google-cloud-platform - Google 云存储是否符合 PCI 标准？

Question

这是Google Cloud Platform: Customer Responsibility Matrix 。本文档基本上涵盖了所有 PCI DSS 要求，并解释了 GCP 要做的事情以及客户应该做的事情。

This文件指出 Google Cloud Storage 属于 PCI DSS 范围。

This GCP 链接指出“要求 3.4 规定 PAN 在存储的任何位置都必须无法读取。虽然 Google 自动提供静态加密，但它不会自动执行单向哈希、截断或标记化规则也有要求。”

但是，我无法找到明确表明 Google Cloud 存储符合 PCI 规范的证据，因为它是来自云提供商的服务。

是否有官方文档声称 Google Cloud Storage 作为一项服务符合 PCI 标准？

一份文件讨论 GCP 如何实现 Google 云存储的 PCI DSS 合规性，而不是如何满足客户设置的要求？

Answer 1

您似乎在这里问两个问题:

(1) Google 云平台 (GCP) 支付卡行业数据安全标准 (PCI DSS) 是否经过认证？

(2) Google 云存储 (GCS) 是否符合 PCI DSS 要求？

以下是我们的公共(public)文档中提供的答案:

1) GCP 已通过 PCI DSS 认证，如下 announcement和我们的official doc明确指出:

"Google Cloud undergoes an annual third-party audit to certify individual products against the PCI DSS. This means that these services provide an infrastructure that customers may build their own services or applications which store, process, or transmit cardholder data."

如您所知，PCI DSS 是信用卡公司为处理消费者信用卡信息安全而制定的标准。正如我们的文档所揭示的，这是需要被认证为平台的云提供商 (GCP) 和消费者/客户(您)之间的共同责任，消费者/客户的责任是在 GCP 上实现/构建合规服务。

2) 云存储符合 PCI DSS，如您在 official statement 中看到的那样

"The following Google Cloud services have been reviewed by an independent Qualified Security Assessor and determined to be PCI DSS 3.2 compliant. This means that these services provide an infrastructure upon which customers may build their own service or application which stores, processes, or transmits cardholder data. We have created this matrix to help explain the shared responsibility between Google and its customers."

根据“是否有官方文件声称 Google 云存储作为一项服务符合 PCI 规范？”引用this documentation和 this reference这表明 GCS 是一项符合 PCI DSS 合规性的服务。但是，当然，当您构建使用 GCS 的解决方案时，您需要以符合 PCI DSS 的方式进行。

请注意，Google Cloud Platform: Customer Responsibility Matrix 中也呼应了相同的共同责任声明。你提到的。 我们建议客户在追求 PCI 合规性时引用责任矩阵，并发现它是进行自己的 PCI 审核时的有用工具。

根据“一份讨论 GCP 如何实现 Google 云存储的 PCI DSS 合规性的文档，而不是如何满足客户设置的要求？”再次引用this doc其中指出:“Google Cloud 每年都会接受第三方审核，以根据 PCI DSS 认证各个产品。”

我们还发布了 advice on building PCI compliant services on GCP你提到的。这是一个example了解如何在 GCP 上构建 PCI DSS 合规服务。这是 example of how a customer's GCS based service meets PCI DSS compliance使用我们的工具。

希望这有助于澄清我们的公共(public)文档中有关 PCI DSS 合规性的规定。