Crittografia dati

Key Protect utilizza IBM Cloud HSM(hardware security modules) per generare il materiale della chiave gestito dal provider ed eseguire operazioni di crittografia envelope. Gli HSM sono dispositivi hardware antimanomissione che archiviano ed utilizzano il materiale della chiave crittografico senza esporre le chiavi all'esterno di un confine crittografico.

L'accesso a Key Protect avviene tramite HTTPS e utilizza Transport Layer Security ( TLS ) per criptare i dati in transito.

Si noti che sono supportati solo i seguenti cifrari TLS 1.2 e TLS 1.3:

• TLS 1.2:
  • ECDHE-ECDSA-AES128-GCM-SHA256
  • ECDHE-ECDSA-AES256-GCM-SHA384
  • ECDHE-RSA-AES128-GCM-SHA256
  • ECDHE-RSA-AES256-GCM-SHA384
  • ECDHE-ECDSA-AES128-SHA256
  • ECDHE-ECDSA-AES256-SHA384
  • ECDHE-RSA-AES128-SHA256
  • ECDHE-RSA-AES256-SHA384
• TLS 1.3:
  • TLS_AES_256_GCM_SHA384
  • TLS_AES_128_GCM_SHA256
  • TLS_CHACHA20_POLY1305_SHA256

Se si tenta di utilizzare una cifratura non presente in questo elenco, potrebbero verificarsi problemi di connettività. Aggiorna il tuo client per utilizzare una delle cifrature supportate. Se si sta utilizzando openssl, è possibile utilizzare il comando openssl ciphers -v dalla riga comandi (o, per alcune installazioni di openssl, utilizzare le opzioni -s -v ) per visualizzare un elenco dettagliato delle cifrature supportate dal client.

Eliminazione dei dati

Quando si elimina una chiave, il servizio la contrassegna come eliminata e la chiave passa allo stato “Destroyed ”. Le chiavi in questo stato non possono più decodificare i dati associati alla chiave. Pertanto, prima di eliminare una chiave, controlla i dati ad essa associati e assicurati di non averne più bisogno. Non eliminare una chiave che sta proteggendo i dati in modo attivo nei tuoi ambienti di produzione.

Se una chiave viene eliminata per errore, è possibile ripristinarla entro 30 giorni dall'eliminazione della chiave. Dopo 30 giorni, la chiave non può più essere ripristinata. Per ulteriori informazioni, consulta Ripristino delle chiavi.

Tieni presente che anche se la chiave non viene ripristinata, i tuoi dati rimangono in tali servizi nel suo formato crittografato. I metadati associati a una chiave, come il nome e la cronologia della chiave, vengono conservati nel database Key Protect.

Per aiutarvi a determinare quali dati sono protetti da una chiave, potete utilizzare le API di Key Protect per visualizzare le associazioni tra una chiave e le vostre risorse cloud.

Cancellazione account ed eliminazione dati

Sebbene le istanze che contengono chiavi non eliminate non possano essere eliminate, è possibile chiudere un account IBM Cloud senza prima eliminare tutte le istanze Key Protect. Se un account è chiuso e le istanze e le chiavi che vi appartengono esistono ancora, le istanze e le chiavi vengono eliminate in modo permanente.

Per ulteriori informazioni sulla chiusura di un account, consulta Chiusura di un account.

Supporto UE

Key Protect ha messo in atto ulteriori misure di controllo per proteggere le risorse del tuo Key Protect nell’ Unione Europea (UE).

Se utilizzi le risorse di Key Protect nella regione di Francoforte, in Germania, per trattare i dati personali dei cittadini europei, puoi abilitare l'impostazione "Supporto UE" per il tuo IBM Cloud conto. Per saperne di più, consultate Abilitazione del supporto UE per il vostro account.

Regolamento generale sulla protezione dei dati (GDPR, General Data Protection Regulation)

Il GDPR intende creare un quadro normativo armonizzato in materia di protezione dei dati in tutta l'UE. Il regolamento mira a restituire ai cittadini il controllo dei propri dati personali e impone regole rigide a qualsiasi entità che ospita ed elabora tali dati.

IBM è impegnato a fornire client e IBM Partner commerciali che offrono soluzioni innovative in materia di protezione dei dati, sicurezza e governance per assisterli nel loro percorso verso la conformità al GDPR. readiness.

Per garantire la conformità al GDPR Key Protect risorse, abilita l'impostazione supportata dall'UE per il tuo account IBM Cloud. Per saperne di più su come Key Protect elabora e protegge i dati personali esaminando i seguenti addendums.

• IBM Key Protect for IBM Cloud DSA(Data Sheet Addendum)
• IBM DPA(Data Processing Addendum)

Supporto HIPAA

Key Protect non elabora, memorizza, trasmette o in altro modo si interfaccia con le PHI (personal health information). Pertanto, il servizio può essere integrato con qualsiasi offerta HIPAA senza ripercussioni sulla sua idoneità HIPAA. Come tale, è possibile utilizzare Key Protect per creare e gestire le chiavi per le applicazioni pronte HIPAA. Tali chiavi sono protette dal Key Protect ancora di fiducia, che è supportato da un modulo di sicurezza hardware (HSM) resistente alle manomissioni e certificato FIPS 140-2 Livello 3 (Standard), oppure un HSM FIPS 140-3 Livello 4 (Dedicated), in attesa di certificazione (Standard), oppure da un HSM di livello 4 FIPS 140-3 (Dedicated), in attesa di certificazione.

Se tu o la tua azienda rientrate nella definizione di "entità soggetta alla normativa HIPAA", potete attivare l'impostazione "Supporto HIPAA" per il vostro account IBM Cloud. Per ulteriori informazioni, consultare Attivazione dell'impostazione "Supporto HIPAA ".

ISO 27001, 27017, 27018

Key Protect è certificato ISO 27001, 27017, 27018. È possibile visualizzare le certificazioni di conformità visitando la sezione "Conformità" sul sito IBM Cloud.

SOC (Service Organization Control)

Key Protect soddisfa la conformità SOC (Service Organization Control) per i seguenti tipi:

• SOC 1 Type 2
• SOC 2 Type 1
• SOC 2 Type 2
• SOC 3

Per informazioni su come richiedere un rapporto SOC dell’ IBM Cloud, consultare la sezione “Conformità” sul sito IBM Cloud.

PCI DSS

Key Protect soddisfa i controlli per gli standard di sicurezza dei dati PCI (Payment Card Industry) per proteggere i dati del titolare della carta. Per informazioni sulla richiesta di attestazione di conformità, consultare Conformità su IBM Cloud oppure contattare un rappresentante di IBM.