Szyfrowanie dzierżawy

Po utworzeniu dzierżawy Qlik Cloud używa wielu warstw zabezpieczeń w celu ochrony danych. Każda dzierżawa jest domyślnie oddzielona od innych unikatowo wygenerowanym zestawem kluczy szyfrowania, którymi zarządza usługa szyfrowania Qlik w celu szyfrowania zawartości w dzierżawie. Klucze każdej dzierżawy są oddzielone od kluczy, których używa Qlik do zabezpieczania komunikacji między usługami.

Qlik Cloud wykorzystuje następujące standardy szyfrowania:

• W tranzycie — szyfrowanie TLS 1.2

• W stanie spoczynku — szyfrowanie AES-256-GCM

• W ramach platformy (po uwierzytelnieniu za pośrednictwem wyznaczonego dostawcy tożsamości) — podpisane tokeny sieciowe JSON (JWT) w celu zapewnienia integralności, autentyczności i niezaprzeczalności

Klucze zarządzane przez klienta (CMK)

Niektóre ściśle regulowane branże, takie jak opieka zdrowotna, muszą przestrzegać surowych przepisów dotyczących bezpieczeństwa i zgodności. Ponadto wielu klientów komercyjnych wykorzystuje metody klasyfikacji danych dla swoich wrażliwych danych rynkowych, aby określić, czy dla określonych zestawów danych wymagane są dodatkowe techniki bezpieczeństwa. Te bardziej rygorystyczne wymagania dotyczące bezpieczeństwa mogą obejmować kontrolowanie kluczy używanych do szyfrowania i odszyfrowywania wrażliwych danych w chmurze. Qlik Cloud umożliwia korzystanie z funkcji Klucze zarządzane przez klienta, dzięki której można używać własnego klucza (BYOK) jako opcji szyfrowania do zabezpieczenia danych dzierżawy w spoczynku w chmurze Qlik.

Szyfrowanie za pomocą CMK jest stosowane na poziomie dzierżawy. Administratorzy dzierżawy mogą skonfigurować szyfrowanie dzierżawy, aby używać CMK. Qlik Cloud obsługuje następujących dostawców usług zarządzania kluczami (KMS):

• Wewnętrzna usługa zarządzania kluczami Qlik (Domyślnie)

• Amazon Web Services (AWS) KMS

Klucze zarządzane przez klienta i HIPAA

Qlik Cloud może hostować medyczne dane osobowe (Personal Health Information, PHI), które podlegają przepisom amerykańskiej ustawy Ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych z 1996 r. (HIPAA), pod warunkiem że klienci używają funkcji Klucze zarządzane przez klienta i podpiszą Umowę partnera biznesowego (Business Associate Agreement, BAA) HIPAA. Chociaż Qlik Cloud może wspierać klientów w przestrzeganiu wymagań ustawy HIPAA, klienci korzystający z Qlik Cloud są odpowiedzialni za własną zgodność z przepisami HIPAA. W celu umieszczenia PHI w Qlik Cloud używanie funkcji Klucze zarządzane przez klienta jest obowiązkowe. Aby uzyskać więcej informacji, odwiedź stronę Zaufanie i bezpieczeństwo w Qlik.

Przegląd architektury szyfrowania Qlik Cloud

Poniższy diagram przedstawia usługę szyfrowania Qlik Cloud, która szyfruje dane w dzierżawie. Jeśli Twoja dzierżawa jest skonfigurowana do używania CMK z AWS KMS, za każdym razem, gdy usługa w Qlik Cloud musi szyfrować lub odszyfrowywać dane, usługa szyfrowania wywołuje AWS KMS i używa Twojego klucza AWS KMS. W przeciwnym razie dane dzierżawy są domyślnie szyfrowane przy użyciu kluczy danych wygenerowanych za pomocą Wewnętrzna usługa zarządzania kluczami Qlik.

Obowiązki klienta związane z funkcją Klucze zarządzane przez klienta

CMK zapewnia klientom pełną kontrolę nad ich kluczami. Organizacja klienta jest odpowiedzialna za tworzenie, utrzymywanie i zarządzanie wszystkimi aspektami cyklu życia kluczy, w tym następującymi obszarami:

Konfiguracja klucza w AWS KMS

• Utworzenie konta AWS i korzystanie z KMS.

• Tworzenie kluczy i ustalanie zasad zarządzania kluczami AWS KMS związanych z uprawnieniami i rolami zarządzania tożsamością i dostępem (IAM) oraz określanie, kto może wykonywać funkcje takie jak tworzenie, wyłączanie i usuwanie kluczy.

Zarządzanie kluczami w AWS KMS

Po skonfigurowaniu dzierżawy pod kątem używania klucza AWS KMS do szyfrowania danych w stanie spoczynku odpowiadasz za zarządzanie kluczem. Klucz AWS KMS trzeba chronić przed przypadkowym usunięciem lub wyłączeniem. Qlik zaleca ustanowienie procesu związanego z tymi funkcjami zarządzania kluczami i innymi. Ponieważ są to klucze kontrolowane przez klienta, Qlik Cloud nie może uniemożliwić wyłączenia ani dezaktywacji CMK.

• Wyłączanie klucza AWS KMS. To działanie tymczasowo uniemożliwia Qlik Cloud wykonywanie wywołań API do AWS KMS w celu generowania kluczy danych (używanych do szyfrowania) i operacji deszyfrowania. Na przykład zaplanowane przeładowanie lub zadanie, które działa w tle w Qlik Cloud i wymaga zaszyfrowania lub odszyfrowania danych, zakończy się niepowodzeniem, gdy klucz (lub dostęp do klucza) będzie wyłączony. Ponowne włączenie klucza przywraca dostęp do dzierżawy.

• Usuwanie klucza AWS KMS. Spowoduje to nieodwracalne wyłączenie dzierżawy Qlik Cloud. Po zaplanowaniu usunięcia klucza dzierżawa jest natychmiast przełączana w tryb wyłączenia. Uniemożliwia to dostęp do kluczy i blokuje dzierżawę. AWS KMS ma rozbudowany proces kontroli dotyczący usuwania kluczy, który można dostosować do własnych potrzeb. Na przykład można ustawić okres oczekiwania przed usunięciem klucza i używać alarmów, a także anulować usuwanie w okresie oczekiwania.

• Rotacja klucza w AWS KMS. Podczas definiowania klucza można wybrać opcję Automatyczna rotacja klucza AWS KMS. Spowoduje to generowanie raz w roku nowego materiału kryptograficznego dla klucza KMS. AWS KMS zapisuje wszystkie poprzednie wersje materiału kryptograficznego, dzięki czemu można odszyfrować dowolne dane zaszyfrowane tym kluczem KMS. AWS KMS nie usuwa żadnego materiału wykorzystującego rotowany klucz, dopóki klucz KMS nie zostanie usunięty. Ponieważ AWS KMS odszyfrowuje w sposób przejrzysty za pomocą odpowiedniego materiału klucza, możesz bezpiecznie używać klucza rotowanego KMS i nie wpłynie to na integrację funkcji Klucze zarządzane przez klienta w Qlik Cloud. Należy pamiętać, że różni się to od całkowicie nowego klucza AWS i zmiany dostawcy klucza Qlik CMK na ten nowy klucz, co wymusza całkowite ponowne szyfrowanie dzierżawy. Zob. Konfigurowanie szyfrowania dzierżawy.

• Audyt użycia klucza — rozważ używanie narzędzi KMS do monitorowania kluczy, takich jak AWS CloudTrail, do monitorowania operacji szyfrowania.

• Kontrolowanie dostępu do kluczy — zabezpiecz zasady dotyczące kluczy, aby zapobiec niepożądanemu dostępowi lub zmianom.

• Zapewnienie dostępności klucza — utrzymuj klucz i dbaj o jego aktywność. Zapobiegaj działaniom, które mogą spowodować utratę dostępu. Podobnie jak w przypadku innych usług AWS, dane dzierżawy będą niedostępne, jeśli dostęp do AWS KMS zostanie przerwany. AWS KMS obejmuje wbudowaną odporność z wykorzystaniem regionów i stref wysokiej dostępności w celu osiągnięcia redundancji w ich infrastrukturze. Aby uzyskać więcej informacji na temat bezpieczeństwa AWS KMS, zobacz temat Odporność w usłudze zarządzania kluczami AWS.

Więcej informacji na ten temat można znaleźć w dokumentacji AWS KMS.

• Zarządzanie kluczami
• Uwierzytelnianie i kontrola dostępu
• Zabezpieczenia

Przejście z klucza pojedynczego regionu na klucz wielu regionów

Klucze zarządzane przez klienta obsługuje klucze wielu regionów w celu wspierania procesów odzyskiwania po awarii. Jeśli obecnie używasz klucza pojedynczego regionu, zalecamy utworzenie klucza wielu regionów, aby bezproblemowo korzystać z dzierżawy w regionie zapasowym w przypadku awarii w regionie podstawowym.

Informacje na temat tworzenia klucza wielu regionów zawiera temat Klucz wieloregionalny do odzyskiwania po awarii (DR) AWS KMS.

CMK — ograniczenia i uwagi

W poniższej sekcji opisano ograniczenia i uwagi związane z CMK w Qlik Cloud:

• Po skonfigurowaniu dzierżawy do korzystania z własnego CMK nie można wrócić do korzystania z szyfrowania Wewnętrzna usługa zarządzania kluczami Qlik przy użyciu innego CMK.

• CMK obsługuje tylko AWS KMS jako zewnętrznego dostawcę kluczy.

• CMK obsługuje tylko symetryczne klucze szyfrowania.

• Funkcja CMK przeszła z kluczy pojedynczego regionu na klucze wielu regionów, aby wspierać procesy odzyskiwania po awarii.

• Klucze zarządzane przez klienta nie jest dostępny z Qlik Mobile Client, Brama danych — dostęp bezpośredni ani Qlik Sense Business.