Tóm tắt
Các nhóm Fintech phải đối mặt với các yêu cầu về công cụ API mà hầu hết các công ty phần mềm không có: các cân nhắc về phạm vi PCI DSS, các quy tắc về lưu trữ dữ liệu cục bộ, dấu vết kiểm toán cho các cơ quan quản lý tài chính, và vấn đề về thông tin xác thực API cho các hệ thống thanh toán nằm trong một công cụ được lưu trữ trên đám mây. Hướng dẫn này đánh giá các công cụ kiểm thử API qua lăng kính tuân thủ của fintech, đặc biệt chú ý đến cách mỗi công cụ xử lý dữ liệu nhạy cảm.
Giới thiệu
Việc xây dựng các API thanh toán, tích hợp ngân hàng mở hoặc dịch vụ dữ liệu tài chính có nghĩa là quy trình làm việc kiểm thử API của bạn chạm đến cơ sở hạ tầng nhạy cảm. Thông tin xác thực mà nhà phát triển của bạn sử dụng để kiểm thử trên môi trường staging có thể có quyền truy cập vào các hệ thống tài chính thực. Thông số kỹ thuật API của bạn có thể chứa thông tin về kiến trúc bảo mật của bạn mà một đối thủ cạnh tranh hoặc kẻ tấn công sẽ thấy có giá trị.
Hầu hết các công cụ kiểm thử API được thiết kế cho phát triển phần mềm tổng quát. Chúng được lưu trữ trên đám mây, mặc định đồng bộ hóa thông tin xác thực đến máy chủ và không phân biệt giữa một nhà phát triển kiểm thử API ứng dụng công thức nấu ăn và một nhà phát triển kiểm thử API xử lý thanh toán.
Các nhóm Fintech cần đặt ra những câu hỏi khó hơn. Thông tin xác thực API của tôi nằm ở đâu khi chúng được lưu trữ trong công cụ này? Điều gì sẽ xảy ra nếu nhà cung cấp bị vi phạm? Tôi có thể đáp ứng các yêu cầu về phạm vi PCI DSS của mình không? Tôi có thể tạo dấu vết kiểm toán để xem xét theo quy định không?
Bài viết này trả lời những câu hỏi đó cho các công cụ kiểm thử API được đánh giá phổ biến nhất.
Các yêu cầu tuân thủ ảnh hưởng đến lựa chọn công cụ API
PCI DSS và xử lý thông tin xác thực
PCI DSS (Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán) áp dụng nếu API của bạn chạm đến dữ liệu chủ thẻ, và các yêu cầu của nó ảnh hưởng đến lựa chọn công cụ của bạn. Cụ thể:
- Yêu cầu 7 (Kiểm soát truy cập): Các hệ thống có thể truy cập môi trường dữ liệu chủ thẻ phải có quyền truy cập được kiểm soát. Nếu công cụ kiểm thử API của bạn lưu trữ thông tin xác thực có quyền truy cập vào hệ thống thanh toán, nó có khả năng nằm trong phạm vi PCI.
- Yêu cầu 10 (Ghi nhật ký và giám sát): Tất cả các quyền truy cập vào tài nguyên mạng và dữ liệu chủ thẻ phải được ghi nhật ký và có thể kiểm toán được.
- Yêu cầu 12.5 (Nhà cung cấp dịch vụ bên thứ ba): Bạn phải duy trì danh sách các nhà cung cấp dịch vụ bên thứ ba và dữ liệu chủ thẻ mà họ lưu trữ, xử lý hoặc truyền tải.
Một công cụ API được lưu trữ trên đám mây đồng bộ hóa các biến môi trường (bao gồm khóa API và mã thông báo xác thực) đến máy chủ của nó có thể được coi là nhà cung cấp dịch vụ bên thứ ba trong phạm vi PCI. Điều đó kích hoạt các yêu cầu đánh giá, thỏa thuận bằng văn bản và thẩm định liên tục.
Giải pháp triệt để: sử dụng một công cụ API lưu trữ thông tin xác thực cục bộ và không đồng bộ hóa các giá trị nhạy cảm lên đám mây. Tính năng biến môi trường cục bộ của Apidog thực hiện điều này – các biến nhạy cảm được đánh dấu và chỉ lưu trữ trên thiết bị cục bộ.
Vị trí lưu trữ dữ liệu và các hạn chế địa lý
Các công ty Fintech hoạt động tại EU, Vương quốc Anh hoặc các khu vực pháp lý được quản lý khác có thể có các yêu cầu về vị trí lưu trữ dữ liệu, hạn chế nơi dữ liệu có thể được lưu trữ. Đối với một công ty fintech có trụ sở tại Hoa Kỳ nhưng hoạt động tại EU, thông số kỹ thuật API và dữ liệu kiểm thử của bạn có thể cần phải nằm trong EU.
Các công cụ SaaS trên đám mây thường không cung cấp tính năng lưu trữ dữ liệu theo khu vực trên các gói tiêu chuẩn. Các gói Enterprise đôi khi có. Triển khai tại chỗ hoặc trên VPC loại bỏ hoàn toàn vấn đề – dữ liệu vẫn nằm ở nơi bạn triển khai.
Dấu vết kiểm toán cho các cơ quan quản lý tài chính
Các cơ quan quản lý dịch vụ tài chính – SEC, FCA, FINRA, OCC tùy thuộc vào khu vực pháp lý và loại sản phẩm của bạn – mong đợi các tổ chức có thể chứng minh ai đã truy cập hệ thống nào và khi nào. Trong bối cảnh công cụ API, điều đó có nghĩa là:
- Ai đã truy cập môi trường kiểm thử cho các API quan trọng
- Ai đã sửa đổi thông số kỹ thuật API hoặc cấu hình kiểm thử
- Khi nào các kiểm thử tự động chạy trên các môi trường cụ thể
- Liệu các lần chạy kiểm thử có tạo ra kết quả phù hợp với hành vi dự kiến hay không
Một công cụ API có ghi nhật ký kiểm toán có thể cung cấp bằng chứng này. Nếu không có nó, bạn sẽ phải tập hợp bằng chứng từ các nhật ký rải rác trên nhiều hệ thống.
Khả năng tương thích kiểm thử xâm nhập
Các công ty Fintech thường trải qua các cuộc kiểm thử xâm nhập hàng năm hoặc nửa năm một lần, thường được yêu cầu bởi PCI DSS, SOC 2 hoặc các thỏa thuận bảo mật của khách hàng. Công cụ API của bạn cần hỗ trợ các chuyên gia kiểm thử xâm nhập cần chạy các kịch bản kiểm thử trên API của bạn.
Nếu công cụ kiểm thử API của bạn yêu cầu xác thực đám mây và các chuyên gia kiểm thử xâm nhập không thể truy cập phiên bản đám mây của bạn, đó là một vấn đề về quy trình làm việc. Các công cụ tự lưu trữ hoặc có thể cài đặt cục bộ sẽ tránh được vấn đề này.
Đánh giá công cụ: Apidog, Postman và Insomnia
Apidog
Apidog được thiết kế với triết lý ưu tiên cục bộ. Hành vi mặc định là lưu trữ dữ liệu cục bộ. Đồng bộ hóa với đám mây của Apidog là tùy chọn (opt-in). Cụ thể đối với các biến môi trường, bạn có thể đánh dấu các biến riêng lẻ là “cục bộ” – chúng chỉ tồn tại trên máy của nhà phát triển đó và không bao giờ được gửi đến máy chủ của Apidog, ngay cả khi không gian làm việc được đồng bộ hóa.
Đây là cài đặt mặc định phù hợp cho fintech. Khóa API Stripe của bạn, bí mật khách hàng Plaid của bạn, mã thông báo xác thực bộ xử lý thanh toán của bạn – không có cái nào rời khỏi máy của nhà phát triển nếu bạn sử dụng các biến cục bộ.
Đối với các nhóm cần kiểm soát dữ liệu hoàn toàn, Apidog Enterprise cung cấp khả năng triển khai tự lưu trữ. Bạn chạy Apidog trên cơ sở hạ tầng của riêng mình. Không có kết nối nào đến đám mây của Apidog. Tất cả các thông số kỹ thuật, kiểm thử, thông tin xác thực (ngay cả những thông tin không cục bộ) và nhật ký kiểm toán đều nằm trong phạm vi kiểm soát của bạn.
Ghi nhật ký kiểm toán có sẵn trên các gói Enterprise, bao gồm các thay đổi thông số kỹ thuật API, lịch sử chạy kiểm thử, sự kiện truy cập của người dùng và các sửa đổi không gian làm việc.
Apidog không có chứng nhận PCI DSS cụ thể, nhưng kiến trúc của nó – lưu trữ thông tin xác thực cục bộ, tùy chọn tự lưu trữ, ghi nhật ký kiểm toán – phù hợp với các yêu cầu của PCI theo những cách mà các công cụ đám mây thông thường không làm được.
Postman
Postman được sử dụng rộng rãi trong fintech, nhưng kiến trúc mặc định của nó tạo ra ma sát về tuân thủ. Theo mặc định, Postman đồng bộ hóa mọi thứ – các collection, môi trường và giá trị biến môi trường – lên đám mây của Postman. Điều này bao gồm cả thông tin xác thực nhạy cảm trừ khi bạn cẩn thận.
Postman có cung cấp một cách để đánh dấu các biến môi trường là loại “bí mật”, điều này làm chúng bị che khuất trong giao diện người dùng nhưng vẫn đồng bộ hóa chúng đến máy chủ của Postman dưới dạng mã hóa. Đối với các diễn giải PCI nghiêm ngặt, việc thông tin xác thực tồn tại trên máy chủ của bên thứ ba – ngay cả khi được mã hóa – có thể gây vấn đề.
Postman đã đạt chứng nhận SOC 2 Loại II, giải quyết một số lo ngại về tuân thủ. Họ cũng cung cấp gói Enterprise với các tùy chọn lưu trữ dữ liệu. Tuy nhiên, những tùy chọn này yêu cầu hợp đồng cấp doanh nghiệp và không khả dụng cho các nhóm sử dụng gói tiêu chuẩn hoặc chuyên nghiệp.
Tùy chọn tại chỗ của Postman (Postman Enterprise On-Premises) có tồn tại nhưng trong lịch sử chậm hơn trong việc nhận các bản cập nhật tính năng so với phiên bản đám mây. Nếu tự lưu trữ là một yêu cầu bắt buộc, hãy xác minh rằng phiên bản tại chỗ đáp ứng các yêu cầu tính năng của bạn trước khi cam kết.
Insomnia
Insomnia (được Kong mua lại) là một ứng dụng khách REST ưu tiên cục bộ. Theo mặc định, nó lưu trữ mọi thứ cục bộ, điều này làm cho nó hấp dẫn đối với các nhóm có ý thức tuân thủ. Insomnia Sync (tính năng đồng bộ hóa đám mây của họ) là tùy chọn (opt-in).
Hạn chế của Insomnia là nó chủ yếu là một công cụ kiểm thử và gỡ lỗi. Nó không có hỗ trợ mạnh mẽ cho thiết kế API, bộ kiểm thử tự động, tích hợp CI/CD hoặc tài liệu API. Đối với một nhóm fintech cần nhiều hơn kiểm thử thủ công, Insomnia thường chỉ là một công cụ trong một bộ công cụ lớn hơn chứ không phải là một giải pháp hoàn chỉnh.
Insomnia không có các tính năng cộng tác nhóm, RBAC hoặc ghi nhật ký kiểm toán mà các nhóm fintech doanh nghiệp cần. Nó là một công cụ tốt cho các nhà phát triển cá nhân nhưng không phù hợp với các yêu cầu quản trị nhóm.
So sánh cho các nhóm fintech
| Tiêu chí | Apidog | Postman | Insomnia |
|---|---|---|---|
| Lưu trữ thông tin xác thực cục bộ | Có (tùy chọn cho từng biến) | Đồng bộ hóa mã hóa lên đám mây | Có (mặc định) |
| Tùy chọn tự lưu trữ / tại chỗ | Có (Enterprise) | Có (Enterprise, có giới hạn) | Không |
| Nhật ký kiểm toán | Có (Enterprise) | Có (Enterprise) | Không |
| Chứng nhận SOC 2 | Kiểm tra với nhà cung cấp | Có (Loại II) | Kiểm tra với nhà cung cấp |
| Vòng đời đầy đủ (thiết kế+kiểm thử+mock+tài liệu) | Có | Một phần | Không |
| Tích hợp CI/CD | Có | Có | Hạn chế |
| Tùy chọn vị trí lưu trữ dữ liệu | Tại chỗ giải quyết vấn đề này | Chỉ Enterprise | Không áp dụng |
Cách Apidog giải quyết cụ thể việc tuân thủ của fintech
Các biến môi trường cục bộ trong thực tế
Khi một nhà phát triển tạo môi trường kiểm thử trong Apidog cho một API thanh toán, họ có thể đánh dấu khóa API và mã thông báo xác thực của mình là các biến cục bộ. Các biến này chỉ hiển thị trên máy của nhà phát triển đó. Các thành viên khác trong nhóm được kết nối với cùng một không gian làm việc sẽ thấy một phần giữ chỗ (placeholder) nơi biến đó lẽ ra phải có – họ phải cung cấp giá trị của riêng mình.
Mô hình này phản ánh cách các nhóm bảo mật fintech muốn xử lý thông tin xác thực: các nhà phát triển cá nhân chịu trách nhiệm về thông tin xác thực của riêng họ, những thông tin này không được lưu trữ tập trung theo cách có thể làm lộ chúng trong một lần vi phạm duy nhất.
Triển khai tự lưu trữ để kiểm soát hoàn toàn
Đối với các nhóm fintech có yêu cầu nghiêm ngặt về vị trí lưu trữ dữ liệu, việc triển khai tự lưu trữ của Apidog Enterprise có nghĩa là toàn bộ nền tảng – thông số kỹ thuật API, cấu hình kiểm thử, kết quả kiểm thử và hồ sơ truy cập người dùng – nằm trên cơ sở hạ tầng của bạn. Nếu bạn đang triển khai trong môi trường AWS tuân thủ PCI, dữ liệu của Apidog sẽ kế thừa các kiểm soát mà bạn đã thiết lập.
Việc triển khai dựa trên container (Docker/Kubernetes), phù hợp với các quy trình DevSecOps tiêu chuẩn. Nhóm bảo mật của bạn có thể quét các container, áp dụng các chính sách mạng và giám sát lưu lượng đi ra chính xác như họ làm với bất kỳ dịch vụ nội bộ nào khác.
Ghi nhật ký kiểm toán cho bằng chứng pháp lý
Apidog Enterprise duy trì nhật ký kiểm toán cho các sự kiện không gian làm việc: ai đã tạo hoặc sửa đổi thông số kỹ thuật API, khi nào các bộ kiểm thử chạy, ai đã thay đổi quyền truy cập. Các nhật ký này có thể được xuất và nhập vào SIEM của bạn để giám sát bảo mật tập trung.
Đối với một yêu cầu điều tra của cơ quan quản lý hoặc đánh giá PCI QSA, bạn có thể cung cấp bằng chứng cụ thể về việc ai đã truy cập cấu hình kiểm thử cho API thanh toán và khi nào các cấu hình đó được sửa đổi.
Danh sách kiểm tra thực tế để lựa chọn công cụ API fintech
Trước khi đưa ra quyết định cuối cùng:
- [ ] Các biến môi trường (khóa API, mã thông báo) thực sự nằm ở đâu – máy của nhà phát triển hay máy chủ của nhà cung cấp?
- [ ] Bạn có thể nhận được mô tả bằng văn bản về các phương pháp xử lý dữ liệu của nhà cung cấp phù hợp cho việc đánh giá rủi ro nhà cung cấp không?
- [ ] Công cụ có cung cấp tùy chọn triển khai tự lưu trữ nếu các yêu cầu về vị trí lưu trữ dữ liệu của bạn thay đổi không?
- [ ] Định dạng nhật ký kiểm toán nào có sẵn và liệu nó có thể được xuất sang SIEM của bạn không?
- [ ] Nhà cung cấp đã hoàn thành kiểm toán SOC 2 Loại II chưa? Họ có thể cung cấp báo cáo theo NDA không?
- [ ] Nhóm kiểm thử xâm nhập của bạn có cần làm việc với công cụ này không, và liệu họ có thể truy cập nó từ bên ngoài mạng của bạn không?
- [ ] Điều gì sẽ xảy ra với dữ liệu của bạn nếu bạn hủy đăng ký?
Câu hỏi thường gặp
Việc sử dụng Apidog có tạo phạm vi PCI DSS cho nhà cung cấp không?Tính năng biến cục bộ của Apidog được thiết kế đặc biệt để thông tin xác thực nhạy cảm không rời khỏi máy của nhà phát triển. Nếu bạn sử dụng các biến cục bộ cho tất cả thông tin xác thực liên quan đến thanh toán, cơ sở hạ tầng đám mây của Apidog sẽ không nhận được những thông tin xác thực đó, điều này làm giảm vấn đề về phạm vi. Để có câu trả lời rõ ràng, hãy làm việc với một chuyên gia PCI QSA để họ có thể đánh giá cấu hình cụ thể của bạn.
Apidog có thể được triển khai trong môi trường AWS tuân thủ PCI không?Có. Việc triển khai tự lưu trữ của Apidog Enterprise sử dụng Docker và Kubernetes, có thể được triển khai trong một AWS VPC với các kiểm soát tuân thủ PCI được áp dụng ở cấp độ cơ sở hạ tầng. Các kiểm soát PCI hiện có của bạn (phân đoạn mạng, ghi nhật ký truy cập, mã hóa) sẽ áp dụng cho việc triển khai Apidog.
Rủi ro khi sử dụng công cụ API được lưu trữ trên đám mây để phát triển fintech là gì?Các rủi ro chính là: lộ thông tin xác thực nếu nhà cung cấp bị vi phạm, khả năng mở rộng phạm vi PCI yêu cầu đánh giá nhà cung cấp và thất bại trong việc tuân thủ quy tắc vị trí lưu trữ dữ liệu. Mức độ nghiêm trọng phụ thuộc vào việc kiểm thử của bạn có chạm đến dữ liệu tài chính thực hay sử dụng dữ liệu kiểm thử đã được làm sạch và thông tin xác thực sandbox.
Apidog có Thỏa thuận đối tác kinh doanh (BAA) không?BAA chủ yếu liên quan đến HIPAA hơn là các khuôn khổ tuân thủ fintech. Đối với fintech, thỏa thuận liên quan thường là Thỏa thuận xử lý dữ liệu (DPA). Liên hệ với nhóm doanh nghiệp của Apidog để biết các tùy chọn thỏa thuận hiện tại.
Một nhóm fintech nên xử lý dữ liệu kiểm thử giống dữ liệu tài chính thực như thế nào?Lý tưởng nhất là chỉ sử dụng dữ liệu kiểm thử tổng hợp và thông tin xác thực sandbox trong công cụ kiểm thử API của bạn, bất kể bạn chọn công cụ nào. Nếu điều đó không thể, hãy chọn một công cụ có khả năng triển khai tự lưu trữ để dữ liệu nằm trong môi trường được kiểm soát của bạn.
Apidog có thể tích hợp với các công cụ quét bảo mật được sử dụng trong các quy trình CI/CD của fintech không?Trình chạy CLI của Apidog có thể được tích hợp vào các quy trình CI bao gồm các bước quét bảo mật. Kết quả kiểm thử API độc lập với kết quả quét bảo mật. Để kiểm thử bảo mật tích hợp của API, ReadyAPI hoặc các công cụ DAST chuyên dụng có thể là những bổ sung phù hợp hơn cho Apidog trong kiểm thử chức năng.
Việc lựa chọn công cụ API cho fintech là một quyết định về tuân thủ cũng như một quyết định về năng suất của nhà phát triển. Công cụ phù hợp cho một công ty khởi nghiệp ứng dụng tiêu dùng không nhất thiết phù hợp cho một công ty thanh toán. Hãy đánh giá dựa trên nơi dữ liệu của bạn thực sự đi đến – không phải nơi nhà cung cấp nói rằng nó đi đến, mà là nơi nó đi đến theo mặc định, theo thiết kế và trong trường hợp xấu nhất.