確保云計(jì)算合規(guī)的三個(gè)關(guān)鍵要求

　　數(shù)據(jù)流和SaaS

　　下一個(gè)挑戰(zhàn)涉及在某些云計(jì)算環(huán)境中映射數(shù)據(jù)流，特別是軟件即服務(wù)SaaS。與平臺(tái)即服務(wù) PaaS和IaaS不同，在SaaS中，應(yīng)用本身是一個(gè)“黑盒子”，這意味著SaaS客戶被故意從應(yīng)用運(yùn)行的底層機(jī)制屏蔽。例如，當(dāng)你登錄到 LinkedIn或Facebook時(shí)，你知道你的用戶ID穿行在哪臺(tái)服務(wù)器或者多少不同的數(shù)據(jù)庫(kù)連接到內(nèi)部后端環(huán)境?你關(guān)心嗎?或許你不在乎，只要你能正確登錄?，F(xiàn)在，鏡像能解決這個(gè)要求，它不僅能了解如何進(jìn)行整個(gè)過(guò)程，而且還能記錄數(shù)據(jù)采用的確切路徑。

　　現(xiàn)在，請(qǐng)記住，該標(biāo)準(zhǔn)中并沒(méi)有說(shuō)數(shù)據(jù)流圖要“知道不可知的情況”，當(dāng)企業(yè)對(duì)遠(yuǎn)程基礎(chǔ)設(shè)施沒(méi)有充分可視性，達(dá)到這種詳細(xì)程度并不總是現(xiàn)實(shí)的。在另一方面， 圖表上有箭頭指向互聯(lián)網(wǎng)稱(chēng)，“PAN發(fā)送到遠(yuǎn)程計(jì)費(fèi)供應(yīng)商”，并不能達(dá)到評(píng)估員的標(biāo)準(zhǔn)，所以需要尋找一個(gè)中間立場(chǎng)，來(lái)徹底滿足評(píng)估，同時(shí)沒(méi)有那么繁瑣，讓 企業(yè)可以實(shí)現(xiàn)。對(duì)此，你可以從記錄你所知道的并讓供應(yīng)商完成測(cè)試開(kāi)始。如果他們不能或者不愿意幫助向下鉆取以及更詳細(xì)，請(qǐng)確保記錄這個(gè)事實(shí)。你應(yīng)該向 評(píng)估者提供證據(jù)證明你已經(jīng)作出最大努力來(lái)收集具體數(shù)據(jù)，這可以讓評(píng)估人員了解你已經(jīng)完全考慮過(guò)這個(gè)要求。

　　服務(wù)提供商矩陣

　　PCI總是要求企業(yè)檢查其服務(wù)供應(yīng)商的PCI合規(guī)狀態(tài)，但現(xiàn)在它還要求企業(yè)記錄哪些PCI要求由供應(yīng)商負(fù)責(zé)，哪些由企業(yè)自己負(fù)責(zé)。

　　這可能聽(tīng)起來(lái)像是一件容易的事，但請(qǐng)記住，云供應(yīng)商無(wú)論是SaaS、PaaS或者IaaS以及更傳統(tǒng)的服務(wù)供應(yīng)商都屬于這一類(lèi)。這意味著企業(yè)現(xiàn)在必 須確定誰(shuí)負(fù)責(zé)特定的PCI DSS控制：企業(yè)還是供應(yīng)商。雖然一些服務(wù)提供商特別是經(jīng)常服務(wù)于商家社區(qū)的提供商已經(jīng)有他們所提供的控制的現(xiàn)成的清單，其他提供商可能并不會(huì)完全認(rèn) 同特定企業(yè)對(duì)責(zé)任劃分的觀點(diǎn)。這意味著企業(yè)需要與服務(wù)提供商反復(fù)協(xié)商來(lái)建立一個(gè)雙方都同意的清單。

　　結(jié)論

　　要注意的是，這三個(gè)要求并不是PCI DSS為部署云計(jì)算的商家?guī)?lái)的唯一變化。然而，對(duì)于這些要求，精明的安全和合規(guī)從業(yè)人員需要做一些準(zhǔn)備和前期規(guī)劃以迎接新標(biāo)準(zhǔn)。

來(lái)源：IT168

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時(shí)須獲得授權(quán)并注明來(lái)源“中國(guó)產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點(diǎn)和立場(chǎng)。版權(quán)事宜請(qǐng)聯(lián)系：010-65363056。

延伸閱讀