基于PCI_DSS的云用户数据安全标准白皮书_22页_1006kb

基于PCI DSS的云用户数据安全标准白皮书（简版）总结

核心内容概述

本白皮书由腾讯云计算（北京）有限责任公司、艾特赛克（北京）信息技术有限公司及中国云安全与新兴技术安全创新联盟联合发布，旨在为云用户和云服务提供商在基于PCI DSS标准的数据安全合规方面提供清晰的责任分摊框架和合规建议。白皮书重点围绕云环境下PCI DSS合规责任的划分、腾讯云在数据安全方面的责任模型以及合规产品介绍展开。

主要观点

1. PCI DSS标准简介

• 成立背景：2006年，VISA、MasterCard等联合成立PCI SSC，以建立统一的数据安全标准。
• 目标：保护持卡人数据，防止数据泄露，提升全球支付卡数据的安全防护水平。
• 适用范围：适用于处理、存储或传输持卡人数据的系统组件，涵盖网络、服务器、应用程序等。
• 控制结构：分为6个控制域，12个控制目标，涵盖网络、系统、应用、访问控制、审计、漏洞管理等多个方面。

2. 云环境下责任分摊模型

• 责任分摊框架：分为总体责任分摊框架和逻辑分层责任分摊框架。
• 服务模型责任划分：
  • IaaS：云服务提供商负责底层基础设施的安全，云用户负责上层应用和数据安全。
  • PaaS：云服务提供商负责平台安全，云用户负责应用和数据安全。
  • SaaS：云服务提供商负责平台和系统安全，云用户负责数据和访问控制。

3. 腾讯云数据安全责任模型

• 责任模型：腾讯云从平台层和赋能层两个层面为客户提供数据安全保障。
  • 平台层：覆盖数据安全事前防范、事中保护、事后追溯。
  • 赋能层：围绕数据全生命周期提供一站式解决方案。
• 责任分担：腾讯云负责平台安全，云用户负责数据安全、应用安全、访问控制等。

关键信息

1. 云用户与云服务商的合规责任

2. 附录A1与A2附加要求

• A1：共享托管服务提供商附加要求
  • 云服务商需实现逻辑隔离、访问控制和日志记录与存储。
• A2：SSL/TLS附加要求
  • 云用户需负责其外部支付卡数据读取设备的SSL/TLS漏洞评估和风险减轻计划。

腾讯云数据安全合规产品

腾讯云提供了多款符合PCI DSS标准的合规产品，以帮助云用户实现数据安全合规，主要包括：

合规建议

• 云用户应选择已通过PCI DSS认证的云服务提供商，以简化合规流程并提高效率。
• 在合规评估过程中，云用户可直接引用合规云服务商的评估结果。
• 对于非合规云服务商，云用户需自行提供完整的评估支持材料，导致评估流程复杂。
• 云用户应根据自身业务需求，结合第三章介绍的产品，实施必要的数据安全措施并完成合规评估。

结论

本白皮书强调了在云环境下，数据安全合规责任的分摊机制，并通过腾讯云的数据安全责任模型和合规产品，为云用户提供了一套完整的数据安全解决方案。通过清晰的责任划分和产品支持，云用户可以更高效地实现PCI DSS合规，同时提升整体数据安全防护水平。