Plano de seguridad: PCI en GKE

El plano de PCI en Google Kubernetes Engine contiene un conjunto de opciones de configuración y secuencias de comandos de Terraform que muestran cómo iniciar un entorno de PCI en Google Cloud. El núcleo de este plano es la aplicación Online Boutique, en la que los usuarios pueden explorar artículos, agregarlos al carrito y comprarlos.

Este blueprint se desarrolló para la versión 3.2.1 de las Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). El plano te permite implementar cargas de trabajo en GKE que se alinean con PCI DSS de manera repetible, asistida y segura.

• Arquitectura
• Mapeo de cumplimiento
• Elementos implementables
• Preguntas frecuentes
• Recursos

Arquitectura

Descripción general del proyecto

En este blueprint, se inicia un entorno de datos de titular de tarjeta (CDE) en Google Cloud que contiene la siguiente jerarquía de recursos:

• Un recurso de organización
• Un recurso de carpeta que proporciona un mecanismo de agrupación y límites de aislamiento entre proyectos

• Recursos de proyecto. Implementarás los siguientes proyectos de Google Cloud :

  • Red: El proyecto host de la VPC compartida.
  • Administración: Un proyecto que contendrá la infraestructura de registro y supervisión, como Cloud Logging.
  • Dentro del alcance: Un proyecto que contiene los recursos dentro del alcance. En esta solución, el proyecto consta de un clúster de GKE diseñado para ejecutar las aplicaciones dentro del alcance. En el ejemplo, esto incluye los servicios de frontend, pago y confirmación de la compra.
  • Fuera del alcance: Un proyecto que contiene los recursos fuera del alcance. En esta solución, es un clúster de GKE diseñado para ejecutar el resto de los servicios.

Aplicación y proyectos

En el siguiente diagrama, se ilustra el límite de CDE en Google Cloud y qué proyectos están dentro del alcance de tu evaluación de PCI de la aplicación de demostración de microservicios. A medida que compiles tu entorno, usarás una ilustración como esta para comunicar Google Cloud qué recursos entran y salen de tu límite de PCI.

En la ruta etiquetada como 1, se muestran los datos de registro de los clústeres de Kubernetes que van a Cloud Logging.

Diseño de red

En este diagrama, se ilustran los detalles de la red y la subred de cada proyecto. También se muestran los flujos de datos entre proyectos y también hacia y desde el límite de CDE.

Tráfico encriptado

En este diagrama, se ilustra el tráfico encriptado que entra y sale del límite de PCI:

1. El tráfico encriptado con TLS (HTTPS) desde fuera de la VPC va al balanceador de cargas público dentro del alcance.
2. El tráfico encriptado con TLS entre los nodos del clúster de Kubernetes dentro del alcance y hacia el clúster que está fuera de este se dirige a balanceadores de cargas internos.
3. El tráfico desde los balanceadores de cargas internos hacia el clúster fuera del alcance se encripta con mTLS mediante Istio.
4. La comunicación dentro de cada clúster se encripta con mTLS mediante Istio.

Mapeo de cumplimiento

En el plano que se describe en este documento, se aborda una serie de requisitos de cumplimiento de PCI DSS. En la tabla de esta sección, se destacan algunos de ellos.

Nota: En el informe técnico (PDF) de PCI on GKE Blueprint Review for PCI Compliance se proporciona una evaluación independiente del plano realizada por Coalfire, el auditor de PCI DSS de Google. También se proporciona orientación sobre los elementos que debes abordar cuando adoptas el plano.

Los elementos de la siguiente tabla no abordan todos los requisitos. La infraestructura de Google Cloud cumple con algunos requisitos como parte de la responsabilidad compartida entre tú y Google. Debes implementar el cumplimiento de los otros requisitos. Para obtener una explicación detallada del modelo de responsabilidad compartida, consulta Exploring container security: the shared responsibility model in GKE en el Google Cloud blog.

Nota: El mapeo de cumplimiento describe cómo los controles implementados en este plano te ayudan a cumplir con los requisitos de PCI. Sin embargo, el modelo no garantiza el cumplimiento de PCI en el caso de los requisitos que se especifican más adelante en este documento. Es importante que tengas en cuenta que tú y tu Asesor de seguridad calificado (QSA) deben revisar, evaluar y aprobar la descripción de los detalles de implementación de este plano, y agregar otras funciones de seguridad que aborden todos los sistemas y aplicaciones dentro del alcance para tener una solución integral que permita cumplir con los requisitos de PCI.

Los números entre paréntesis se refieren a las secciones del documento de las Normas de seguridad de datos de la industria de tarjetas de pago (PCI). Puedes descargar el documento de la biblioteca de documentos del sitio web del Consejo sobre normas de seguridad de PCI.

Requisito	Sección	Descripción
Implementar la segmentación y la protección de límites	1.3.2, 1.3.4	Este plano te ayuda a implementar una segmentación lógica con proyectos de Google Cloud . Esta segmentación te permite crear un límite para tu evaluación de PCI. Este blueprint ejecuta Istio en Google Kubernetes Engine como un complemento que te permite crear una malla de servicios alrededor del clúster de GKE con todos los componentes necesarios. El plano también crea un perímetro de seguridad con VPC alrededor de todos los proyectos de Google Cloud que están dentro del alcance de PCI.
Configura el acceso con privilegios mínimos a los recursos de Google Cloud	7.1, 7.2	Este plano te ayuda a implementar un control de acceso basado en roles para administrar quién tiene acceso a los recursos de Google Cloud . El blueprint también implementa controles de acceso específicos de GKE, como control de acceso basado en funciones (RBAC) y espacios de nombres, para restringir el acceso a los recursos del clúster.
Establecer políticas a nivel de la organización		Con este plano, puedes establecer políticas que se apliquen a tu recurso de organización de Google Cloud, como las que se muestran a continuación: Sin direcciones IP externas Uso compartido restringido al dominio Imágenes confiables
Aplicar la separación de obligaciones mediante una VPC compartida	7.1.2, 7.1.3	Este plano utiliza la VPC compartida para la conectividad y el control de red segregado a fin de aplicar la separación de obligaciones.
Endurecer la seguridad del clúster	2.2, 2.2.5	Los clústeres de GKE de este plano se endurecen como se describe en la guía de protección de GKE.

Esta lista es solo un subconjunto de los controles de seguridad implementados en este plano que pueden cumplir con los requisitos de PCI DSS. Puedes encontrar una lista completa de los requisitos que se abordan en el documento PCI DSS Requirements (Requisitos de PCI DSS) (PDF) en GitHub.

Elementos implementables

El repositorio PCI and GKE Blueprint de GitHub contiene un conjunto de opciones de configuración y secuencias de comandos de Terraform que muestran cómo iniciar un entorno PCI en Google Cloud. El proyecto de PCI en GKE también muestra Google Cloud servicios, herramientas y proyectos que son útiles para iniciar tu propio Google Cloud entorno de PCI.

Preguntas frecuentes

¿Cómo uso este plano?

El plano de PCI en GKE proporciona información prescriptiva y las instrucciones para crear o migrar cargas de trabajo en GKE que se alineen con los requisitos de cumplimiento de PCI.

El plano consta de los siguientes elementos:

• Una guía de implementación
• Arquitecturas de referencia
• Secuencias de comandos de Terraform que implementan infraestructura como código (IaC)
• Una aplicación de demostración
• Mapeos de cumplimiento de PCI

Recomendamos leer la guía de implementación y revisar las arquitecturas de referencia antes de implementar el entorno de PCI con Terraform. Proporcionamos una aplicación de demostración de comercio electrónico que puedes implementar para probar el entorno del plano de PCI.

¿Es esta la única forma de ejecutar cargas de trabajo compatibles con PCI en Google Cloud?

No. PCI DSS es un conjunto de estándares de seguridad y existen muchas maneras de interpretar y también implementar los controles para satisfacer los estándares. Este plano se diseñó como un conjunto de prácticas recomendadas y sugerencias que respaldan tu cumplimiento de las normas PCI DSS.

¿Este plano incluye prácticas recomendadas para el cumplimiento del PCI en Google Distributed Cloud?

Si bien parte de la orientación de este plano aplica para Google Distributed Cloud, se enfoca en Google Kubernetes Engine (GKE) que se ejecuta en Google Cloud.

¿Tienen una lista de los requisitos de PCI que este plano puede satisfacer?

Este plano aborda una serie de requisitos de cumplimiento de PCI DSS. Puedes encontrar una lista completa de esos requisitos en el documento (PDF) PCI DSS Requirements (Requisitos de PCI DSS), en GitHub. Esta lista solo aborda los requisitos de cumplimiento de PCI que admite la infraestructura de Google Cloud como parte de la responsabilidad compartida entre tú y Google. Ten en cuenta que la implementación de cualquier control de cumplimiento de PCI es responsabilidad exclusiva del cliente y debes realizar tu propia evaluación de cumplimiento de PCI en tu organización. Para obtener más información sobre el modelo de responsabilidad compartida, consulta Explora la seguridad de los contenedores: el modelo de responsabilidad compartida en GKE en el Google Cloud blog.

¿Qué servicios son compatibles con la guía de este plano?

Para obtener una lista completa de los servicios compatibles, consulta la parte superior del archivo README que está en el repositorio de GitHub de PCI en GKE.

¿Aceptan contribuciones al repositorio de PCI en GKE en GitHub?

Sí. Puedes enviar una solicitud de extracción o bifurcar el repositorio.

Recursos

• Cumplimiento de las PCI DSS en Google Cloud. Esta guía te ayuda a abordar inquietudes específicas de las aplicaciones de Google Kubernetes Engine (GKE) cuando implementes las responsabilidades del cliente para los requisitos de PCI DSS.