Protezione dei dati nella VPC

Per gestire in modo sicuro i vostri dati con IBM Cloud® Virtual Private Cloud, dovete capire quali dati vengono memorizzati e crittografati. È inoltre necessario sapere come cancellare i dati personali memorizzati. La crittografia dei dati con le tue chiavi root è disponibile utilizzando un servizio di gestione delle chiavi (KMS) supportato.

Le funzioni Hyper Protect Crypto Services sono obsolete. I clienti possono utilizzare le istanze esistenti fino al 20 marzo 2027. Per ulteriori informazioni, consultare la sezione " Deprecazione di IBM Cloud Hyper Protect Crypto Services ". Per garantire una protezione continua, valuta la possibilità di migrare le tue chiavi di crittografia esistenti su un'istanza dedicata di Key Protect. Per ulteriori informazioni, consultare la Guida alla migrazione.

VPN for VPC non memorizza alcun dato del cliente diverso da quanto richiesto per configurare gateway, connessioni e politiche VPN. I dati trasmessi tramite un gateway VPN non vengono crittografati da IBM. I dati relativi alle tue specifiche configurazioni di VPN e politiche sono crittografati in transito e inattivi. I dati di configurazione della VPN vengono eliminati su richiesta dell'utente tramite l'API o la console.

Come vengono archiviati e crittografati i tuoi dati in VPC

Tutti i volumi Block Storage sono crittografati per impostazione predefinita con la crittografia gestita IBM. IBM®-le chiavi gestite vengono generate e archiviate in modo sicuro in un vault Block Storage supportato da Consul e gestito dalle operazioni IBM Cloud®.

Per maggiore sicurezza e controllo, puoi proteggere i tuoi dati con le tue chiavi root (chiamate anche chiave root del cliente o CRK). Questa funzione è comunemente chiamata BYOK (Bring Your Own Key). Le chiavi root crittografano le chiavi che proteggano i dati. Puoi importare le tue chiavi root su Key Protect oppure chiedere al servizio di gestione delle chiavi di crearne una per te.

Key Protect offre due opzioni di implementazione per soddisfare diversi requisiti di sicurezza e conformità:

Standard (multi-tenant): Una soluzione economica con conformità FIPS 140-2 Livello 3 e infrastruttura HSM condivisa. IBM gestisce le chiavi master HSM.
Dedicato (single-tenant): Maggiore sicurezza con conformità FIPS 140-3 Livello 4 (sottoposta a certificazione), partizioni HSM dedicate e isolamento completo del carico di lavoro. L'utente possiede e gestisce le proprie chiavi master senza l'accesso dell'amministratore di IBM.

Per ulteriori informazioni sulla scelta tra Standard e Dedicato, vedere Informazioni su Standard e Dedicato Key Protect.

KMS memorizza la tua chiave e la rende disponibile durante la crittografia di volume e immagine personalizzata. Key Protect fornisce la conformità a FIPS 140-2 Level 3. Il tuo materiale chiave è protetto in transito (quando è trasportato) e a riposo (quando è immagazzinato).

La crittografia gestita dal Cliente è disponibile per immagini personalizzate, volumi di avvio e volumi di dati. Quando viene eseguito il provisioning di un'istanza da una immagine personalizzata crittografata, il volume di avvio viene crittografato utilizzando la chiave root dell'immagine. È anche possibile scegliere una chiave root diversa. I volumi di dati vengono codificati utilizzando le chiavi root quando esegui il provisioning di un'istanza del server virtuale o quando crei un volume autonomo.

Le immagini e i volumi vengono crittografati utilizzando la crittografia a bustaIl processo di crittografare i dati con una chiave di crittografia dei dati e poi crittografare la chiave con una chiave root che può essere completamente gestita., in cui i dati sono protetti da più livelli di chiavi di crittografia. Per ulteriori informazioni sulla tecnologia di crittografia e sulla gerarchia delle chiavi, vedere Informazioni sulla crittografia dei dati per VPC.

Tutta l'interazione con VPN for VPC è crittografata. Ad esempio, quando utilizzi un'API o interagisci con il servizio tramite la console per configurare i gateway VPN e le connessioni VPN, tutte queste interazioni sono crittografate end - to - end. Allo stesso modo, gli elementi di dati relativi alla configurazione dell'utente vengono crittografati sia durante il trasferimento che in fase di archiviazione. Nessun dato personale o sensibile viene memorizzato, elaborato o trasmesso. I dati inattivi vengono memorizzati in un database crittografato.

Una volta eseguito il provisioning di VPN for VPC e create le connessioni di rete, la crittografia dei dati che scegli di trasmettere attraverso la rete è di tua responsabilità.

Crittografia e isolamento dei dati di storage dell'istanza

Il disco o i dischi di archiviazione dell'istanza, collegati all'istanza del server virtuale, non possono essere condivisi con altri server virtuali. Il disco o i dischi di archiviazione dell'istanza non possono essere accessibili da altri server virtuali in futuro. I dischi sono monouso, ad attacco singolo, per il server virtuale che ha richiesto lo storage dell'istanza.

I dati di archiviazione dell'istanza sono protetti con la codifica su disco. I dischi fisici utilizzati per l'archiviazione dell'istanza sono crittografati automaticamente con il forte standard di crittografia AES-256. I dati vengono decodificati automaticamente quando la propria istanza accede ai dati. Quando la tua istanza viene arrestata o eliminata, lo spazio di archiviazione sottostante viene cancellato e non recuperabile. A quel momento, i dati non sono recuperabili.

I dati vengono codificati automaticamente sul supporto fisico a livello di unità. Tuttavia, le chiavi gestite dal cliente non sono supportate per l'archiviazione dell'istanza. Per i dati sensibili, si consiglia vivamente agli utenti di utilizzare una crittografia del file system basata su software, come LUKS per Linux® o BitLocker per Windows®. Questa tecnologia consente agli utenti di crittografare interamente all'interno dell'istanza e può fornire una protezione aggiuntiva per i dati sensibili in transito tra le istanze e i supporti fisici dell'unità. Alcuni sistemi operativi forniscono anche algoritmi di crittografia certificati FIPS che possono essere utilizzati. Per un esempio di crittografia su Red Hat Enterprise Linux®, vedere Crittografia dei dispositivi a blocchi con LUKS. Per informazioni specifiche sulla crittografia di ciascun dispositivo, consultare la documentazione del sistema operativo.

Protezione dei dati sensibili nella VPC

Key Protect offre un livello di protezione più elevato, denominato “crittografia a busta”, che consiste nel crittografare una chiave di crittografia con un’altra chiave di crittografia. Questo approccio a più livelli garantisce che i dati siano protetti da più chiavi e che solo voi possiate controllare l'accesso alle chiavi principali.

L'utente controlla l'accesso alle chiavi root memorizzate nelle istanze KMS all'interno di IBM Cloud® utilizzando IBM Cloud® Identity and Access Management (IAM). Concedi l'accesso a un servizio per utilizzare le chiavi. È inoltre possibile revocare l'accesso in qualsiasi momento, ad esempio se si sospetta che le chiavi siano state compromesse. Per ulteriori informazioni sulla gestione delle chiavi di crittografia, vedere Gestione della crittografia dei dati.

VPN for VPC: Le chiavi preshared fornite dal cliente vengono crittografate prima di essere memorizzate nel database. Tutti gli altri gateway VPN di dati e la configurazione della normativa VPN sono crittografati a livello di database.

Informazioni sulle chiavi gestite dal cliente

Con Key Protect è possibile creare, importare e gestire le proprie chiavi root. Key Protect è disponibile in due opzioni di implementazione:

Standard: Un servizio multi-tenant con conformità FIPS 140-2 di livello 3, adatto alla maggior parte dei carichi di lavoro che richiedono una crittografia gestita dal cliente.
Dedicato: Un servizio single-tenant con conformità FIPS 140-3 Livello 4 (sottoposto a certificazione), che fornisce un controllo completo sulle chiavi di crittografia senza accesso di amministratore IBM.

Puoi assegnare le politiche di accesso alle chiavi, assegnare utenti o ID servizio alle chiavi o fornire l'accesso alla chiave solo a uno specifico servizio. Per informazioni sui prezzi, vedere Prezzi per Key Protect.

È possibile ruotare le chiavi di root per una maggiore sicurezza. Per ulteriori informazioni, consulta Key rotation for VPC resources.

Considera le implicazioni regionali e interregionali quando scegli di utilizzare la crittografia gestita dal cliente. Per ulteriori informazioni, vedere Considerazioni regionali e interregionali.

Informazioni su immagini e volumi crittografati gestiti dal cliente

Con la codifica gestita dal cliente, esegui il provisioning delle chiavi root per proteggere le tue risorse crittografate nel cloud. Le chiavi root vengono utilizzate come chiavi di wrapping della chiave che codificano le chiavi di crittografia che proteggono i tuoi dati. Decidi se importare le tue chiavi root esistenti o fare in modo che un KMS supportato ne crei una per te.

Ai volumi Block Storage viene assegnata una chiave di crittografia dei dati unica, generata dall'hypervisor host dell'istanza. La chiave di crittografia dei dati per ogni volume è crittografata con una passphrase LUKS univoca generata da KMS, che viene quindi crittografata dalla chiave root e memorizzata nel KMS.

Le immagini personalizzate sono crittografate dalla propria passphrase LUKS creata utilizzando QEMU. Dopo che l'immagine è crittografata, impacchettate la passphrase con il vostro CRK memorizzato nel KMS. Per ulteriori informazioni, vedi Immagini personalizzate crittografate.

Abilitazione delle chiavi gestite dal cliente per VPC

Vedi la seguente procedura per la creazione di volumi di avvio e di dati Block Storage con la crittografia gestita dal cliente

Se si sceglie Key Protect Dedicated, è necessario inizializzare l'istanza utilizzando la CLI prima di poterla utilizzare per criptare le risorse VPC. Per ulteriori informazioni, vedere Inizializzazione di Key Protect dedicato.

Utilizzo delle chiavi gestite dal cliente per VPC

Per ulteriori informazioni sulla gestione della crittografia dei dati, vedi Gestione della crittografia dei dati e la sezione sulla revoca temporanea dell'accesso rimuovendo l'autorizzazione del servizio a una chiave root.

La crittografia del collegamento tra un carico di lavoro del cliente che si trova all'esterno di IBM Cloud e un carico di lavoro che si trova all'interno di IBM Cloud è responsabilità del cliente. Vedi Crittografia in Conformità a normative e sicurezza.

Eliminazione di dati in VPC

Eliminazione delle chiavi root

Quando si elimina una chiave principale, tutte le risorse da essa protette diventano inutilizzabili. Avete un periodo di grazia di 30 giorni per ripristinare le chiavi root importate. Per ulteriori informazioni, vedere Gestione della crittografia dei dati.

Eliminazione dei volumi " Block Storage "

Per ulteriori informazioni sull'eliminazione dei volumi di installazione ( Block Storage ), consultare le domande frequenti(FAQ)per Block Storage for VPC.

Eliminazione di immagini personalizzate

Per ulteriori informazioni sull'eliminazione delle immagini personalizzate da IBM Cloud VPC, vedi Gestione di immagini personalizzate. Tieni presente tutte le istanze del server virtuale di cui hai eseguito il provisioning con un'immagine personalizzata. Per rimuovere tutti i dati associati a un'immagine personalizzata specifica, assicurati di eliminare anche tutte le istanze di cui è stato eseguito il provisioning dall'immagine personalizzata, insieme a volumi di avvio associati.

Quando si desidera eliminare un'immagine IBM Cloud VPC personalizzata che fa parte di un'offerta di catalogo privato, è necessario prima rimuovere tale immagine dalla versione associata nell'offerta di catalogo privato. Quindi, è possibile eliminare l'immagine personalizzata da IBM Cloud VPC. Per eliminare l'immagine personalizzata dal catalogo privato, vedi Obsoleto di un prodotto privato.

Eliminazione di istanze VPC

Per ulteriori informazioni sull'eliminazione di un VPC e delle relative risorse associate, vedi Eliminazione di un VPC.

La politica di conservazione dei dati di VPC descrive per quanto tempo i tuoi dati vengono conservati dopo la disattivazione del servizio. La politica di conservazione dei dati è inclusa nella descrizione del servizio IBM Cloud® Virtual Private Cloud, che puoi trovare nei Termini e avvisi di IBM Cloud.

Le configurazioni della VPN e della normativa VPN vengono eliminate su richiesta tramite l'API o l'interfaccia utente.

Ripristino dei dati cancellati per VPC

Puoi ripristinare le chiavi root eliminate che hai importato nel KMS entro 30 giorni dall'eliminazione. Per ulteriori informazioni, vedere Ripristino delle chiavi radice eliminate.

VPN for VPC non supporta il ripristino di dati eliminati.

Eliminazione di tutti i dati VPC

Per cancellare tutti i dati persistenti che IBM Cloud VPC memorizza, scegli una delle seguenti opzioni.

La rimozione dei tuoi dati personali e sensibili comporta anche la cancellazione di tutte le tue risorse IBM Cloud VPC. Assicurati di eseguire il backup dei tuoi dati prima di procedere.

Apri una richiesta di assistenza su IBM Cloud. Contatta il supporto IBM per rimuovere le informazioni personali e sensibili da IBM Cloud VPC. Per ulteriori informazioni, vedi Utilizzo del Centro di supporto.
Termina la tua sottoscrizione IBM Cloud. Dopo aver terminato la tua sottoscrizione IBM Cloud, IBM Cloud VPC elimina tutte le risorse di servizio che hai creato, che includono tutti i dati persistenti associati a queste risorse.