Chiffrement des données

Key Protect utilise des modules de sécurité matériels(HSM)de la société IBM Cloud pour générer des clés gérées par le fournisseur et effectuer des opérations de chiffrement d'enveloppe. Les modules de sécurité matériels sont des dispositifs matériels inviolables qui stockent et utilisent des clés cryptographiques sans exposer les clés à l'extérieur d'une frontière cryptographique.

L'accès à Key Protect s'effectue via HTTPS et utilise TLS (Transport Layer Security) pour chiffrer les données en transit.

Notez que seuls les codes de chiffrement TLS 1.2 et TLS 1.3 suivants sont pris en charge :

• TLS 1.2:
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES128-SHA256
  • ECDHE-RSA-AES256-SHA384
• TLS 1.3:
  • TLS_AES_256_GCM_SHA384
  • TLS_AES_128_GCM_SHA256
  • TLS_CHACHA20_POLY1305_SHA256

Si vous tentez d'utiliser un code de chiffrement qui ne figure pas sur cette liste, vous risquez de connaître des problèmes de connectivité. Mettez à jour votre client pour utiliser l'un des chiffrements pris en charge. Si vous utilisez openssl, vous pouvez utiliser la commande openssl ciphers -v sur la ligne de commande (ou, pour certaines installations de openssl, utiliser les options -s -v ) pour afficher une liste prolixe des chiffrements pris en charge par votre client.

Suppression des données

Lorsque vous supprimez une clé, le service marque la clé comme supprimé et la clé passe à l'état Détruit. Les clés dans cet état ne peuvent plus déchiffrer les données associées à la clé. Par conséquent, avant de supprimer une clé, vérifiez les données associées à la clé et assurez-vous que vous n'avez plus besoin d'y accéder. Ne supprimez pas une clé qui protège activement des données dans vos environnements de production.

Si une clé est supprimée par erreur, il est possible de la restaurer dans les 30 jours suivant sa suppression. Après 30 jours, la clé ne peut plus être restaurée. Pour plus d'informations, voir Restauration de clés.

Notez que même si la clé n'est pas restaurée, vos données restent dans ces services sous la forme chiffrée. Les métadonnées associées à une clé, comme le nom et l'historique des transitions de la clé, sont conservées dans la base de données de Key Protect.

Pour vous aider à déterminer quelles données sont protégées par une clé, vous pouvez utiliser des API Key Protect afin d'afficher les associations entre une clé et vos ressources de cloud.

Suppression de compte et suppression de données

Bien que les instances comportant des clés non supprimées ne puissent pas être supprimées, il est possible de fermer un compte IBM Cloud sans supprimer au préalable toutes les instances Key Protect. Si un compte est fermé et que des instances et des clés qui lui appartiennent existent toujours, les instances et les clés sont définitivement supprimées définitivement.

Pour plus d'informations sur la fermeture d'un compte, voir Fermeture d'un compte.

Support dans l'Union européenne

Key Protect a mis en place des mesures de sécurité supplémentaires pour protéger vos ressources Key Protect au sein de l' Union européenne (UE).

Si vous utilisez des ressources Key Protect dans la région de Francfort, en Allemagne, pour traiter des données personnelles pour les citoyens européens, vous pouvez activer le paramètre Pris en charge dans l'Union européenne pour votre compte IBM Cloud compte. Pour en savoir plus, voir Activer l'assistance de l'UE pour votre compte.

Règlement général sur la protection des données (RGPD)

Le règlement général sur la protection des données (RGPD) cherche à créer un cadre juridique harmonisé pour la protection des données dans l'Union européenne. Ce règlement vise à redonner aux citoyens le contrôle de leurs données personnelles et à imposer des règles strictes à toute entité qui héberge et traite ces données.

IBM s'engage à fournir aux partenaires commerciaux IBM des solutions innovantes en matière de confidentialité des données, de sécurité et de gouvernance pour les aider à se préparer au RGPD.

Pour assurer la conformité au RGPD de vos Key Protect ressources, activez la configuration prise en charge par l'UE pour votre compte IBM Cloud. Vous pouvez en apprendre davantage sur la façon dont Key Protect traite et protège les données personnelles en passant en revue les addenda suivants.

• IBM Key Protect for IBM Cloud Data Sheet Addendum(DSA)
• IBM Data Processing Addendum(DPA)

Prise en charge de la loi HIPAA (Health Insurance Portability and Accountability Act)

Key Protect ne traite pas les informations personnelles, ne les stocke pas, ne les transmet pas et n'interagit en aucun cas avec ces dernières. Par conséquent, le service peut être intégré à toute offre HIPAA sans incidence sur sa conformité à HIPAA. Vous pouvez utiliser Key Protect pour générer et gérer des clés pour les applications prêtes pour la conformité à la loi HIPAA. Ces clés sont protégées par Key Protect l'ancre de confiance, qui s'appuie sur un module de sécurité matériel (HSM) inviolable et certifié FIPS 140-2 niveau 3 (standard), ou un HSM de niveau 4 (dédié), dont la certification est en cours (Standard), ou un HSM certifié FIPS 140-3 niveau 4 (Dedicated), dont la certification est en cours.

Si vous ou votre société êtes une entité couverte telle que définie par la loi HIPAA, vous pouvez activer le paramètre HIPAA pris en charge pour votre compte IBM Cloud. Pour en savoir plus, consultez la section « Activation du paramètre « HIPAA Supported » ».

ISO 27001, 27017, 27018

Key Protect est certifié ISO 27001, 27017, 27018. Vous pouvez consulter les certificats de conformité en vous rendant sur Respect des règles relatives à la IBM Cloud.

SOC (Service Organization Controls)

Key Protect est conforme à SOC (Service Organization Control) pour les types suivants :

• SOC 1 Type 2
• sphère de contrôle (SOC) 2 Type 1
• SOC 2 Type 2
• SOC 3

Pour plus d'informations sur la demande d'un rapport SOC d' IBM Cloud, consultez Respect des règles relatives à la IBM Cloud.

PCI DSS

Key Protect satisfait les contrôles en matière de normes de sécurité des données PCI (Payment Card Industry) pour protéger les données des titulaires de carte de paiement. Pour plus d'informations sur la demande d'une attestation de conformité, voir Conformité sur IBM Cloud ou contactez un représentant d' IBM.