資料安全與合規

IBM® Key Protect for IBM Cloud® 已制定資料安全策略， 以滿足您的合規需求，並確保您的資料在雲端中 始終安全且受到保護。

密鑰管理

部署所需的秘密使用 HashiCorp Vault 進行自動化管理，不會儲存在圖表、GitHub, 或部署腳本中。

安全性就緒狀態

透過針對系統、網路與安全設計繼承 Key Protect 的最佳作法，IBM 會確保安全性就緒狀態。

若要進一步了解 IBM Cloud 各處的安全控制措施， 請參閱 「 我該如何確認我的資料是安全的？」。

資料加密

Key Protect 使用 IBM Cloud 硬體安全模組(HSM) 來產生提供者管理的金鑰資料，並執行 封套加密 作業。 HSM 是一種防竄改的硬體裝置，用於儲存及使用加密金鑰資料，而不會將金鑰公開在加密界限之外。

Key Protect 的存取透過 HTTPS 進行，並使用傳輸層安全性 ( TLS ) 加密傳輸中的資料。

請注意，僅支援下列 TLS 1.2 及 TLS 1.3 密碼：

  • TLS 1.2:
    • ECDHE-ECDSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES256-GCM-SHA384
    • ECDHE-RSA-AES128-GCM-SHA256
    • ECDHE-RSA-AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-SHA256
    • ECDHE-ECDSA-AES256-SHA384
    • ECDHE-RSA-AES128-SHA256
    • ECDHE-RSA-AES256-SHA384
  • TLS 1.3:
    • TLS_AES_256_GCM_SHA384
    • TLS_AES_128_GCM_SHA256
    • TLS_CHACHA20_POLY1305_SHA256

如果您嘗試使用不在此清單中的密碼，則可能會遇到連線功能問題。 請更新您的用戶端，以使用其中一個支援的密碼。 如果您使用 openssl，則可以在指令行使用指令 openssl ciphers -v (或者，對於 openssl 的部分安裝，請使用 -s -v 選項)，以顯示用戶端支援哪些密碼的詳細清單。

資料刪除

當您刪除一個金鑰時，該服務會將該金鑰標記為已刪除，且該金鑰會轉為「已銷毀」狀態。 處於此狀態的金鑰無法再解密與金鑰相關聯的資料。 因此，在刪除金鑰之前，請先檢視與該金鑰相關聯的資料，並確認您已不再需要存取該資料。 請不要刪除在正式作業環境中正在保護資料的金鑰。

如果刪除金鑰時發生錯誤，則可以在刪除金鑰的 30 天內還原金鑰。 30 天之後，無法再還原金鑰。 如需相關資訊，請參閱 還原金鑰。

請注意，即使未還原金鑰，您的資料仍會以其加密形式保留在那些服務中。 與金鑰相關聯的 meta 資料（例如金鑰轉移歷程及名稱）保存在 Key Protect 資料庫中。

為了幫助您確定哪些資料受到金鑰保護，您可以使用 Key Protect API 來 檢視金鑰與雲端資源之間的關聯。

帳戶取消及資料刪除

雖然無法刪除其中具有未刪除金鑰的實例，但可以關閉 IBM Cloud 帳戶，而不先刪除所有 Key Protect 實例。 如果帳戶已關閉，且屬於該帳戶的實例和金鑰仍然存在，則會永久硬性刪除實例和金鑰。

如需關閉帳戶的相關資訊，請參閱 關閉帳戶。

法規遵循就緒狀態

Key Protect 符合對廣域、產業與區域法規遵循標準的控制，包含 GDPR、HIPAA 與 ISO 27001/27017/27018 以及其他。

如需查看IBM Cloud 的完整合規 認證清單，請參閱 IBM Cloud 網站上的「合規」頁面。

歐盟支援

Key Protect 已實施額外管控措施，以 保護您位於 歐洲聯盟（EU）境內的 Key Protect 資源。

如果您在 德國法蘭克福區域使用 Key Protect 資源來處理歐洲公民的個人資料，您 可以為您的 IBM Cloud 帳戶。 要了解更多信息，請參閱 為您的帳戶啟用歐盟支持。

一般資料保護規範 (GDPR)

GDPR 尋求在整個歐盟建立統一的資料保護法架構。 該法規旨在讓公民恢復對其個人資料的控制，並對管理和處理該資料的任何實體實施嚴格的規則。

IBM 已確定要提供用戶端及 IBM 具有創新資料隱私權、安全及控管解決方案的事業夥伴，可協助他們邁向 GDPR 就緒狀態。

確保您的 GDPR 合規性 Key Protect 資源， 啟用 IBM Cloud 帳戶的歐盟支援設定。 您可以進一步瞭解如何 Key Protect 處理程序並透過檢閱下列附加程式來保護個人資料。

HIPAA 支援

Key Protect 不會處理、儲存、傳輸個人性能資訊 (PHI)，或以其他方式建立介面。 因此，服務可以與任何 HIPAA 供應項目整合，而不會影響其 HIPAA 就緒。 因此，您可以使用 Key Protect，以產生及管理 HIPAA 備妥應用程式的金鑰。 這些金鑰受到 Key Protect 信任錨點，由 硬體安全模組 (HSM)，具有防篡改功能且通過 FIPS 140-2 Level 3 認證 (標準) 的硬體安全模組 (HSM)，或 FIPS 140-3 Level 4 (專用)、認證中的 HSM。

若您或您的公司屬於《健康保險可攜性與責任法案》（HIPAA）所定義的「受規範實體」，您可以為您的IBM Cloud 帳戶啟用「支援 HIPAA」設定 如需進一步了解，請參閱 「 啟用 HIPAA 支援」設定。

ISO 27001、27017、27018

Key Protect 已受到 ISO 27001、27017 與 27018 的認證。 您可造訪 IBM Cloud 網站的「合規」頁面，查看合規認證

服務組織控制 (SOC)

Key Protect 符合下列類型的「服務組織控制 (SOC)」相符性:

  • SOC 1 類型 2
  • SOC 2 Type 1
  • SOC 2 類型 2
  • SOC 3

如需要求 IBM Cloud SOC 報告的相關資訊， 見 IBM Cloud 上的相符性。

PCI DSS

Key Protect 符合「支付卡產業 (PCI)」資料安全標準的控制項，以保護持卡人資料。 如需要求認證的相關資訊，請參閱 IBM Cloud 或聯絡 IBM 的代表。