מדריך להגדרת PCI ב-Apigee

הדף הזה רלוונטי ל-Apigee ול-Apigee Hybrid.

לעיון במסמכי התיעוד של Apigee Edge

כדי שהלקוח יעמוד בדרישות של תקן PCI (תקן אבטחת מידע לתעשיית כרטיסי התשלום) ב-Apigee, יש כמה פעולות ותהליכים שהלקוח אחראי להם במסגרת "מודל האחריות המשותפת". הלקוחות שרוצים לעמוד בדרישות התאימות לתקן PCI צריכים לבדוק את הפריטים הבאים. הפריטים האלה הם בשירות עצמי ב-Apigee, וצריך לטפל בהם כדי שהארגון של הלקוח יעמוד בדרישות של PCI. הקונספט המרכזי הוא: Google מאבטחת את הפלטפורמה, והלקוח מאבטח את הנתונים שלו.

מיפוי דרישות PCI

בטבלה הבאה מפורטות דרישות PCI וקישורים למסמכי תיעוד רלוונטיים של Apigee. מידע נוסף על הדרישות זמין ב מדריך לעיון מהיר בתקן PCI DSS v4.0.1.

דרישות PCI	קטע
דרישה 3: הגנה על נתוני חשבון מאוחסנים	הסתרת נתונים
דרישה 3: הגנה על נתוני חשבון מאוחסנים	מאגר נתונים
דרישה 4: הגנה על נתוני בעלי הכרטיס באמצעות הצפנה חזקה במהלך השידור ברשתות ציבוריות פתוחות	הגדרת TLS
דרישה 4: הגנה על נתוני בעלי הכרטיסים באמצעות הצפנה חזקה במהלך השידור ברשתות ציבוריות פתוחות	הצפנת נתונים
דרישה 7: הגבלת הגישה לרכיבי המערכת ולנתונים של בעלי כרטיסים בהתאם לצורך העסקי לדעת	שימוש/הרשאות
דרישה 8: זיהוי משתמשים ואימות גישה לרכיבי המערכת	דרישות מורכבות לסיסמאות או SAML
דרישה 10: רישום ביומן ומעקב אחרי כל הגישה לרכיבי המערכת ולנתוני בעלי הכרטיסים	נתיב ביקורת
דרישה 11: בדיקה קבועה של אבטחת המערכות והרשתות	סריקת נקודות קצה

כדי לקבל אישור תאימות (AOC) לתקן אבטחת הנתונים של PCI, אפשר לעבור אל מנהל דוחות התאימות של Google או ליצור קשר עם צוות המכירות של Apigee.

ניפוי באגים בסשנים

הכלי 'סשנים של ניפוי באגים' הוא כלי לפתרון בעיות שמאפשר למשתמש לראות את הסטטוס והתוכן של קריאה ל-API בזמן שהיא מעובדת בפלטפורמת Apigee.

במהלך סשן ניפוי באגים, אנונימיזציה של נתונים נאכפת. הסתרת נתונים יכולה לחסום את הצגת הנתונים במהלך הפעלת ניפוי באגים. מידע נוסף זמין בקטע הסתרת נתונים שבהמשך.

הוראות מפורטות לשימוש ב-Debug זמינות במאמר Using Debug.

שימוש/הרשאות

הגישה להפעלת ניפוי באגים מנוהלת באמצעות מערכת RBAC (בקרת גישה מבוססת-תפקידים) של Cloud IAM (ניהול זהויות והרשאות גישה). הוראות מפורטות לשימוש במערכת RBAC כדי להעניק ולבטל הרשאות של סשן ניפוי באגים זמינות במאמרים תפקידים ב-Apigee וניהול משתמשים בממשק המשתמש של Apigee. הרשאות של סשן ניפוי באגים מאפשרות למשתמש להפעיל סשן ניפוי באגים ולגשת לפלט מסשן ניפוי באגים.

לסשן ניפוי הבאגים יש גישה למטען הייעודי (payload) של קריאות ל-API (שנקרא בעבר 'גוף ההודעה'), ולכן חשוב לשקול למי יש גישה להפעלת סשן ניפוי באגים. ניהול המשתמשים הוא באחריות הלקוח, ולכן גם מתן ההרשאות לניפוי באגים הוא באחריות הלקוח.

הסתרת נתונים

הסתרת נתונים מונעת את הצגת מידע אישי רגיש רק במהלך סשן ניפוי באגים, גם בכלי לניפוי באגים (ממשק המשתמש של Apigee) וגם בקצה העורפי באמצעות Debug (ה-API של Apigee). פרטים על הגדרת אנונימיזציה זמינים במאמר אנונימיזציה והסתרה של נתונים. הסתרת מידע אישי רגיש היא חלק מדרישת PCI מספר 3 – הגנה על נתוני חשבון מאוחסנים.

הסתרת נתונים לא מונעת את הצגת הנתונים במקומות כמו קובצי יומן, המטמון והניתוח. בדרך כלל, לא כדאי לכתוב מידע אישי רגיש במטמון או ב-Analytics בלי הצדקה עסקית חזקה ובלי בדיקה של צוותי האבטחה והמשפטיים של הלקוח.

שמירה במטמון

שמירה במטמון זמינה לכל הלקוחות. מידע נוסף זמין במאמר בנושא Cache internals (פרטים פנימיים של המטמון).

נתיב ביקורת

הלקוחות יכולים לבדוק את נתוני הביקורת של כל הפעילויות האדמיניסטרטיביות שבוצעו בארגון שלהם, כולל השימוש בכלי לניפוי באגים. הוראות מפורטות זמינות במאמרים בנושא יומני ביקורת ושימוש בכלי Debug. (דרישת PCI מספר 10: רישום ביומן ומעקב אחרי כל הגישה לרכיבי המערכת ולנתוני בעלי הכרטיסים).

דרישות מורכבות לסיסמאות או SAML

ללקוחות שעומדים בתקן PCI, סיסמאות המשתמשים מוגדרות כך שיעמדו ברוב הדרישות שנקבעו על ידי PCI DSS. ב-Cloud Identity יש גם אימות רב-גורמי (PCI דרישה 8: זיהוי משתמשים ואימות גישה לרכיבי מערכת). אפשר להשתמש ב-SAML כחלופה לאמצעי בקרה לאימות, כמו שמתואר במאמר סקירה כללית על SAML.

הערה: ללקוחות עם דרישות ספציפיות לסיסמאות מומלץ להשתמש ב-SAML כדי לעמוד בדרישות האישיות שלהם.

אבטחת נקודות קצה

סריקת נקודות קצה

סריקה ובדיקה של מארחים נדרשות לצורך עמידה בתקן PCI (דרישה 11: בדיקה קבועה של אבטחת המערכות והרשתות). ב-Apigee, הלקוחות אחראים לסריקה ולבדיקה של נקודות הקצה של ה-API שלהם (שנקראות לפעמים 'רכיבי זמן הריצה') ב-Apigee. בדיקות הלקוחות צריכות לכלול את שירותי ה-proxy ל-API בפועל שמארחים ב-Apigee, שבהם תעבורת ה-API נשלחת אל Apigee לפני העיבוד ואז מועברת למרכז הנתונים של הלקוח. לקוחות פרטיים לא יכולים לבדוק משאבים משותפים, כמו ממשק המשתמש של פורטל הניהול (לקוחות יכולים לקבל דוח של צד שלישי על בדיקת השירותים המשותפים, בכפוף להסכם סודיות ובקשה).

מומלץ ללקוחות לבדוק את נקודות הקצה של ה-API. ההסכם שלך עם Apigee לא אוסר על בדיקה של נקודות הקצה של ה-API, אבל אנחנו לא מאפשרים לך לבדוק את ממשק המשתמש המשותף לניהול. נשמח לקבל הודעה מראש ל-Apigee כדי שנוכל להיות מודעים לתנועת הבדיקה.

לקוחות שבודקים את נקודות הקצה שלהם צריכים לחפש בעיות ספציפיות ל-API, בעיות שקשורות לשירותי Apigee, ולבדוק את ה-TLS ופריטים אחרים שאפשר להגדיר. אם נמצאים פריטים שקשורים לשירותי Apigee, צריך לדווח על כך ל-Apigee באמצעות בקשת תמיכה.

רוב הפריטים שקשורים לנקודת הקצה הם פריטים של שירות עצמי ללקוחות, ואפשר לתקן אותם על ידי עיון במסמכי Apigee. אם יש פריטים שלא ברור איך לתקן אותם, אפשר לפתוח בקשת תמיכה.

הגדרת TLS

בהתאם לסטנדרטים של PCI, צריך להעביר את SSL וגרסאות קודמות של TLS לגרסאות מאובטחות. הלקוחות אחראים להגדיר ולקבוע נקודות קצה משלהם של TLS עבור פרוקסי של API. זוהי תכונה בשירות עצמי ב-Apigee. הדרישות של הלקוחות לגבי הצפנה, פרוטוקול ואלגוריתם משתנות מאוד וספציפיות לתרחישי שימוש פרטניים. מכיוון ש-Apigee לא יודע את הפרטים של עיצוב ה-API ומטעני הנתונים של כל לקוח, הלקוחות אחראים לקבוע את ההצפנה המתאימה לנתונים בזמן ההעברה. הוראות מפורטות להגדרת TLS זמינות במאמר בנושא TLS/SSL.

אחסון הנתונים

כדי ש-Apigee יפעל בצורה תקינה, לא נדרש אחסון נתונים ב-Apigee. עם זאת, יש שירותים לאחסון נתונים ב-Apigee. הלקוחות יכולים לבחור להשתמש במטמון, במיפוי של ערכי מפתח או בניתוח נתונים לאחסון נתונים. ל-Analytics אין הרשאה לאחסן נתונים של בעלי כרטיסים (CHD) בהתאם לביקורת PCI של Apigee. בהתאם לדרישת PCI מספר 3 (הגנה על נתוני חשבון מאוחסנים), נתוני PCI צריכים להיות מאוחסנים רק במיקומים שעומדים בדרישות PCI. הלקוחות יכולים להשתמש בשירותים האלה כדי לאחסן נתונים שלא קשורים ל-PCI או נתונים אחרים ללא הגבלה, בכפוף לדרישות האבטחה והדרישות המשפטיות של הלקוח. השירותים האלה הם פריטים בשירות עצמי ללקוחות, ולכן הלקוח אחראי להגדיר אותם כך שלא יתעדו או יאחסנו נתוני כרטיסי אשראי. מומלץ שמנהלי לקוחות יבדקו את ההגדרות, המדיניות והפריסות כדי למנוע שימוש מקרי או זדוני בשירותי אחסון נתונים ב-Apigee באופן שלא עומד בדרישות .

הצפנת נתונים

אנחנו לא מציעים ללקוחות כלים להצפנת נתונים לשימוש בתוך Apigee. עם זאת, הלקוחות יכולים להצפין את נתוני ה-PCI שלהם לפני שהם שולחים אותם ל-Apigee. דרישת PCI מספר 4: (הגנה על נתוני בעלי הכרטיסים באמצעות קריפטוגרפיה חזקה במהלך השידור ברשתות ציבוריות פתוחות) ממליצה להצפין את נתוני בעלי הכרטיסים ברשתות ציבוריות פתוחות. נתונים מוצפנים במטען הייעודי (או בגוף ההודעה) לא מונעים מ-Apigee לפעול. יכול להיות שחלק ממדיניות Apigee לא יוכלו לבצע אינטראקציה עם הנתונים אם הלקוח יקבל אותם מוצפנים. לדוגמה, אי אפשר לבצע טרנספורמציה אם הנתונים עצמם לא זמינים לשינוי ב-Apigee. אבל כללי מדיניות אחרים, חבילות ומדיניות שהלקוחות יצרו יפעלו גם אם מטען הנתונים מוצפן.

איסוף נתונים

הלקוחות יכולים להשתמש במדיניות איסוף הנתונים כדי לשלוח מאפיינים מותאמים אישית לפלטפורמת הניתוח של Apigee. ‫Apigee ממליצה לא להשתמש ב'איסוף נתונים' לאחסון פרטים של בעלי כרטיסים.

חשיפת מידע באמצעות מחרוזות שאילתה בכתובת URL

‫Apigee ממליצה על עיצובים של ממשקי API שלא כוללים מידע אישי רגיש (כולל, בין השאר, פרטי בעל הכרטיס) במחרוזות שאילתה בכתובות URL.