SQL Azure是否符合PCI-DSS标准？

Question

如果我要使用符合PCI-DSS的单独Windows服务器,如果我有一个托管后端的SQL Azure,我是否仍然符合要求？这假设我在应用层是合规的,并且我只存储允许的值(如没有CVV)等.

Answer 1

AWS现在符合PCI DSS 2.0 Level 1标准,因此云供应商无法实现Level 1的假设是不正确的:

http://aws.amazon.com/security/pci-dss-level-1-compliance-faqs/

此外,Rackspace还实现了PCI Level 1合规性:

http://www.rackspace.co.uk/rackspace-home/media-centre/news/article/article/rackspace-enhances-security-with-pci-accreditation/

确实,Microsoft尚未实现Windows Azure的PCI合规性.

他们可能正积极致力于解决Windows Azure中的任何限制,以便他们也能够为其客户提供此服务并保持竞争力,但截至目前,他们尚未实现PCI合规性.

Answer 2

微软在Azure Faq中写道:

在商业发布时,Windows Azure将不具有特定的审核或安全认证.您可以期待我们在不久的将来寻求关键认证,例如ISO27001.Windows Azure平台和Windows Azure应用了安全开发生命周期(SDL)过程中包含的严格安全实践.SDL在整个开发过程中尽早引入安全性和隐私.Windows Azure平台和Windows Azure也受益于Microsoft全球基础服务(GFS)基础架构提供的安全功能.GFS保证由外部审计师定期验证,并包括涵盖整个交付堆栈的全面安全计划.

Microsoft对第三方托管的PCI标准没有任何要求.有一些方法可以开发基于云的应用程序,以使用可能使云应用程序本身超出范围的第三方PCI数据处理器.

http://www.microsoft.com/windowsazure/faq/default.aspx

在下拉列表中选择"许可和服务级别协议",然后找到最后一段"哪些行业审计和安全认证涵盖Windows Azure平台？具体来说,在SAS70,ISO 27001和PCI上调出位置？"