このページは Apigee と Apigee ハイブリッドに適用されます。
Apigee Edge のドキュメントを表示する。
Apigee で Payment Card Industry（PCI）を遵守するため、お客様には「共有責任モデル」に基づいて、いくつかのアクションとプロセスを行っていただく必要があります。PCI を遵守するには、次の項目を確認する必要があります。Apigee では、これらの処理がセルフサービスとなるため、お客様の組織（org）で PCI 要件を満たすための対応を行っていただく必要があります。「Google がプラットフォームを保護し、お客様がデータを保護する」というのが全体のコンセプトとなります。
PCI 要件のマッピング
次の表に、PCI 要件に関連する Apigee ドキュメントを示します。各要件の詳細については、PCI DSS v3.2.1 クイック リファレンス ガイドをご覧ください。
| PCI 要件 | セクション |
| 要件 3: 保存されるカード会員データを保護する | データ マスキング |
| 要件 3: 保存されるカード会員データを保護する | データ ストレージ |
| 要件 4: カード会員データをオープンな公共ネットワーク経由で伝送する場合、暗号化する | TLS 構成 |
| 要件 4: カード会員データをオープンな公共ネットワーク経由で伝送する場合、暗号化する | データ暗号化 |
| 要件 7: カード会員データへのアクセスを業務上必要な範囲内に制限する | 使用 / 認可 |
| 要件 8: パソコンにアクセスできる各ユーザーに一意の ID を割り当てる | 複雑なパスワード要件または SAML |
| 要件 10: ネットワーク リソースとカード会員データに対するすべてのアクセスを追跡し、監視する | 監査証跡 |
| 要件 11: セキュリティ システムおよびプロセスを定期的にテストする | エンドポイントのスキャン |
PCI データ セキュリティ基準遵守の証明書（AOC）を取得するには、Google Compliance Reports Manager にアクセスするか、Apigee のセールスチームにお問い合わせください。
デバッグ セッション
デバッグ セッションというトラブルシューティング ツールを使用すると、Apigee プラットフォームで API 呼び出しが処理される際にそのステータスと内容を確認できます。
デバッグ セッションでは、データ マスキングが適用されます。データ マスキングにより、デバッグ セッション中のデータの表示を防ぐことができます。以下のデータ マスキングのセクションをご覧ください。
デバッグの使用方法については、デバッグを使用するをご覧ください。
使用 / 認可
デバッグ セッションへのアクセスは、Cloud IAM（Identity Access Management）RBAC（ロールベースのアクセス制御）システムによって管理されます。RBAC システムを使用してデバッグ セッションの権限を付与または取り消す詳しい方法については、Apigee のロールと Apigee UI でユーザーを管理するをご覧ください。デバッグ セッションの権限により、ユーザーはデバッグ セッションを開始し、デバッグ セッションの出力にアクセスできます。
デバッグ セッションでは、API 呼び出しのペイロード（メッセージ本文）にアクセスできるため、デバッグ セッションの実行権限を付与するユーザーは慎重に検討する必要があります。ユーザーの管理はお客様の責任で行っていただくため、デバッグ セッション権限の付与もお客様の責任となります。
データ マスキング
データ マスキングは、デバッグツール（Apigee UI）とデバッグによるバックエンド（Apigee API）の両方で、デバッグ セッションでのセンシティブ データの表示を防ぎます。マスキングの設定方法については、データのマスキングと非表示をご覧ください。センシティブ データのマスキングは、PCI 要件 3: 保存されるカード会員データを保護するに含まれます。
データをマスキングしても、ログファイル、キャッシュ、アナリティクスなどの場所ではデータが表示されます。通常、ビジネス上のやむを得ない理由があり、お客様のセキュリティ チームと法務部門で検討したうえでなければ、キャッシュやアナリティクスへのセンシティブ データの書き込みは行うべきでありません。
キャッシュ
キャッシュはすべてのお客様が利用できます。詳細については、キャッシュの仕組みをご覧ください。
監査証跡
お客様は、お客様の組織内で実施されたすべての管理アクティビティ（デバッグの使用を含む）の監査証跡を確認できます。詳しい手順については、監査ロギングとデバッグの使用をご覧ください。PCI 要件 10: ネットワーク リソースとカード会員データに対するすべてのアクセスを追跡し、監視する。
複雑なパスワード要件または SAML
PCI のお客様については、PCI DSS で必須とされるほとんどの要件を満たすようにユーザー パスワードが構成されます。Cloud Identity は多要素認証にも対応しています（PCI 要件 8: コンピュータにアクセスできる各ユーザーに一意の ID を割り当てる）。SAML の概要で説明されているように、SAML を認証制御の代替として使用することもできます。
注: 特定のパスワード要件がある場合は、SAML を使用して個々の要件を満たすことをおすすめします。
エンドポイントのセキュリティ
エンドポイントのスキャン
ホストのスキャンとテストは PCI の遵守に必須の項目です（要件 11: セキュリティ システムおよび管理手順を定期的にテストする）。Apigee では、Apigee 内で使用する API エンドポイント（ランタイム コンポーネント）のスキャンとテストは、お客様の責任で行っていただく必要があります。お客様によるテストでは、Apigee 上にホストされている実際の API プロキシ サービスもテストの対象に含まれます。これは API トラフィックは、API プロキシ サービスから Apigee に送信され、そこで処理された後にお客様のデータセンターに配信されるためです。管理ポータル UI などの共有リソースのテストはお客様に許可されていません。お客様からのリクエストに応じて、秘密保持契約の下、共有サービスのテストに関するサードパーティ レポートを提供いたします。
お客様の API エンドポイトはお客様ご自身でテストを行うべきであり、そうすることが推奨されています。Apigee との契約では、お客様がご自身の API エンドポイントをテストすることを禁止していませんが、共有管理 UI のテストについては許可していません。テストについて事前に Apigee にご連絡いただけると、テスト トラフィックの識別ができるため助かります。
お客様がエンドポイントをテストする際は、API 固有の問題や Apigee サービスに関連する問題の有無を調べるだけでなく、TLS とその他の構成可能な項目についてもご確認ください。Apigee サービス関連の問題が見つかった場合は、サポート リクエストにより Apigee にお知らせください。
エンドポイント関連の問題のほとんどは、お客様のセルフサービスとなる項目であり、Apigee ドキュメントを確認することで解決できます。解決方法が不明な場合は、サポート リクエストを開いてください。
TLS 構成
PCI 標準に従って、SSL と古い TLS をセキュリティが強化されたバージョンに移行する必要があります。お客様は、独自の API プロキシ用 TLS エンドポイントを定義して構成する責任があります。これは、Apigee ではセルフサービスとなります。暗号化、プロトコル、アルゴリズムの選択に関するお客様の要件はさまざまであり、個々のユースケースに固有なものです。Apigee では、お客様ごとの API 設計やデータ ペイロードの詳細を把握していないため、転送中のデータに適切な暗号化を判断するのは、お客様の責任となります。TLS 構成の詳細な手順については、TLS / SSL をご覧ください。
データ ストレージ
Apigee 内にデータを保存することは、Apigee を正常に機能させるうえで必須ではありません。ただし、Apigee 内でのデータ ストレージとして利用できるサービスがいくつかあります。お客様は、データ ストレージにキャッシュ、Key-Value マップ、またはアナリティクスを使用することもできます。アナリティクスは、Apigee PCI 監査でカード会員データ（CHD）のストレージとして許可されていません。PCI データは、PCI 要件 3（保存されるカード会員データを保護する）に従い、PCI 準拠の場所にのみ保存する必要があります。これらのサービスは、お客様のセキュリティ要件と法的要件で非 PCI データやその他の規制対象外のデータを保管する場合に使用できます。これらのサービスは、お客様のセルフサービスとなる項目です。したがって、CHD のキャプチャや保存を行わないようにサービスを構成する責任はお客様にあります。偶発的か意図的かを問わず、Apigee でデータ ストレージ サービスが非準拠の方法で使用されるのを避けるため、お客様の管理者が構成、ポリシー、デプロイメントの確認を行うことをおすすめします。
データ暗号化
お客様が Apigee 内で使用できるデータ暗号化ツールは提供されていません。ただし、Apigee に送信する前の PCI データの暗号化は自由に行うことができます。PCI 要件 4（カード会員データをオープンな公共ネットワーク経由で伝送する場合、暗号化する）では、公衆ネットワーク上でカード会員データを送信する場合は、データを暗号化することが推奨されています。ペイロード（メッセージ本文）に含まれるデータを暗号化しても、Apigee が機能しなくなることはありません。ただし、一部の Apigee ポリシーでは、お客様によって暗号化されたデータを操作できない場合があります。たとえば、変換処理の場合、Apigee が変更対象のデータそのものを変更できなければ、変換は不可能です。それ以外のポリシーとお客様が作成したポリシーやバンドルは、データ ペイロードが暗号化されていても機能します。
データ キャプチャ
お客様は、データ キャプチャ ポリシーを使用して、Apigee データ分析プラットフォームにカスタム属性を送信できます。ただし、カード所有者情報の保存にデータ キャプチャを使用しないことをおすすめします。
URL 内のクエリ文字列による情報の露出
URL のクエリ文字列によってセンシティブ データ（カード所有者情報など）が露出しないように API を設計することをおすすめします。