Przeskocz do zawartości głównej Skip to complementary content

Szyfrowanie dzierżawy

Po utworzeniu dzierżawy Qlik Cloud używa wielu warstw zabezpieczeń w celu ochrony danych. Każda dzierżawa jest domyślnie oddzielona od innych unikatowo wygenerowanym zestawem kluczy szyfrowania, którymi zarządza usługa szyfrowania Qlik w celu szyfrowania zawartości w dzierżawie. Klucze każdej dzierżawy są oddzielone od kluczy, których używa Qlik do zabezpieczania komunikacji między usługami.

Qlik Cloud wykorzystuje następujące standardy szyfrowania:

  • W tranzycie — szyfrowanie TLS 1.2

  • W stanie spoczynku — szyfrowanie AES-256-GCM

  • W ramach platformy (po uwierzytelnieniu za pośrednictwem wyznaczonego dostawcy tożsamości) — podpisane tokeny sieciowe JSON (JWT) w celu zapewnienia integralności, autentyczności i niezaprzeczalności

Klucze zarządzane przez klienta (CMK)

Niektóre ściśle regulowane branże, takie jak opieka zdrowotna, muszą przestrzegać surowych przepisów dotyczących bezpieczeństwa i zgodności. Ponadto wielu klientów komercyjnych wykorzystuje metody klasyfikacji danych dla swoich wrażliwych danych rynkowych, aby określić, czy dla określonych zestawów danych wymagane są dodatkowe techniki bezpieczeństwa. Te bardziej rygorystyczne wymagania dotyczące bezpieczeństwa mogą obejmować kontrolowanie kluczy używanych do szyfrowania i odszyfrowywania wrażliwych danych w chmurze. Qlik Cloud umożliwia korzystanie z funkcji Klucze zarządzane przez klienta, dzięki której można używać własnego klucza (BYOK) jako opcji szyfrowania do zabezpieczenia danych dzierżawy w spoczynku w chmurze Qlik.

Szyfrowanie za pomocą CMK jest stosowane na poziomie dzierżawy. Administratorzy dzierżawy mogą skonfigurować szyfrowanie dzierżawy, aby używać CMK. Qlik Cloud obsługuje następujących dostawców usług zarządzania kluczami (KMS):

  • Wewnętrzna usługa zarządzania kluczami Qlik (Domyślnie)

  • Amazon Web Services (AWS) KMS

InformacjaQlik Forts, Qlik Sense Mobile SaaS i Brama danych — dostęp bezpośredni nie obsługują ani nie używają szyfrowania przy użyciu CMK. W przypadku danych dzierżawy przechowywanych w stanie spoczynku CMK obsługuje szyfrowanie tylko na poziomie dzierżawy. Funkcja CMK nie jest używana z szyfrowaniem danych w ruchu ani z danymi w stanie spoczynku na urządzeniu mobilnym, w forcie lub bramie danych.
InformacjaFunkcja CMK jest niedostępna w przeglądarce Qlik Sense Business.

Klucze zarządzane przez klienta i HIPAA

Qlik Cloud może hostować medyczne dane osobowe (Personal Health Information, PHI), które podlegają przepisom amerykańskiej ustawy Ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych z 1996 r. (HIPAA), pod warunkiem że klienci używają funkcji Klucze zarządzane przez klienta i podpiszą Umowę partnera biznesowego (Business Associate Agreement, BAA) HIPAA. Chociaż Qlik Cloud może wspierać klientów w przestrzeganiu wymagań ustawy HIPAA, klienci korzystający z Qlik Cloud są odpowiedzialni za własną zgodność z przepisami HIPAA. W celu umieszczenia PHI w Qlik Cloud używanie funkcji Klucze zarządzane przez klienta jest obowiązkowe. Aby uzyskać więcej informacji, odwiedź stronę Zaufanie i bezpieczeństwo w Qlik.

Przegląd architektury szyfrowania Qlik Cloud

Poniższy diagram przedstawia usługę szyfrowania Qlik Cloud, która szyfruje dane w dzierżawie. Jeśli Twoja dzierżawa jest skonfigurowana do używania CMK z AWS KMS, za każdym razem, gdy usługa w Qlik Cloud musi szyfrować lub odszyfrowywać dane, usługa szyfrowania wywołuje AWS KMS i używa Twojego klucza AWS KMS. W przeciwnym razie dane dzierżawy są domyślnie szyfrowane przy użyciu kluczy danych wygenerowanych za pomocą Wewnętrzna usługa zarządzania kluczami Qlik.

Architektura szyfrowania Qlik Cloud z CMK

Architektura szyfrowania dzierżawy z własnym kluczem

Obowiązki klienta związane z funkcją Klucze zarządzane przez klienta

CMK zapewnia klientom pełną kontrolę nad ich kluczami. Organizacja klienta jest odpowiedzialna za tworzenie, utrzymywanie i zarządzanie wszystkimi aspektami cyklu życia kluczy, w tym następującymi obszarami:

Konfiguracja klucza w AWS KMS

  • Utworzenie konta AWS i korzystanie z KMS.

  • Tworzenie kluczy i ustalanie zasad zarządzania kluczami AWS KMS związanych z uprawnieniami i rolami IAM oraz określanie, kto może wykonywać funkcje takie jak tworzenie, wyłączanie i usuwanie kluczy.

Zarządzanie kluczami w AWS KMS

Po skonfigurowaniu dzierżawy pod kątem używania klucza AWS KMS do szyfrowania danych w stanie spoczynku odpowiadasz za zarządzanie kluczem. Klucz AWS KMS trzeba chronić przed przypadkowym usunięciem lub wyłączeniem. Qlik zaleca ustanowienie procesu związanego z tymi funkcjami zarządzania kluczami i innymi. Ponieważ są to klucze kontrolowane przez klienta, Qlik Cloud nie może uniemożliwić wyłączenia ani dezaktywacji CMK.

  • Wyłączanie klucza AWS KMS. To działanie tymczasowo uniemożliwia Qlik Cloud wykonywanie wywołań API do AWS KMS w celu generowania kluczy danych (używanych do szyfrowania) i operacji deszyfrowania. Na przykład zaplanowane przeładowanie lub zadanie, które działa w tle w Qlik Cloud i wymaga zaszyfrowania lub odszyfrowania danych, zakończy się niepowodzeniem, gdy klucz (lub dostęp do klucza) będzie wyłączony. Ponowne włączenie klucza przywraca dostęp do dzierżawy.

  • Usuwanie klucza AWS KMS. Spowoduje to nieodwracalne wyłączenie dzierżawy Qlik Cloud. Po zaplanowaniu usunięcia klucza dzierżawa jest natychmiast przełączana w tryb wyłączenia. Uniemożliwia to dostęp do kluczy i blokuje dzierżawę. AWS KMS ma rozbudowany proces kontroli dotyczący usuwania kluczy, który można dostosować do własnych potrzeb. Na przykład można ustawić okres oczekiwania przed usunięciem klucza i używać alarmów, a także anulować usuwanie w okresie oczekiwania.

  • Rotacja klucza w AWS KMS. Podczas definiowania klucza można wybrać opcję Automatyczna rotacja klucza AWS KMS. Spowoduje to generowanie raz w roku nowego materiału kryptograficznego dla klucza KMS. AWS KMS zapisuje wszystkie poprzednie wersje materiału kryptograficznego, dzięki czemu można odszyfrować dowolne dane zaszyfrowane tym kluczem KMS. AWS KMS nie usuwa żadnego materiału wykorzystującego rotowany klucz, dopóki klucz KMS nie zostanie usunięty. Ponieważ AWS KMS odszyfrowuje w sposób przejrzysty za pomocą odpowiedniego materiału klucza, możesz bezpiecznie używać klucza rotowanego KMS i nie wpłynie to na integrację funkcji Klucze zarządzane przez klienta w Qlik Cloud.

  • Audyt użycia klucza — rozważ używanie narzędzi KMS do monitorowania kluczy, takich jak AWS CloudTrail, do monitorowania operacji szyfrowania.

  • Kontrolowanie dostępu do kluczy — zabezpiecz zasady dotyczące kluczy, aby zapobiec niepożądanemu dostępowi lub zmianom.

  • Zapewnienie dostępności klucza — utrzymuj klucz i dbaj o jego aktywność. Zapobiegaj działaniom, które mogą spowodować utratę dostępu. Podobnie jak w przypadku innych usług AWS, dane dzierżawy będą niedostępne, jeśli dostęp do AWS KMS zostanie przerwany. AWS KMS obejmuje wbudowaną odporność z wykorzystaniem regionów i stref wysokiej dostępności w celu osiągnięcia redundancji w ich infrastrukturze. Aby uzyskać więcej informacji na temat bezpieczeństwa AWS KMS, zobacz temat Odporność w usłudze zarządzania kluczami AWS.

Więcej informacji na ten temat można znaleźć w dokumentacji AWS KMS.

CMK — ograniczenia i uwagi

W poniższej sekcji opisano ograniczenia i uwagi związane z CMK w Qlik Cloud:

  • Dzierżawa, niezależnie od tego, czy nowa czy już istniejąca, nie może zawierać żadnych danych podczas konfigurowania szyfrowania dzierżawy przy użyciu CMK. Jeśli w dzierżawie będą znajdować się dane, podczas konfiguracji zostanie wyświetlony komunikat o błędzie. Można jednak skonfigurować IdP przed skonfigurowaniem szyfrowania.
  • Po skonfigurowaniu dzierżawy do korzystania z własnego CMK nie można wrócić do korzystania z szyfrowania przy użyciu Wewnętrzna usługa zarządzania kluczami Qlik.

  • Tworzenie nowego klucza KMS do użytku z dzierżawą Qlik skonfigurowaną do używania CMK nie jest obsługiwane w tej wersji.

  • CMK obsługuje tylko AWS KMS jako zewnętrznego dostawcę kluczy.

  • CMK obsługuje tylko symetryczne klucze szyfrowania.

  • CMK obsługuje klucze pojedynczego regionu.

  • Funkcja Klucze zarządzane przez klienta nie jest dostępna w przypadku Qlik Forts, Qlik Mobile Client, Brama danych — dostęp bezpośredni i Qlik Sense Business.