數據加密保障共享數據安全的方法概論

0 引言

從商業智能與營銷團隊到合作伙伴與第三方供應商，每個人都希望通過數據降低成本，提高效率，開發新產品，優化服務供應并能做出更加明智的數據驅動型商業決策。為了滿足這些需求，將會在更多的地方生成、存儲和處理數據，最終數據也會被共享并分配到更多地方。當前，組織的IT管理部門確實面臨著一種數據保護困境。在組織和建筑范圍之外共享組織/單位的敏感數據的想法成為一個日益重要的問題。需要找到一種方法，既能滿足重要的業務需求與要求，同時還能保護數據免遭惡意威脅破壞。

隨著組織的敏感數據被保存、劃分、切割并共享給更多人，IT管理員必須找出一種能夠保持數據安全的方法，尤其是在云和多用戶環境下更是如此。經批準的用戶與程序需要能夠利用可用的數據，需要確保諸如知識產權、個人身份信息以及組織財務信息在內的任何高價值敏感性信息無論被存放于何處都處于鎖定的安全狀態。

很顯然，為了消除數字鴻溝，必要的共享是需要的。但也有一些敏感數據，趨勢是既能為工作所需，又不是簡單共享的，這些安全途徑包括：

將數據遷移到云中：利用云所提供的高效與可擴展性優勢，同時保持在共享環境下對數據與加密密鑰的完整所有權與控制力。

實現大數據分析：而不會將敏感數據暴露給可能導致數據外泄的外部和內部威脅。

授權對可用數據的訪問：同時通過對用戶與服務進行認證保護知識產權或個人身份信息安全，確保用戶身份與其所宣稱身份相一致。

1 敏感數據保護計劃框架

太多時候，共享的數據超出了應當共享的范圍。不只是指社交媒體，也包括組織內部敏感數據資產的共享情況。為了不共享組織的敏感數據，IT管理者需要擬定一套計劃。幾年前，受制于技術發展，只能對數據進行周界保護。雖然作為一個額外的保護層，網絡周界安全技術沒有任何問題，但是再不能將它作為數據安全策略的根基，日常中非?？赡馨l生數據外泄問題，傳統的周界安全技術不再能夠提供充分保護了，組織的敏感數據已經成為新的周界。

現在，得益于加密技術的發展和成熟。可以利用一些工具、方法不共享并保護組織的敏感數據。

首先，需要確定內部數據中心所保存的最敏感數據資產，然后找出外部數據中心（云和虛擬環境）中的最敏感數據資產。搜索存儲與文件服務器、應用程序、數據庫與虛擬機，且不要忽略在網絡與數據中心之間傳輸的流動數據。一旦這些數據離開組織的管轄范圍，就不能控制了。下一步，對其進行加密。數據加密承諾雖然簡單易行，但是不要忽略密鑰重要性。通過采用與數據相分離的方式集中管理并保存密鑰，IT管理者可以保持對數據和密鑰的所有權與控制力，同時優化加密基礎架構便于進行審查與控制。

2 利用隨處加密的策略來保護敏感數據

加密策略與選擇部署的解決方案應當滿足兩個核心要求：

提供訪問控制：定義可以訪問組織數據的人員與程序；

直接保護數據：將保護與控制力應用到數據本身。

除了強有效的集中化密鑰管理之外，確保數據保護解決方案可以隨處加密敏感數據，無論是靜態數據還是移動中數據，都可以對其提供保護。

2.1 應用程序級加密

采用應用程序級加密，可以將保護應用到多種類型的數據上面，范圍涵蓋從非結構化數據到結構化數據，如信用卡帳號、公民身份證號碼以及銀行密碼等。在網絡或應用程序服務器生成數據或首次處理數據時就對其進行加密可以確保在數據整個生命周期內都是安全的，無論數據在多個環境間傳輸、備份、拷貝或遷移多少次，都能確保其安全性。方案提供的應用程序安全性在適用于業務應用程序的商業加密方案中是最高級別的，客戶關系管理（CRM）、企業資源規劃（ERP）和人力資源管理（HCM）等應用程序均可使用。

2.2 列級水平數據加密

從信用卡信息、患者數據和社會安全碼到客戶電子郵件地址，各級組織的一些最有價值的信息資產將保存在數據庫中。通過對含有敏感數據的具體字段進行高效地加密與解密運算，一套列級水平加密解決方案可以在數據存儲區內快速實現對大量敏感的結構化數據的寫入與讀取操作。對內部、云和虛擬環境中的這一欄水平數據進行加密可以防止發生數據外泄事件，同時確保組織符合多項法規與強制要求。

2.3 文件與文件夾水平加密

考慮到數據量與相關性，內部、虛擬與云環境中網絡驅動器與文件服務器上的高價值數據通常是最具吸引力的，也最容易成為攻擊的目標。包括敏感數據，也包括文字處理文檔、電子表格、圖片、設計、數據庫文件、導出、存檔與備份文件等。一套文件水平的加密方案使 IT管理者可以根據自身制定的政策對本地和對應網絡中的這些敏感數據實現自動化的透明加密。在發生數據外泄、誤用或特權賬戶遭受黑客攻擊、服務器被盜走和其他潛在威脅情況下，一套文件級加密方案會將敏感數據處理成為毫無用處的信息。需要注意的是，在IT管理者遴選文件和目錄級別加密方案時，文件夾和文件加密均是無縫和透明的，不能影響業務運營、業績或最終用戶體驗。用戶成功通過驗證后，文件保護進程會被自動啟動，在不影響生產力的情況下應用政策。

2.4 云環境加密

云和虛擬化讓組織有足夠的靈活性和效率即時推出新服務并擴展其基礎設施。但物理控制或已定義入口和出口點的缺乏，會帶照顧一系列安全問題-數據混合、授權用戶濫用、快照和備份、數據刪除、數據泄漏、地理性監管要求、云超級管理員等。

如果沒有對云存儲環境實現適當水平的加密，遷移商業應用程序并將敏感數據保存到云環境中是比較有風險的。在由獨立云服務供應商托管云環境中所存儲數據的情況下，非常重要的一點是要將高可用性解決方案部署就位，提供對整個虛擬機以及相關存儲卷的全盤加密功能。對整個虛擬機進行加密讓IT管理者可以保持對云中敏感數據的完整控制力，同時滿足一系列行業安全標準與政府法規要求。

2.5 網絡存儲加密

敏感數據通過網絡傳輸、更多交易在網絡上進行、網絡中涉及的價值越來越高。除了需要加密來防止安全威脅，很多組織還需要確保并證明他們合規要求，包括政府、行業和地區政策。愈發復雜的安全破壞情況與更為嚴苛的政府法規，以及爆炸式的數據增長、虛擬化與合并，這些都為存儲安全帶來了新的挑戰。

網絡存儲加密會保護連接到以太網網絡的文件數據，使用SMB（CIFS）/NFS文件共享協議保護NAS存儲數據安全。一旦敏感數據在網絡存儲上被加密后，無論選用哪種存儲介質，它都會在整個生命周期內保持加密狀態。即使備份與存檔也是安全的，無需任何額外操作。網絡存儲會根據自定義商業政策加密數據，提高當前認證服務水并確保數據隔離安全，即使在多用戶環境下也能保證安全。只有授權用戶才能以明文方式訪問數據。加密機制必須支持合規要求并提供高級審計報告功能，并可以確保信息的安全，同時不會降低網絡或影響其他業務功能。

2.6 令牌化

隨著組織內部所采集個人敏感數據量的增長，數據暴露風險也在增大。令牌化是另一種數據保護方案，該方案通過使用所存儲、處理或傳播的唯一令牌在明文數據位置替換數據來對敏感數據進行保護，這些敏感數據諸如帳號、社會安全碼、電話號碼、密碼、電子郵件地址等。格式保留令牌化（FPT）方案可以保持敏感數據的長度與格式，無需對數據庫與應用程序做出變更，這就使其具備在內部、云和虛擬環境內跨越多個數據中心的良好可擴展性。

2.7 高速加密

除了靜態數據解決方案之外，組織也需要對跨越網絡和/或在數據庫中心流動的數據進行保護。網絡也會遭受持續的攻擊，敏感資產一直面臨的暴露危險。比以往更重要的是，采取加密措施是應對網絡中傳輸數據所面臨威脅的一項至關重要的強制要求。二級高速加密可以幫助組織確保網絡流量數據是安全的。與此同時，該解決方案可以讓組織最大程度發揮網絡性能與運營效率，提供安全保證，而不會影響性能，同時最大程度提高吞吐量并減少甚至實現零延遲。

2.8 密鑰管理

憑借密鑰管理方案，組織可以在整個密鑰管理生命周期中集中、有效、安全地管理整個企業范圍內的保護密鑰和政策。理想的解決方案可以跨異類加密平臺管理密鑰，為密鑰管理互操作性協議（KMIP）標準以及專有接口提供支持。如此，安全團隊可以統一查看、控制并管理其所有敏感數據的加密政策和密鑰，無論是云中、存儲設備中、數據庫中，還是其他任何位置的數據。

3 結語

隨著組織的敏感數據所面臨威脅的不斷增加并且變得日益復雜，采取方案進行保護是很重要的，通過采用創新的加密方法、最先進的加密管理技術和強認證與身份管理解決方案隨時隨地保護相關數據，以一種以數據為中心方式確保自身數據安全。除了靜態數據加密解決方案之外，組織還應重視保護移動中數據。包括對時間敏感的語音與視頻流以及元數據。實現與嚴苛的數據隱私法規要求的合規性并確保敏感的組織資產、客戶信息與數字交易信息的安全性，免遭暴露和惡意控制，從而在數字化程度日益加深的世界中保持客戶對組織的信賴。