信息安全合规

概述

任何存储、处理或传输支付卡数据的企业都需要遵守《支付卡行业数据安全标准》(PCI DSS)。由主要信用卡公司制定的 PCI DSS 定义了相关措施，旨在确保实施有关在线金融交易的数据保护和一致的安全流程和程序。由 PCI 安全标准委员会制定，PCI DSS 合规要求包括：

• 开发并维护涵盖企业各方面的安全策略
• 安装防火墙以保护数据
• 对通过公共网络传输的持卡人数据进行加密
• 使用防病毒软件并定期更新
• 建立强密码和其他网络安全协议
• 强制实施严格的访问控件并监控对帐户数据的访问

对于处理大量在线金融交易的大型商家和服务提供商，PCI DSS 合规性通过年度验证强制实施，该验证由独立的合格安全评估机构 (QSA) 执行。

资源

PCI 安全性

Akamai 认证

Akamai 的合规性认证 (AoC) 可以向我们的客户证明，我们的服务范围符合 PCI DSS v4.0 安全标准。

为了遵守 PCI DSS，Akamai 每半年会对评估范围内的系统进行第三方外部渗透测试。这些渗透测试的结果，以及合规文档和/或认证，可以在 Akamai 控制中心客户门户的下载中心部分，向客户提供，但需签署保密协议 (NDA)。

下载/链接

• 合规性认证
• 责任矩阵

适用的 Akamai 服务

• 采用增强型 TLS 的安全 CDN（称为“安全 CDN”）
• Ion、Dynamic Site Accelerator、API Acceleration 和 Adaptive Media Delivery 等内容交付产品（在安全 CDN 上运行时）
• EdgeWorkers（在安全 CDN 上运行时）
• Cloudlets
• mPulse 数字化性能管理服务
• API Gateway
• App & API Protector（包括 Malware Protection 插件）、Account Protector、Kona Site Defender、Cloudlets 和 Bot Manager 等应用程序和 API 安全性产品（在安全 CDN 上运行时）
• App & API Protector Hybrid
• API Security（以前称为 Noname Security）
• API Security（以前称为 Neosec）
• Client-Side Protection & Compliance
• Audience Hijacking Protector
• Secure Internet Access Enterprise（旧称为 Enterprise Threat Protector）
• Akamai MFA

问答

Akamai 是否通过了 PCI DSS 认证？

是的，Akamai 通过了 PCI DSS 1 级服务提供商认证，这是可以获得的最高评估级别。PCI DSS 合规性认证和责任矩阵在以上链接中公开可用。

如果我的网站正在使用 Akamai，如何确定它是否符合 PCI DSS？

客户负责管理自己的 PCI DSS 认证，应联系合格的安全评估机构 (QSA) 验证自己的控制措施并获得认证。客户及其 QSA 可依赖 Akamai 的合规性认证，在部分持卡人数据环境中使用 Akamai 的 PCI DSS 合规服务。Akamai 的 PCI DSS 责任矩阵（参见前述链接）阐明了 Akamai 和我们的客户在每个 PCI DSS 要求方面的责任。我们的《PCI DSS 客户配置指南》提供了更多详细信息，您可在 Akamai Control Center 客户门户的下载中心获取该指南，也可由您的客户团队为您提供。

我能否查看 Akamai 季度批准的扫描供应商 (ASV) 漏洞扫描和外部渗透测试的执行摘要？

是的。您的客户团队可以根据标准保密协议 (NDA) 提供此信息。或者，您也可以在 Akamai Control Center 客户门户的下载中心获取此信息。

概述

SOC (System and Organization Controls) 是由美国注册公共会计师协会 (AICPA) 发布的一项安全标准，用于报告与服务机构安全性、可用性、处理完整性、机密性和隐私直接相关的控制措施。

资源

AICPA SOC 服务套件

Akamai 合规性

Akamai 接收年度 SOC 2 类型 2 报告，证明我们的安全控制措施在一年中接受了持续审核。

适用的 Akamai 服务

Akamai 的主要 SOC 2 类型 2 报告涵盖了安全性和可用性信任服务标准。此报告涉及的 Akamai 服务如下：

• Ion 和 Dynamic Site Delivery 等内容交付服务
• 应用程序和 API 安全服务，包括 App & API Protector、Kona Site Defender、Kona DDoS Defender 以及 Web Application Protector
• 滥用和欺诈防范解决方案，包括 Account Protector、Bot Manager 和 Content Protector
• Prolexic DDoS 缓解服务
• Akamai Control Center 客户门户
• Edge DNS
• Global Traffic Management
• 支持访问管理、密钥管理和其他基础架构系统的其他系统

Akamai 针对 Akamai Guardicore Segmentation、API Security（以前称为 Neosec）和 API Security（以前称为 Noname Security）的 SOC 2 类型 2 报告涵盖了安全性、可用性和机密性信任服务标准。

针对 Akamai Identity Cloud 服务的 Akamai SOC 2 类型 2 报告涵盖了全部五项信任服务标准。

Akamai 还有 SOC 2 类型 1 报告，涵盖与下列服务相关的安全性和可用性信任服务标准：

云计算服务：

• 计算：
  • Dedicated CPU 计算
  • Shared CPU 计算
  • High Memory 计算
  • GPU 计算
• 存储：
  • Object Storage
  • Block Storage
  • Backups
• 网络：
  • 云防火墙
  • DDoS 防护
  • NodeBalancers
  • 虚拟私有云 (VPC)
  • VLAN
• 开发人员工具：
  • API
• Cloud Manager 门户

安全服务：

• Shield NS53
• Akamai MFA
• AnswerX、云/托管
• Secure Internet Access Essentials 1.0

问答

如何获取 SOC 2 报告的副本？
您的 Akamai 客户团队可以为您提供副本。或者，您也可以在 Akamai Control Center 客户门户的下载中心获取报告。

涵盖哪些区域？
Akamai 的 SOC 2 报告涵盖 Akamai 的整体服务，不局限于特定区域。

您是否有过渡性证明文件涵盖自上次报告时间段以来的时间段？
客户团队可为您提供过渡性证明文件，涵盖自上次报告时间段以来的时间段。  

Akamai 是否具有 SOC 2 合规性证书？
SOC 2 不提供合规性证书。相反，合格的第三方评估机构会制作有关受评估企业的合规性报告，其中讨论了该企业的体系说明、范围、用于满足常见标准的控制措施说明、证据以及企业说明和证据的适用性。 

为什么有多种 Akamai SOC 2 报告？
Akamai 现在有涵盖 Identity Cloud、Akamai Guardicore Segmentation、API 安全解决方案和云计算服务的 SOC 2 报告。这些服务是 Akamai 最近的收购所得。目前，Akamai 选择将这些报告分开。

Akamai 是否有 SOC 1 报告？
Akamai 未接受 SOC 1 审核。SOC 1 报告的目的是解决服务提供商的内部控制问题，这些问题可能会影响客户的财报。Akamai 的客户不会将对其财报至关重要的业务流程外包给 Akamai，因此 SOC 1 审计与 Akamai 提供的服务无关。

概述

ISO 27001 是国际信息安全管理体系 (ISMS) 认证标准。它为企业提供了一种框架，支持安全地管理企业的敏感信息和数据，为其实施保护，从而避免未经授权的访问、披露、破坏或丢失。该标准基于风险，概述了一系列确保信息安全的最佳实践、控制措施和流程。这项标准已得到世界各地企业的广泛采纳，经常被用作信息安全管理的基准。

资源

ISO/IEC 27001:2022

下载/链接

• Akamai 的 ISO/IEC 27001:2022 证书

适用的 Akamai 服务

• Ion（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Dynamic Site Accelerator（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• API Acceleration（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• App & API Protector（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• EdgeWorkers（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Global Traffic Management Protect & Perform 
• App & API Protector Hybrid  
• Edge DNS 
• Shield NS53 
• AnswerX 2.0 
• Secure Internet Access Enterprise（原名为 Enterprise Threat Protector） 
• Secure Internet Access IoT Private Access
• Secure Internet Access Mobile Platform Secure Internet Access Mobile Private Access
• Secure Internet Access Mobile Standard
• Secure Internet Access SMB Cloud Standard 
• Enterprise Application Access
• Akamai MFA 
• Bot Manager 
• Account Protector 
• Content Protector 
• Brand Protector 
• API Security（原名为 Noname） 
• Akamai Identity Cloud 
• Akamai Guardicore Segmentation（原名为 Guardicore Centra） 
• Prolexic IP Protect 
• Prolexic Routed Primary Location 
• Prolexic Routed Additional Location 
• Akamai Control Center 门户 
• Akamai 的全球基础架构
• 以下云计算服务：
  • 计算（包括 Dedicated CPU 计划、Shared CPU 计划、Premium CPU 计划、High Memory 计划、GPU 计划、Linode Kubernetes Service [LKE]） 
  • 存储（包括 Object Storage、Block Storage、Images、Backups） 
  • 数据库（包括 Managed Databases） 
  • 网络（包括 Cloud Firewall、分布式拒绝服务 [DDoS] 防护、VLAN、NodeBalancers 和 VPC） 
  • 免费捆绑服务（包括免费的安全、网络、维护和监控解决方案） 
  • 开发人员工具（包括应用程序编程接口 [API]、Cloud Manager）

问答

如何获取 Akamai 适用性声明的副本？

除了上面提供的证书之外，Akamai 帐户团队还可以为您提供相关适用性声明的副本，该声明适用于我们的所有 ISO 认证。或者，您也可以在 Akamai Control Center 客户门户的下载中心获取此信息。

概述

ISO/IEC 27017:2015 通过提供额外的实施指南和控制措施来补充用于 ISO 27001 并专为云服务提供商和云服务客户量身定制的实施指南和控制措施，从而为适用于云服务配置和使用的信息安全控制措施提供指南。

资源

ISO/IEC 27017:2015

下载/链接

• Akamai 的 ISO/IEC 27017:2015 证书

适用的 Akamai 服务

• Ion（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Dynamic Site Accelerator（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• API Acceleration（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• App & API Protector（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• EdgeWorkers（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Global Traffic Management Protect & Perform 
• App & API Protector Hybrid  
• Edge DNS 
• Shield NS53 
• AnswerX 2.0 
• Secure Internet Access Enterprise（原名为 Enterprise Threat Protector） 
• Secure Internet Access IoT Private Access
• Secure Internet Access Mobile 平台
• Secure Internet Access Mobile Private Access
• Secure Internet Access Mobile Standard
• Secure Internet Access SMB Cloud Standard 
• Enterprise Application Access
• Akamai MFA 
• Bot Manager 
• Account Protector 
• Content Protector 
• Brand Protector 
• API Security（原名为 Noname） 
• Akamai Identity Cloud 
• Akamai Guardicore Segmentation（原名为 Guardicore Centra） 
• Prolexic IP Protect 
• Prolexic Routed Primary Location 
• Prolexic Routed Additional Location 
• Akamai Control Center 门户 
• Akamai 的全球基础架构
• 以下云计算服务：
  • 计算（包括 Dedicated CPU 计划、Shared CPU 计划、Premium CPU 计划、High Memory 计划、GPU 计划、Linode Kubernetes Service [LKE]） 
  • 存储（包括 Object Storage、Block Storage、Images、Backups） 
  • 数据库（包括 Managed Databases） 
  • 网络（包括 Cloud Firewall、分布式拒绝服务 [DDoS] 防护、VLAN、NodeBalancers 和 VPC） 
  • 免费捆绑服务（包括免费的安全、网络、维护和监控解决方案） 
  • 开发人员工具（包括应用程序编程接口 [API]、Cloud Manager）

问答

如何获取 Akamai 适用性声明的副本？

除了上面提供的证书之外，Akamai 帐户团队还可以为您提供相关适用性声明，该声明适用于我们的所有 ISO 认证。或者，您也可以在 Akamai Control Center 客户门户的下载中心获取此信息。

概述

此标准提供的指南旨在确保云服务提供商提供合适的信息安全控制措施来保护委托给他们的个人身份信息 (PII)，从而保护其客户的客户端隐私。

在实施基于 ISO/IEC 27018 的云计算信息安全管理体系时，该标准可用作选择 PII 保护控制措施的参考。它还提供了有关实施 PII 保护控制措施的指南。

资源

ISO/IEC 27018:2019

下载/链接

• Akamai 的 ISO/IEC 27018:2019 证书

适用的 Akamai 服务

• Ion（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Dynamic Site Accelerator（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• API Acceleration（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• App & API Protector（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• EdgeWorkers（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Global Traffic Management Protect & Perform 
• App & API Protector Hybrid  
• Edge DNS 
• Shield NS53 
• AnswerX 2.0 
• Secure Internet Access Enterprise（原名为 Enterprise Threat Protector） 
• Secure Internet Access IoT Private Access
• Secure Internet Access Mobile 平台
• Secure Internet Access Mobile Private Access
• Secure Internet Access Mobile Standard
• Secure Internet Access SMB Cloud Standard 
• Enterprise Application Access
• Akamai MFA 
• Bot Manager 
• Account Protector 
• Content Protector 
• Brand Protector 
• API Security（原名为 Noname） 
• Akamai Identity Cloud 
• Akamai Guardicore Segmentation（原名为 Guardicore Centra） 
• Prolexic IP Protect 
• Prolexic Routed Primary Location 
• Prolexic Routed Additional Location 
• Akamai Control Center 门户 
• Akamai 的全球基础架构
• 以下云计算服务：
  • 计算（包括 Dedicated CPU 计划、Shared CPU 计划、Premium CPU 计划、High Memory 计划、GPU 计划、Linode Kubernetes Service [LKE]） 
  • 存储（包括 Object Storage、Block Storage、Images、Backups） 
  • 数据库（包括 Managed Databases） 
  • 网络（包括 Cloud Firewall、分布式拒绝服务 [DDoS] 防护、VLAN、NodeBalancers 和 VPC） 
  • 免费捆绑服务（包括免费的安全、网络、维护和监控解决方案）
  • 开发人员工具（包括应用程序编程接口 [API]、Cloud Manager）

问答

如何获取 Akamai 适用性声明的副本？

除了上面提供的证书之外，Akamai 帐户团队还可以为您提供相关适用性声明的副本，该声明适用于我们的所有 ISO 认证。或者，您也可以在 Akamai Control Center 客户门户的下载中心获取此信息。

概述

ISO/IEC 27701:2019 是由国际标准化组织 (ISO) 和国际电工委员会 (IEC) 发布的一项信息安全标准，旨在扩展 ISO/IEC 27001 的信息安全管理体系 (ISMS)，进一步规管通过隐私信息管理体系 (PIMS) 处理 PII 时的隐私保护事宜。符合 ISO/IEC 27701 要求的企业必须提供书面证据，以证明其作为信息处理者和/或控制者，对于 PII 的处理方式。

资源

• 关于 ISO
• ISO/IEC 27701:2019

下载/链接

• Akamai 的 ISO/IEC 27701:2019 证书

适用的 Akamai 服务

• Ion（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Dynamic Site Accelerator（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• API Acceleration（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• App & API Protector（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• EdgeWorkers（配置为在具有增强型 TLS 的 Akamai 安全 CDN 上运行时） 
• Global Traffic Management Protect & Perform 
• App & API Protector Hybrid  
• Edge DNS 
• Shield NS53 
• AnswerX 2.0 
• Secure Internet Access Enterprise（原名为 Enterprise Threat Protector） 
• Secure Internet Access IoT Private Access
• Secure Internet Access Mobile 平台
• Secure Internet Access Mobile Private Access
• Secure Internet Access Mobile Standard
• Secure Internet Access SMB Cloud Standard 
• Enterprise Application Access
• Akamai MFA 
• Bot Manager 
• Account Protector 
• Content Protector 
• Brand Protector 
• API Security（原名为 Noname） 
• Akamai Identity Cloud 
• Akamai Guardicore Segmentation（原名为 Guardicore Centra） 
• Prolexic IP Protect 
• Prolexic Routed Primary Location 
• Prolexic Routed Additional Location 
• Akamai Control Center 门户 
• Akamai 的全球基础架构
• 以下云计算服务：
  • 计算（包括 Dedicated CPU 计划、Shared CPU 计划、Premium CPU 计划、High Memory 计划、GPU 计划、Linode Kubernetes Service [LKE]） 
  • 存储（包括 Object Storage、Block Storage、Images、Backups） 
  • 数据库（包括 Managed Databases） 
  • 网络（包括 Cloud Firewall、分布式拒绝服务 [DDoS] 防护、VLAN、NodeBalancers 和 VPC） 
  • 免费捆绑服务（包括免费的安全、网络、维护和监控解决方案）
  • 开发人员工具（包括应用程序编程接口 [API]、Cloud Manager）

问答

如何获取 Akamai 适用性声明的副本？

除了上面提供的证书之外，Akamai 帐户团队还可以为您提供相关适用性声明，该声明适用于我们的所有 ISO 认证。或者，您也可以在 Akamai Control Center 客户门户的下载中心获取此信息。

概述

ProcessUnity Global Risk Exchange（先前为 CyberGRX）提供了一项广泛的企业安全评估，该评估由第三方验证，并且可供各公司用于评估其供应商的企业安全风险。

资源

Global Risk Exchange

Akamai 认证

如需访问 Akamai 的 ProcessUnity 评估报告，请填写此表单。 

下载/链接

Akamai 的 Global Risk Exchange 页面

概述

美国政府合规性计划“联邦风险与授权管理计划”(FedRAMP) 提供了标准化的方法来对云产品和服务进行安全评估、授权和持续监控。

FedRAMP 创建并管理一组核心流程，确保为美国政府实现有效且可重复的云安全性。它建立了一个成熟的市场，以提高云服务的使用率和熟悉度。

资源

FedRAMP

Akamai 认证

自 2013 年以来，以基础架构即服务 (IaaS) 提供商的身份，Akamai 获得了适用于中等基准的 FedRAMP 联合授权委员会 (JAB) 临时运营授权 (ATO)。

下载/链接

Akamai 的 FedRAMP Marketplace 页面

适用的 Akamai 服务

• 用于 HTTP 和 HTTPS 交付（称为 ESSL 和 FreeFlow 网络）及其上运行服务的 Akamai 内容交付网络
• App & API Protector 和 Kona Site Defender 等 Web 应用程序边缘保护
• Edge DNS（带有 DNSSEC）
• NetStorage
• 流媒体服务
• Akamai Control Center
• Global Traffic Management

问答

如何访问 Akamai 的 FedRAMP 文档记录？

客户可从 FedRAMP Marketplace 网站获取“软件包访问申请表”。 

Akamai 的 FedRAMP 影响级别是什么？ 

Akamai 的 FedRAMP 授权处于中等影响级别。据 FedRAMP 表示，“中等影响”体系包含“近 80% 的 CSP 应用程序，这些应用程序获得了 FedRAMP 授权且最适合 CSO，其中，机密性、完整性和可用性的损失会对机构的运营、资产或个人造成严重的负面影响。严重的负面影响可能包括对机构资产造成的重大运营损害、财务损失或不危及生命或身体的个人伤害。”

目前，Akamai 尚未申请 FedRAMP“高影响”级别的授权。

概述

美国 1996 年《健康保险流通与责任法案》(HIPAA) 规定了医疗服务和保险提供商对个人身份健康信息进行处理的要求。

2009 年《经济与临床健康医疗信息技术法案》(HITECH) 定义了对健康数据的访问权限和让病人保持对其数据的控制的机制。它扩展了 HIPAA 以涵盖受保护的电子健康信息 (ePHI) 的交换，以及 HIPAA 规定的隐私和安全保护范围。

资源

• HIPAA 安全规则
• HITECH 法案的泄露通知要求

Akamai 合规性

如果 Akamai 受医疗保健客户的委托处理医疗保健数据，它可能被视为业务合作伙伴，Akamai 与医疗保健客户之间可能需要签订业务合作伙伴协议。可应要求提供 Akamai 标准业务合作伙伴协议的副本。

Akamai 根据 HIPAA 安全条例定期进行第三方评估，该条例要求业务合作伙伴对业务合作伙伴持有的 ePHI 的“机密性、完整性和可用性的潜在风险和漏洞进行准确和全面的评估”。Akamai 客户和合作伙伴可获得最近的评估和/或评估机构提供的相关文件的执行摘要，不过前提是遵守保密协议 (NDA)。

下载/链接

Akamai 的 HIPAA 和 HITECH 法案合规声明

适用的 Akamai 服务

• 采用增强型 TLS 的安全 CDN（安全 CDN）及其上运行的服务
• Ion、API Acceleration 和 Adaptive Media Delivery 等内容交付产品（在安全 CDN 上运行时）
• App & API Protector、Account Protector、Kona Site Defender 和 Bot Manager（Standard 和 Premier）等应用程序和 API 安全产品（在安全 CDN 上运行时）
• API Security（以前称为 Noname Security）
• Akamai Guardicore Segmentation
• Enterprise Application Access
• Akamai Identity Cloud
• Akamai Control Center
• 计算
  • Dedicated CPU 计划
  • Shared CPU 计划
  • High Memory 计划
  • GPU 计划
  • Linode Kubernetes 引擎
• 存储
  • Object Storage
  • Block Storage
  • Images
  • Backups
• 网络
  • NodeBalancers
• 免费捆绑云计算服务
  • 免费的安全、网络、维护和监控解决方案
• Cloud Manager 门户