O que é o Azure Payment HSM?

O Azure Payment HSM é um serviço "BareMetal" fornecido usando módulos de segurança de hardware para pagamentos (HSM) payShield 10K da Thales — dispositivos físicos que fornecem operações com chaves criptográficas para transações de pagamento críticas em tempo real na nuvem do Azure. O HSM de Pagamento do Azure foi projetado especificamente para ajudar um provedor de serviços e uma instituição financeira individual a acelerar a estratégia de transformação digital do sistema de pagamento e adotar a nuvem pública. Ele atende aos requisitos mais rigorosos de segurança, conformidade de auditoria, baixa latência e alto desempenho pela PCI (Indústria de Cartões de Pagamento).

Os HSMs de pagamento são provisionados e conectados diretamente à rede virtual dos usuários, e os HSMs estão sob o controle de administração exclusivo dos usuários. Os HSMs podem ser facilmente provisionados como um par de dispositivos e configurados para alta disponibilidade. Os usuários do serviço utilizam o Gerenciador de payShield do Thales para acesso remoto seguro aos HSMs como parte de sua assinatura baseada em Azure. Várias opções de assinatura estão disponíveis para atender a uma ampla gama de requisitos de desempenho e vários aplicativos que podem ser atualizados rapidamente de acordo com o crescimento dos negócios do usuário final. O serviço de HSM de pagamento do Azure oferece o mais alto nível de desempenho: 2500 CPS.

A solução de HSM de Pagamento Azure usa hardware da Thales como fornecedor. Os clientes têm controle total e acesso exclusivo ao HSM de Pagamento.

Arquitetura de alto nível do HSM de pagamentos do Azure

Depois que um HSM de pagamento é provisionado, o dispositivo HSM é conectado diretamente à rede virtual do cliente, com recursos completos de gerenciamento remoto do HSM, por meio do Thales payShield Manager e do Dispositivo Confiável de Gerenciamento payShield (TMD).

Duas interfaces de rede de host e uma interface de rede de gerenciamento são criadas durante o provisionamento do HSM.

Com o serviço de provisionamento de HSM de pagamento Azure, os clientes têm acesso nativo a duas interfaces de rede de host e uma interface de gerenciamento no HSM de pagamento. Esta captura de tela mostra os recursos do Azure Payment HSM em um grupo de recursos.

Por que usar Azure HSM de pagamento?

O Momentum está aumentando à medida que as instituições financeiras movem alguns ou todos os seus aplicativos de pagamento para a nuvem, exigindo uma migração dos aplicativos locais herdados e HSMs para uma infraestrutura baseada em nuvem que geralmente não está sob seu controle direto. Geralmente, significa um serviço de assinatura em vez de uma propriedade perpétua de equipamentos físicos e software. Iniciativas corporativas voltadas à eficiência e uma presença física reduzida são os fatores que impulsionam essa mudança. Por outro lado, com organizações nativas de nuvem, a adoção da nuvem em primeiro lugar sem qualquer presença local é seu modelo de negócios fundamental. Seja qual for o motivo, os usuários finais de uma infraestrutura de pagamento baseada em nuvem esperam redução da complexidade de TI, conformidade simplificada de segurança e flexibilidade para dimensionar sua solução perfeitamente à medida que seus negócios crescem.

A nuvem oferece benefícios significativos, mas os desafios ao migrar um aplicativo de pagamento local herdado (envolvendo HSMs de pagamento) para a nuvem devem ser resolvidos:

• Responsabilidade compartilhada e confiança – qual possível perda de controle em algumas áreas é aceitável?
• Latência – como um vínculo eficiente e de alto desempenho entre o aplicativo e o HSM pode ser alcançado?
• Executando tudo remotamente – quais processos e procedimentos existentes podem precisar ser adaptados?
• Certificações de segurança e conformidade de auditoria – como os requisitos rigorosos atuais serão atendidos?

O Azure Payment HSM aborda esses desafios e oferece uma proposta de valor convincente aos usuários do serviço por meio dos recursos a seguir.

Segurança e conformidade aprimoradas

Os usuários finais do serviço podem usar os investimentos da Microsoft em segurança e conformidade para fortalecer sua postura de segurança. Microsoft mantém os data centers de Azure compatíveis com PCI DSS e PCI 3DS, incluindo aqueles que abrigam soluções de HSM de pagamento Azure. A solução Azure Payment HSM pode ser implantada como parte de um componente ou solução PCI P2PE / PCI PIN validado, ajudando a simplificar a conformidade contínua com auditorias de segurança. Os HSMs payShield 10K da Thales implantados na infraestrutura de segurança são certificados para FIPS 140-2 Nível 3 e PCI HSM v3.

HSM gerenciado pelo cliente no Azure

O HSM de Pagamento do Azure faz parte de um serviço de assinatura que oferece HSMs de locatário único para que o cliente do serviço tenha controle administrativo completo e acesso exclusivo ao HSM. O cliente pode ser um provedor de serviços de pagamento atuando em nome de várias instituições financeiras ou de uma instituição financeira que deseja acessar diretamente o serviço Azure HSM de Pagamento. Depois que o HSM é alocado a um cliente, a Microsoft não tem acesso aos dados do cliente. Da mesma forma, quando o HSM não é mais necessário, os dados do cliente são zerados e apagados assim que o HSM é liberado, para garantir que a privacidade e a segurança completas sejam mantidas. O cliente é responsável por garantir que assinaturas de HSM suficientes estejam ativas para atender aos seus requisitos de backup, recuperação de desastre e resiliência para alcançar o mesmo desempenho disponível em seus HSMs locais.

Acelerar a transformação digital e a inovação na nuvem

Para os clientes atuais do Thales payShield que desejam adicionar uma opção de nuvem, a solução Azure Payment HSM oferece acesso nativo a um HSM de pagamento no Azure para “lift and shift”, sem deixar de contar com a baixa latência à qual já estão acostumados por meio de seus HSMs payShield locais. A solução também oferece transações de alto desempenho para aplicativos de pagamento críticos.

Os clientes podem continuar sua estratégia de transformação digital usando a inovação tecnológica na nuvem. Os clientes existentes do payShield da Thales podem utilizar suas soluções de gerenciamento remoto existentes (payShield Manager e payShield TMD, juntamente com leitores de cartão inteligente associados e cartões inteligentes, conforme apropriado) para trabalhar com o serviço HSM de pagamento Azure. Os clientes novos no payShield podem obter os acessórios de hardware da Thales ou de um de seus parceiros antes de implantar seu HSM como parte do serviço de assinatura.

Casos de uso típicos

Com benefícios, incluindo baixa latência e a capacidade de adicionar rapidamente mais capacidade de HSM conforme necessário, o serviço de nuvem é perfeito para uma ampla gama de casos de uso, incluindo:

• Processamento de pagamento
• Autorização de pagamento de cartão & móvel
• Validação de criptografia PIN &EMV
• Autenticação 3D-Secure

Emissão de credencial de pagamento:

• Cards
• Elementos seguros para dispositivos móveis
• Dispositivos Vestíveis
• Dispositivos conectados
• Aplicativos HCE (emulação de cartão de host)

Proteção de chaves e dados de autenticação:

• Gerenciamento de chaves de POS, mPOS e SPOC
• Carregamento de chave remota (para dispositivos ATM &POS/mPOS)
• Geração e impressão de PIN
• Roteamento de PIN

Proteção de dados confidenciais:

• Criptografia ponto a ponto (P2PE)
• Tokenização de segurança (para conformidade do PCI DSS)
• Tokenização de pagamentos EMV

Adequado para usuários HSM de pagamento existentes e novos

A solução oferece benefícios claros tanto para usuários de HSM de pagamento com uma base instalada local legada de HSM quanto para novos participantes do ecossistema de pagamentos, sem infraestrutura legada para manter, que podem optar por uma abordagem nativa da nuvem desde o início.

Benefícios para usuários HSM locais existentes:

• Não requer modificações em aplicativos de pagamento ou software HSM para migrar aplicativos existentes para a solução Azure
• Permite mais flexibilidade e eficiência na utilização do HSM
• Simplifica o compartilhamento de HSM entre várias equipes, geograficamente dispersas
• Reduz o espaço físico do HSM nos data centers herdados
• Melhora o fluxo de caixa para novos projetos

Benefícios para novos participantes de pagamento:

• Evita a introdução da infraestrutura de HSM local
• Reduz o investimento inicial por meio do modelo de assinatura Azure
• Oferece acesso ao hardware e software sob demanda mais recentes certificados

Glossary

Próximas Etapas 

• Saiba como começar a usar o HSM de Pagamento do Azure
• Veja alguns cenários comuns de implantação
• Saiba mais sobre Certificação e conformidade
• Leia as perguntas frequentes