Шифрование клиента

При создании клиента Qlik Cloud использует несколько уровней безопасности для защиты данных. По умолчанию каждый клиент отделяется от остальных клиентов путем создания уникального набора ключей шифрования, которыми управляет служба шифрования Qlik с целью шифрования содержимого клиента. Ключи каждого клиента отделяются от ключей, которые Qlik использует для обеспечения безопасности обмена данными между службами.

Qlik Cloud использует следующие стандарты шифрования:

При передаче — шифрование TLS 1.2
При хранении — шифрование AES-256-GCM
В рамках платформы (после проверки подлинности с привлечением назначенного поставщика удостоверений (IdP)) — подписанные веб-токены JSON Web Token (JWT) для обеспечения целостности, аутентичности и невозможности отказа

Ключи под управлением пользователя (CMK)

Некоторые строго регулируемые отрасли, такие как здравоохранение, должны соблюдать строгие нормативные правила для обеспечения безопасности и соблюдения требований. Кроме того, многие коммерческие пользователи применяют подходы к определению категории секретности для информации, которая может повлиять на поведение рынка, чтобы определить, требуются ли дополнительные методы обеспечения безопасности для конкретных наборов данных. Эти более строгие требования к безопасности могут включить требование к управлению ключами шифрования, которые используются для шифрования и расшифровки конфиденциальных облачных данных. Qlik Cloud позволяет с помощью Ключи под управлением пользователя использовать собственный ключ (BYOK) в качестве параметра шифрования, чтобы защитить данные клиента, находящиеся на хранении в Qlik Cloud.

Шифрование с использованием CMK применяется на уровне клиента. Администраторы клиента могут настраивать использование CMK в шифровании клиента. Qlik Cloud поддерживает следующих поставщиков служб управления ключами (KMS, Key Management Service):

Внутренняя KMS Qlik (по умолчанию)
Amazon Web Services (AWS) KMS

Qlik Sense Mobile SaaS, Data Gateway — Direct Access и Data Gateway — Data Movement не поддерживают и не используют шифрование с помощью CMK. CMK поддерживает шифрование только на уровне клиента для данных клиента, находящихся на хранении. Ключ, управляемый пользователем (CMK), не используется для шифрования данных при перемещении или при хранении на мобильном устройстве или в шлюзе данных.

Функция CMK недоступна в браузере Qlik Sense Business.

Ключи под управлением пользователя и HIPAA

Qlik Cloud может размещать Персональную медицинскую информацию (ПМИ), на которую распространяется действие Закона США о передаче и защите данных учреждений здравоохранения (Закон о передаче и защите данных учреждений здравоохранения) от 1996 (HIPAA), если заказчики используют Ключи под управлением пользователя и подписывают Соглашение делового партнера HIPAA (СДП). Хотя Qlik Cloud помогает заказчикам в соблюдении нормативно-правовых требований HIPAA, заказчики, использующие Qlik Cloud, несут ответственность за самостоятельное соблюдение HIPAA. Использование Ключи под управлением пользователя является обязательным условием для помещения ПМИ в Qlik Cloud. Для получения дополнительной информации см. раздел Доверие и безопасность в Qlik.

Обзор архитектуры шифрования Qlik Cloud

На следующей диаграмме представлен обзор службы шифрования Qlik Cloud, которая шифрует данные в клиенте. Если клиент настроен для CMK с использованием AWS KMS, то каждый раз при необходимости шифрования или расшифровки данных в службе Qlik Cloud служба шифрования вызывает AWS KMS и использует ключ AWS KMS. В противном случае данные клиенты по умолчанию шифруются с использованием ключей данных, созданных с помощью Внутренняя KMS Qlik.

Архитектура шифрования клиента с использованием технологии создания собственных ключей — Архитектура шифрования Qlik Cloud с использованием CMK

Ответственность пользователя при использовании Ключи под управлением пользователя

Когда применяется CMK, пользователи полностью контролируют свои ключи. Организация пользователя несет ответственность за создание, ведение и управление в отношении всех аспектов жизненного цикла ключей, в том числе:

Настройка ключей в AWS KMS

Создание учетной записи AWS и использование KMS.
Создание ключей и учреждение политик управления ключами AWS KMS, связанных с разрешениями и ролями IAM (Identity and Access Management, управление идентификацией и доступом), а также с тем, кто может выполнять такие функции, как создание, деактивация и удаление ключей.

Управление ключами в AWS KMS

После того как клиент настроен для шифрования находящихся на хранении данных с помощью ключа AWS KMS, ответственность за управление ключом возлагается на пользователя. Важно обеспечить защиту ключа AWS KMS от случайного удаления или деактивации. Qlik рекомендует учредить процедуру для реализации этих и других функций управления ключами. Так как эти ключи находятся под управлением пользователя, Qlik Cloud не может помешать пользователю отключить или деактивировать CMK.

Деактивация ключа AWS KMS. Эта функция на время запрещает Qlik Cloud отправлять вызовы API в AWS KMS для создания ключей данных (используемых для шифрования) и выполнения операций расшифровки. Например, запланированная перезагрузка или задача, которая выполняется в фоновом режиме в Qlik Cloud и требует шифрования или расшифровки данных, завершится ошибкой, когда ключ (или доступ к ключу) деактивирован. Повторная активация ключа восстанавливает доступ к клиенту.
Удаление ключа AWS KMS. Это действие навсегда отключит клиент Qlik Cloud. Когда для ключа запланировано удаление, клиент сразу переводится в деактивированный режим. Это приводит к прекращению доступа к ключам и блокировке клиента. В AWS KMS реализован комплексный процесс управления удалением ключей, который можно настроить в соответствии со своими потребностями. Например, можно настроить период ожидания перед удалением ключа и выводить оповещения, также можно отменить удаление, пока не завершился период ожидания.
Ротация ключа в AWS KMS. При определении ключа можно выбрать параметр AWS KMSAutomatic Key Rotation (Автоматическая ротация ключей). Это приводит к созданию нового криптографического материала для ключа KMS раз в год. AWS KMS сохраняет все предыдущие версии криптографического материала, чтобы можно было расшифровать все данные, зашифрованные с использованием этого ключа KMS. AWS KMS не удаляет материал ключа, замененный в рамках ротации, пока не будет удален сам ключ KMS. Так как AWS KMS выполняет прозрачную расшифровку с использованием соответствующего материала ключа, можно безопасно использовать ключ KMS, замененный в рамках ротации, и это не повлияет на интеграцию Qlik CloudКлючи под управлением пользователя. Обратите внимание, что это отличается от абсолютно нового ключа AWS Key и миграции с поставщика ключей Qlik CMK на этот новый ключ, при которой принудительно выполняется полное повторное шифрование клиента. См. Настройка шифрования клиента.
Аудит использования ключа — рекомендуется использовать инструменты мониторинга ключей KMS, такие как AWS CloudTrail, для отслеживания операций шифрования.
Управление доступом к ключам — обеспечьте безопасность политики ключей, чтобы предотвратить нежелательный доступ или изменения.
Обеспечение доступности ключа — обслуживайте ключ и обеспечивайте его активность. Предотвращайте действия, которые могут привести к потере доступа. Как и в других службах AWS, данные клиента будут недоступными в случае нарушения доступа к AWS KMS. AWS KMS включает встроенные средства отказоустойчивости в разных регионах и зонах высокой доступности, чтобы обеспечить избыточность в пределах инфраструктуры. Для получения дополнительной информации о безопасности AWS KMS см. раздел Отказоустойчивость службы управления ключами AWS.

Для получения дополнительной информации см. документацию AWS KMS:

Переход с однозонного ключа на многозонный ключ

Ключи под управлением пользователя поддерживает многозонные ключи для обеспечения поддержки процессов аварийного восстановления. Если в данный момент используется однозонный ключ, рекомендуется создать многозонный ключ, чтобы бесшовно использовать клиент в резервной зоне в случае отказа первичной зоны.

Для получения информации о создании многозонного ключа см. раздел Многозонный ключ AWS KMS для аварийного восстановления (АВ).

Если во время ротации ключей используется новый ключ, будет в принудительном порядке открыто окно настройки многозонного ключа.

Ограничения и замечания, связанные с CMK

В следующем разделе описываются ограничения и замечания, связанные с CMK в Qlik Cloud:

После того как клиент настроен для использования собственного ключа CMK, невозможно вернуться к шифрованию Внутренняя KMS Qlik или сменить ключ на другой CMK.
CMK поддерживает только AWS KMS в качестве внешнего поставщика ключей.
CMK поддерживает только симметричные ключи шифрования.
В CMK выполнен переход с однозонных ключей на многозонные, чтобы обеспечить поддержку процессов аварийного восстановления.
Ключи под управлением пользователя не поставляется вместе с Qlik Mobile Client, Data Gateway — Direct Access и Qlik Sense Business.

Помогла ли вам эта страница?

Если вы обнаружили какую-либо проблему на этой странице и с ее содержанием — будь то опечатка, пропущенный шаг или техническая ошибка, сообщите нам об этом, чтобы мы смогли ее исправить!

Оставьте свой отзыв здесь