliente e jurídicas.
Armazenamento em cache
O armazenamento em cache está disponível para todos os clientes. Para mais informações, consulte Caches internos.
Trilha de auditoria
Os clientes podem analisar a trilha de auditoria de todas as atividades administrativas realizadas na organização do cliente, incluindo o uso de depuração. Para instruções detalhadas, consulte Registro de auditoria e Como usar a depuração. Requisito 10 de PCI: rastrear e monitorar todo o acesso a recursos de rede e dados do titular do cartão.
Requisitos de senha complexa ou SAML
Para clientes de PCI, as senhas de usuário são configuradas para atender à maioria dos requisitos, conforme exigido pelo PCI DSS. O Cloud Identity também oferece autenticação multifator (Requisito 8 de PCI: atribuir um ID exclusivo a cada pessoa com acesso ao computador). O SAML conforme descrito em Visão geral do SAML pode ser usado como uma alternativa para os controles de autenticação.
Observação: é recomendável que clientes com requisitos de senha específicos usem SAML para atender aos requisitos individuais deles.
Segurança de endpoint
Verificação de endpoints
A verificação e o teste de hosts são necessários para manter a conformidade com o PCI (Requisito 11: testar regularmente os sistemas e processos de segurança). Para a Apigee, os clientes são responsáveis pela verificação e pelo teste dos endpoints da API (às vezes chamados de "componentes do ambiente de execução") na Apigee. Os testes do cliente precisam cobrir os serviços reais de proxy da API hospedados na Apigee, onde o tráfego da API é enviado à Apigee antes de ser processado e entregue ao data center do cliente. Os testes de recursos compartilhados, como a IU do portal de gerenciamento, não são aprovados para clientes individuais. Um relatório de terceiros que abrange testes de serviços compartilhados está disponível para os clientes por meio de um contrato de não divulgação e mediante solicitação.
Os clientes devem testar os endpoints da API, e são incentivados a fazer isso. Seu contrato com a Apigee não proíbe o teste dos endpoints da API, mas não permitimos o teste da IU de gerenciamento compartilhada. Envie uma notificação com antecedência à Apigee para que possamos tomar conhecimento do tráfego de teste.
Os clientes que testam os endpoints precisam procurar problemas específicos da API, problemas relacionados aos serviços da Apigee e verificar o TLS e outros itens configuráveis. Todos os itens relacionados aos serviços da Apigee precisam ser comunicados à Apigee por uma solicitação de suporte.
A maioria dos itens relacionados ao endpoint são itens de autoatendimento do cliente. Para corrigir o problema, confira a documentação da Apigee. Se o modo de correção de algum item não for claro, abra uma solicitação de suporte.
Configuração de TLS
De acordo com os padrões de PCI, é necessário migrar o SSL e o TLS com antecedência para versões protegidas. Os clientes são responsáveis por definir e configurar os próprios endpoints de TLS para proxies de API. Esse é um recurso de autoatendimento na Apigee. Os requisitos do cliente sobre seleções de criptografia, protocolo e algoritmo são amplamente variáveis e específicos para casos de uso individuais. Como a Apigee não conhece os detalhes do design da API e de payloads de dados de cada cliente, os clientes têm a responsabilidade de determinar a criptografia apropriada para os dados em trânsito. As instruções detalhadas sobre a configuração de TLS estão disponíveis em TLS/SSL.
Armazenamento de dados
O armazenamento de dados na Apigee não é necessário para que a Apigee funcione corretamente. No entanto, há serviços disponíveis para armazenamento de dados na Apigee. Os clientes podem optar por usar cache, mapas de chave-valor ou análises para armazenamento de dados. A análise não está autorizada para armazenamento de dados do titular do cartão (CHD, na sigla em inglês) de acordo com a auditoria de PCI da Apigee. De acordo com o Requisito 3 de PCI (proteger dados do titular do cartão armazenados), os dados de PCI devem ser armazenados apenas em locais em conformidade com a PCI. O uso desses serviços está disponível para clientes que armazenam dados não PCI ou outros dados irrestritos sujeitos aos requisitos legais e de segurança do cliente. Esses serviços são itens de autoatendimento para clientes. Portanto, é responsabilidade do cliente configurá-los para não capturar ou armazenar CHD. São recomendadas análises da configuração, das políticas e das implantações pelos administradores dos clientes para evitar o uso acidental ou mal-intencionado de serviços de armazenamento de dados na Apigee de maneira não compatível.
Criptografia de dados
As ferramentas de criptografia de dados não são oferecidas aos clientes para uso na Apigee. No entanto, os clientes têm a liberdade de criptografar os dados de PCI antes de enviá-los à Apigee. Requisito 4 de PCI (criptografar a transmissão dos dados do titular do cartão em redes públicas abertas): recomenda criptografar os dados do titular do cartão em redes públicas abertas. Os dados criptografados no payload (ou corpo da mensagem) não impedem que a Apigee funcione. Talvez algumas políticas da Apigee não consigam interagir com os dados se eles forem criptografados pelo cliente. Por exemplo, uma transformação não é possível se os dados não estiverem disponíveis para a Apigee mudar. No entanto, outras políticas, pacotes e políticas criadas pelo cliente funcionarão mesmo que o payload de dados esteja criptografado.
Captura de dados
Os clientes podem usar a política de captura de dados para enviar atributos personalizados à plataforma de análise da Apigee. A Apigee não recomenda o uso da captura de dados para armazenar informações do titular do cartão.
Exposição de informações por strings de consulta no URL
A Apigee recomenda projetos de API que evitem dados confidenciais (como, mas não restritos a, informações do titular do cartão) por strings de consulta em URLs.