Conformità agli standard di sicurezza delle informazioni

Panoramica

La conformità allo standard PCI DSS (Payment Card Industry Data Security Standard) è necessaria per tutti gli operatori che archiviano, elaborano o trasmettono dati di carte di credito. Sviluppato dalle principali società emittenti di carte di credito, lo standard PCI DSS stabilisce le misure atte a garantire la protezione dei dati e la coerenza delle procedure e dei processi di sicurezza relativi alle transazioni finanziarie online. Come stabilito dal PCI Security Standards Council, l'obbligo di conformità allo standard PCI DSS include:

• Sviluppo e mantenimento di una politica di sicurezza che copra tutti gli aspetti aziendali
• Installazione di firewall per la protezione dei dati
• Codifica dei dati delle carte di credito trasmessi attraverso le reti pubbliche
• Utilizzo e regolare aggiornamento di software antivirus
• Impostazione di password sicure e altri protocolli di cybersicurezza
• Implementazione di rigidi controlli di accesso e monitoraggio dell'accesso ai dati dell'account

Per i commercianti e i fornitori di servizi che elaborano grossi volumi di transazioni finanziarie online, la conformità allo standard PCI DSS viene verificata durante visite di controllo annuali eseguite da un QSA (Qualified Security Assessor) indipendente. 

Risorse

PCI Security

Certificazione Akamai

Il documento AoC (Attestation of Compliance) di Akamai funge da prova per i nostri clienti del fatto che i nostri servizi inclusi siano conformi allo standard di sicurezza PCI DSS v 3.2.1.

In relazione alla nostra conformità allo standard PCI DSS, Akamai esegue, con cadenza trimestrale, un test di penetrazione esterno di terze parti sui sistemi inclusi nell'ambito della nostra valutazione. I risultati di questi test di penetrazione, insieme alla documentazione e/o alla certificazione relativa alla conformità, sono disponibili per i clienti ai sensi dell'accordo di non divulgazione (NDA).

Download/Link

• AoC (Attestation of Compliance)
• Matrice delle responsabilità
• Matrice delle responsabilità (servizi di cloud computing)
• Elenco di Akamai sul registro dei fornitori di servizi globali Visa
• Elenco dei fornitori di servizi approvati Mastercard (compresa Akamai)

Servizi di Akamai applicabili

• CDN sicura con Enhanced TLS e relativi servizi eseguiti
• Prodotti per la delivery sull'edge come Ion, API Acceleration e Adaptive Media Delivery, durante l'esecuzione sulla CDN sicura
• EdgeWorkers, durante l'esecuzione sulla CDN sicura
• Servizi di gestione delle performance digitali mPulse
• Prodotti per la sicurezza di app e API, come App & API Protector (incluso il componente aggiuntivo Malware Protection), Account Protector, Kona Site Defender e Bot Manager (Standard e Premier), durante l'esecuzione sulla CDN sicura
• Prodotti per la sicurezza interna al browser, tra cui  Client-Side Protection & Compliance e Audience Hijacking Protector
• Secure Internet Access Enterprise (in precedenza noto come Enterprise Threat Protector)
• Akamai MFA
• Le seguenti soluzioni di cloud computing: CPU dedicata, CPU condivisa e alta memoria

Domande&risposte

Akamai è certificata PCI DSS?

Sì, Akamai è certificata come fornitore di servizi PCI DSS Livello 1, il livello di valutazione più alto possibile. L'attestazione di conformità per PCI DSS e le matrici delle responsabilità sono disponibili per il pubblico ai link riportati qui sopra.

Se il mio sito web utilizza Akamai, come posso assicurarmi che sia compatibile con lo standard PCI DSS?

I clienti sono responsabili della propria certificazione PCI DSS e devono richiedere a un QSA (Qualified Security Assessor) di confermare i propri controlli e ottenere la certificazione. I clienti e i rispettivi QSA possono affidarsi all'AoC (Attestation of Compliance) di Akamai affinché l'ambito in cui risiedono i dati delle carte di credito utilizzi i servizi Akamai compatibili con lo standard PCI DSS. Le matrici delle responsabilità per PCI DSS di Akamai (vedere i link riportati qui sopra) illustrano le responsabilità di Akamai e dei suoi clienti rispetto a ogni singolo requisito PCI DSS. Il team del vostro account può fornirvi la nostra guida alla configurazione PCI DSS per i clienti, contenente ulteriori dettagli. 

Akamai è elencata nel registro globale dei provider di servizi Visa e nell'elenco dei fornitori di servizi compatibili con MasterCard?
Sì. Akamai è presente negli elenchi forniti da Visa e Mastercard. Ciò dimostra che Akamai ha rispettato tutti i requisiti applicabili del programma di queste importanti società emittenti di carte di credito.  

Posso esaminare un'analisi riassuntiva delle scansioni di vulnerabilità e dei test di penetrazione esterni effettuati a cadenza trimestrale dagli ASV (Approved Scanning Vendor) di Akamai?
Sì. Il team del vostro account può fornire queste informazioni previo accordo di non divulgazione (NDA) standard.

Panoramica

Il SOC (System and Organization Controls) è uno standard di sicurezza promulgato dall'AICPA (American Institute of Certified Public Accountants), che effettua segnalazioni sui controlli direttamente legati alla sicurezza, alla disponibilità, all'integrità di elaborazione, alla riservatezza e alla privacy in un'organizzazione di servizi.

Risorse

Suite di servizi AICPA SOC

Certificazione Akamai

Akamai riceve rapporti SOC 2 Tipo 2 annuali, il che dimostra che i suoi controlli di sicurezza vengono continuamente sottoposti a controllo nel corso dell'anno.

Servizi di Akamai applicabili

Il rapporto primario SOC 2 Tipo 2 di Akamai descrive i criteri del servizio fiduciario di disponibilità e sicurezza. I servizi Akamai oggetto di questo rapporto sono i seguenti:

• CDN sicura con Enhanced TLS;
• Servizi di mitigazione degli attacchi DDoS di Prolexic;
• Portale per i clienti Akamai Control Center
• Sistemi aggiuntivi che supportano la gestione degli accessi, la gestione delle chiavi e altri sistemi infrastrutturali.

Akamai Connected Cloud comprende molti sistemi distribuiti diversi che svolgono varie funzioni e supportano i nostri prodotti e servizi. La nostra CDN sicura con Enhanced TLS e i sistemi di supporto descritti nel rapporto sono i server e i sistemi distribuiti utilizzati per distribuire e proteggere le proprietà web su cui transitano o che elaborano le informazioni sensibili degli utenti finali. I servizi Akamai in esecuzione sulla CDN sicura con Enhanced TLS sfruttano tutti i controlli di sicurezza e disponibilità testati nel rapporto primario SOC 2 Tipo 2. Esempi di tali servizi che possono essere eseguiti sulla CDN sicura con Enhanced TLS includono:

• Prodotti per la delivery sull'edge, come Ion e Dynamic Site Delivery, durante l'esecuzione sulla CDN sicura con Enhanced TLS
• Prodotti per la sicurezza di app e API, come App & API Protector, Kona Site Defender, Kona DDoS Defender, Web Application Protector e Bot Manager Standard, durante l'esecuzione sulla CDN sicura con Enhanced TLS

Un rapporto aggiuntivo SOC 2 Tipo 2 di Akamai relativo ai criteri del servizio fiduciario di disponibilità e sicurezza in relazione alle seguenti soluzioni:

• Bot Manager Premier
• Account Protector

Il rapporto SOC 2 Tipo 2 di Akamai per il servizio Akamai Guardicore Segmentation comprende i criteri del servizio fiduciario di sicurezza, disponibilità e riservatezza.

Il rapporto SOC 2 Tipo 2 di Akamai per il servizio Akamai Identity Cloud comprende tutti e cinque i criteri del servizio fiduciario.

Akamai stila anche un rapporto SOC 2 Tipo 1 relativo ai criteri del servizio fiduciario di disponibilità e sicurezza in relazione ai seguenti servizi di cloud computing:

• Computing:
  • Elaborazione CPU dedicata
  • Elaborazione CPU condivisa
  • Elaborazione ad alta memoria
  • Elaborazione GPU
  • Linode Kubernetes Engine
• Storage:
  • Archiviazione a oggetti
  • Archiviazione a blocchi
  • Backup
• Rete:
  • Firewall cloud
  • Protezione dagli attacchi DDoS
  • NodeBalancers
• Strumenti di sviluppo:
  • API
• Cloud Manager

Domande&risposte

Come posso ottenere una copia del rapporto SOC 2?
Il team del vostro account Akamai può fornirvi una copia. 

Quali sono le regioni coperte?
I rapporti SOC 2 di Akamai coprono i servizi di Akamai in generale e non si limitano a specifiche regioni.

Viene fornita una lettera di copertura del periodo che parte dall'ultimo periodo considerato?
Il team del vostro account Akamai può fornirvi una lettera di copertura del periodo che parte dall'ultimo rapporto pubblicato.  

Akamai ha un certificato di conformità SOC 2?
SOC 2 non offre un certificato di conformità, invece, addetti alla valutazione qualificati di terze parti generano un rapporto sulla compliance per l'organizzazione valutata, in cui ne vengono elencati il sistema, l'ambito, i controlli attuati per soddisfare i criteri comuni, le prove e l'idoneità di tali descrizioni e prove dell'organizzazione. 

Perché esistono più rapporti SOC 2 per Akamai?
Akamai ora stila i rapporti SOC 2 relativi ai servizi di cloud computing, Identity Cloud e Akamai Guardicore Segmentation. Questi servizi sono il risultato delle recenti acquisizioni effettuate da Akamai. Per il momento, Akamai ha deciso di mantenere separati questi rapporti.  

Akamai ha un rapporto SOC 1?
Akamai non viene sottoposta ad una valutazione SOC 1. Lo scopo di un rapporto SOC 1 è esaminare i controlli interni di un provider di servizi che possono influire sui rapporti finanziari dei clienti. I clienti di Akamai non esternalizzano i processi aziendali che sono fondamentali per i propri rapporti finanziari ad Akamai, quindi una valutazione SOC 1 non è pertinente per i servizi forniti da Akamai.

Panoramica

L'ISO 27001 è uno standard internazionale riconosciuto per i sistemi di gestione della sicurezza delle informazioni (ISMS). Fornisce alle organizzazioni un sistema per gestire le proprie informazioni e dati sensibili in modo sicuro, proteggendoli da accessi non autorizzati, divulgazione, distruzione o perdita. Lo standard è basato sul rischio e delinea una serie di best practice, controlli e processi per garantire la sicurezza delle informazioni. È ampiamente adottato dalle organizzazioni di tutto il mondo e viene spesso utilizzato come punto di riferimento per la gestione della sicurezza delle informazioni.

Risorse

ISO/IEC 27001:2013

Servizi di Akamai applicabili

• Ion (se configurato per l'esecuzione sulla CDN sicura con Enhanced TLS)
• Dynamic Site Accelerator (quando configurato per essere eseguito sulla CDN sicura di Akamai con Enhanced TLS)
• App & API Protector (quando configurato per essere eseguito sulla CDN sicura di Akamai con Enhanced TLS)
• Global Traffic Management 
• Edge DNS
• Secure Internet Access Enterprise (in precedenza noto come Enterprise Threat Protector)
• Portale Akamai Control Center
• Segmentazione Guardicore
• Akamai Identity Cloud
• Secure Internet Access IoT Private Access
• Secure Internet Access Mobile Platform
• Secure Internet Access Mobile Private Access
• Secure Internet Access Mobile Standard
• Computing
  • Piani CPU dedicata
  • Piani CPU condivisa
  • Piani ad alta memoria
  • Piani GPU
  • Linode Kubernetes Engine (LKE)
• Storage
  • Archiviazione a oggetti
  • Archiviazione a blocchi
  • Immagini
  • Backup
• Rete
  • NodeBalancers
• Servizi di cloud computing in bundle gratuiti
  • Soluzioni gratuite per la sicurezza, la rete, la manutenzione e il monitoraggio
• Portale di Cloud Manager

Domande&risposte

Perché esistono più rapporti ISO 27001 per Akamai?
Oltre alla certificazione ISO 27001 primaria, le certificazioni aggiuntive di Akamai sono state completate a seguito delle acquisizioni di Janrain, Inc., Asavie, Inc. e Guardicore, Inc. da parte di Akamai. A questo punto, Akamai gestisce le certificazioni per i servizi derivati da queste acquisizioni separatamente. 

Come posso ottenere una copia delle certificazioni ISO 27001 di Akamai?
Il team del vostro account può fornirvi queste certificazioni.

Panoramica

Lo standard ISO/IEC 27017:2015 offre delle linee guida in merito agli standard di sicurezza delle informazioni applicabili alla distribuzione e all'utilizzo dei servizi cloud con l'aggiunta di ulteriori controlli e istruzioni di implementazione allo standard ISO 27001, concepiti specificatamente per i provider e i clienti di servizi cloud.

Risorse

ISO/IEC 27017:2015

Servizi di Akamai applicabili

• Computing
  • Piani CPU dedicata
  • Piani CPU condivisa
  • Piani ad alta memoria
  • Piani GPU
  • Linode Kubernetes Engine (LKE)
• Storage
  • Archiviazione a oggetti
  • Archiviazione a blocchi
  • Immagini
  • Backup
• Rete
  • NodeBalancers
• Servizi di cloud computing in bundle gratuiti 
  • Soluzioni gratuite per la sicurezza, la rete, la manutenzione e il monitoraggio
• Portale di Cloud Manager

Come posso ottenere una copia della certificazione ISO 27017 di Akamai?

Il team del vostro account può fornirvi queste certificazioni.

Panoramica

Questo standard offre una serie di linee guida finalizzate a garantire che i fornitori di servizi cloud offrano appropriati controlli di sicurezza delle informazioni per proteggere la privacy dei clienti tenendo al sicuro le informazioni di identificazione personale a loro affidate.

Lo standard funge da riferimento per la selezione dei controlli per la protezione delle informazioni di identificazione personale durante l'implementazione di un sistema di gestione della sicurezza delle informazioni relative al cloud computing basato sullo standard ISO/IEC 27018. Offre anche una serie di linee guida sull'implementazione dei controlli per la protezione delle informazioni di identificazione personale.

Risorse

ISO/IEC 27018

Servizi di Akamai applicabili

• Akamai Identity Cloud
• Computing 
  • Piani CPU dedicata
  • Piani CPU condivisa
  • Piani ad alta memoria
  • Piani GPU
  • Linode Kubernetes Engine (LKE)
• Storage
  • Archiviazione a oggetti
  • Archiviazione a blocchi
  • Immagini
  • Backup
• Rete
  • NodeBalancers
• Servizi di cloud computing in bundle gratuiti 
  • Soluzioni gratuite per la sicurezza, la rete, la manutenzione e il monitoraggio
• Portale di Cloud Manager

Domande&risposte

Come posso ottenere una copia della certificazione ISO 27018 di Akamai?

Il team del vostro account può fornirvi queste certificazioni.

Panoramica

Lo standard di sicurezza delle informazioni ISO/IEC 27701:2019 è stato pubblicato dall'ISO (International Organization for Standardization) e dall'IEC (International Electrotechnical Commission), per espandere il sistema di gestione della sicurezza delle informazioni (ISMS) di ISO/IEC 27001 per affrontare ulteriormente la protezione della privacy nel contesto del trattamento delle PII tramite un sistema di gestione delle informazioni sulla privacy (PIMS). Un'organizzazione che soddisfa i requisiti della norma ISO/IEC 27701 deve generare prove documentali di come gestisce il trattamento delle PII in qualità di responsabile e/o titolare del trattamento.

Risorse

• Informazioni su ISO
• ISO 27001

Servizi di Akamai applicabili

• Ion (se configurato per l'esecuzione sulla CDN sicura con Enhanced TLS)
• Dynamic Site Accelerator (quando configurato per essere eseguito sulla CDN sicura di Akamai con Enhanced TLS)
• App & API Protector (quando configurato per essere eseguito sulla CDN sicura di Akamai con Enhanced TLS)
• Global Traffic Management 
• Edge DNS
• Secure Internet Access Enterprise (in precedenza noto come Enterprise Threat Protector)
• Computing 
  • Piani CPU dedicata
  • Piani CPU condivisa
  • Piani ad alta memoria
  • Piani GPU
  • Linode Kubernetes Engine (LKE)
• Storage
  • Archiviazione a oggetti
  • Archiviazione a blocchi
  • Immagini
  • Backup
• Rete
  • NodeBalancers
• Servizi di cloud computing in bundle gratuiti 
  • Soluzioni gratuite per la sicurezza, la rete, la manutenzione e il monitoraggio
• Portale di Cloud Manager

Revisore

A-LIGN Assurance fornisce la certificazione ISO 27701 di Akamai.

Domande&risposte

Posso ottenere una copia della certificazione?

Il team del vostro account può fornirvi la nostra certificazione ISO 27701.

Panoramica

Programma di conformità governativo statunitense, il FedRAMP (programma federale di gestione delle autorizzazioni e dei rischi) offre un approccio standardizzato alla valutazione della sicurezza, all'autorizzazione e al monitoraggio continuo di prodotti e servizi cloud.

Il FedRAMP ha creato e gestisce un insieme di processi per garantire una sicurezza nel cloud efficace e ripetibile per il governo statunitense. Ha stabilito un mercato solido per incrementare l'uso e la familiarizzazione con i servizi cloud.

Risorse

FedRAMP

Certificazione Akamai

Dal 2013, Akamai ha ricevuto dalla FedRAMP Joint Authorization Board (JAB) l'autorizzazione a operare (ATO) provvisoriamente in qualità di fornitore di servizi IaaS (Infrastructure-as-a-Service).

Download/Link

Pagina del mercato FedRAMP di Akamai

Servizi di Akamai applicabili

• La rete per la distribuzione dei contenuti di Akamai per la delivery HTTP e HTTPS (note come reti ESSL e FreeFlow) e relativi servizi eseguiti
• Protezione delle applicazioni web sull'edge, come App & API Protector e Kona Site Defender
• Edge DNS (con DNSSEC)
• NetStorage
• Servizi di streaming media
• Akamai Control Center
• Global Traffic Management

Domande&risposte

Come posso accedere alla documentazione di Akamai sul FedRAMP?

I clienti possono accedere al modulo di richiesta di accesso al pacchetto dal sito web del marketplace. 

Qual è il livello di impatto del FedRAMP di Akamai? 

Il livello di impatto dell'autorizzazione FedRAMP di Akamai è moderato. Secondo il FedRAMPun sistema a impatto moderato comprende "quasi l'80% delle applicazioni CPS che ricevono l'autorizzazione FedRAMP ed è più appropriato per i CSO in cui la perdita di riservatezza, integrità e disponibilità comporterebbe seri impatti negativi sulle attività, le risorse o gli individui di un'agenzia. Tra i seri impatti negativi, vi sono un notevole danno operativo alle risorse dell'agenzia, perdite finanziarie o danni individuali diversi dalla perdita fisica o dalla morte".

Al momento, Akamai non ha richiesto l'autorizzazione FedRAMP per un livello di impatto elevato.

Panoramica

L'Health Insurance Portability and Accountability Act (HIPAA) statunitense del 1996 ha stabilito i requisiti per il trattamento delle informazioni sanitarie di identificazione personale da parte dei fornitori di servizi sanitari e delle compagnie di assicurazioni. 

L'Health Information Technology for Economic and Clinical Health Act (HITECH) del 2009 definisce i diritti di accesso ai dati e ai meccanismi sanitari per garantire ai pazienti il controllo sui propri dati. Espande lo scambio di informazioni sanitarie elettroniche riservate (ePHI) e la portata delle protezioni di sicurezza e della privacy contemplati dall'HIPAA. 

Risorse

• Regola di sicurezza HIPAA
• HITECH Act

Conformità di Akamai

Laddove viene ingaggiata dai suoi clienti del settore sanitario per elaborare dati sanitari, Akamai può essere considerata un Business Associate, il che richiede, pertanto, uno specifico accordo tra Akamai e il cliente afferente al settore sanitario. Su richiesta è disponibile una copia dell'accordo standard per Business Associate di Akamai.

Akamai si sottopone regolarmente a valutazioni di terze parti in conformità alla regola di sicurezza HIPAA, che richiede ai Business Associate di "condurre una valutazione accurata e dettagliata dei potenziali rischi e vulnerabilità per i requisiti di riservatezza, integrità e disponibilità" delle ePHI di cui dispongono i Business Associate. L'analisi riassuntiva della più recente valutazione e/o della relativa lettera da parte degli addetti alla valutazione è a disposizione dei clienti e dei partner di Akamai ed è soggetta a un accordo di non divulgazione (NDA). 

Download/Link

Dichiarazione di conformità HIPAA e HITECH Act di Akamai

Servizi di Akamai applicabili

• CDN sicura con Enhanced TLS e relativi servizi eseguiti
• Prodotti per la delivery sull'edge come Ion, API Acceleration e Adaptive Media Delivery, durante l'esecuzione sulla CDN sicura
• Prodotti per la sicurezza di app e API, come App & API Protector, Account Protector, Kona Site Defender e Bot Manager (Standard and Premier), durante l'esecuzione sulla CDN sicura
• Enterprise Application Access
• Akamai Identity Cloud
• Akamai Control Center
• Computing 
  • Piani CPU dedicata
  • Piani CPU condivisa
  • Piani ad alta memoria
  • Piani GPU
  • Linode Kubernetes Engine (LKE)
• Storage
  • Archiviazione a oggetti
  • Archiviazione a blocchi
  • Immagini
  • Backup
• Rete
  • NodeBalancers
• Servizi di cloud computing in bundle gratuiti 
  • Soluzioni gratuite per la sicurezza, la rete, la manutenzione e il monitoraggio
• Portale di Cloud Manager