企业数据加密策略规划与落地方案探讨

阅读模式 · 发表于 2021-1-3 23:29:00

企业数据加密策略规划与落地方案探讨
在全球范围内的大规模数据泄露事件频发，数据安全以及隐私保护法规政策逐步强化的背景下，企业数据安全防护体系建设对企业业务风险规避至关重要。一方面，企业核心数据资产的泄露，将给业务带来潜在的致命打击，另一方面，数据泄露也将面临监管机构的严厉处罚。2017年，美国信用评级公司Equifax因黑客攻击泄出近1.5亿人的个人信息及财务数据，并因此就“未能采取合理措施保护自身网络”的过错支付5.75亿美元罚金。
在我国，数据安全法律规范体系也逐步完善，如《网络安全法》、《密码法》、《数据安全法（草案）》、《个人信息保护法（草案）》等，其中《个人信息保护法（草案）》的处罚力度提升显著：对侵害个人信息权利的，情节严重情况下，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、至吊销相关业务许可或营业执照；应对数据泄露带来的业务风险问题最有效的方案是对关键信息做加密处理，这样即使数据库被拖库，或遭遇组织机构内部恶意越权访问，也不会造成敏感信息泄露的损害。
基于数据加密技术，构建数据的贴身安全防护

密码技术是目前世界上公认的，保障网络与信息安全最有效、最可靠、最经济的关键核心技术。通过数据加密实现对核心数据的机密性和完整性保护，将明文变为密文，配合健壮的密钥管理体系，可以防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击以及来自于内部越权用户的数据窃取，从而从根本上解决敏感数据泄漏带来的业务风险问题。
然而，数据加密技术实施具备一定的复杂度，要保障加密策略真正发挥安全效用，并确保获取加密价值回报与投入成本的最优解，需要对数据加密进行细致的策略规划。这包括：

明确数据加密策略核心目标：数据加密的价值主要包括几个方面：防拔盘、防黑客拖库、防内部人员、合规遵从等。不同加密策略可以解决的问题不同，加密策略目标直接影响加密策略的执行方案。如在在等保2.0以及商密合规场景，基于数据库原生TDE的加密策略在密钥的安全性管控、加密算法、商用密码产品认证等方面难以实现合规遵从；

明确数据加密的范围及粒度：加密策略是对数据的最高等级的保护，一般选择敏感字段进行加密，如客户信息、财务数据等商业数据或身份证、电话号码等个人信息等；基于文件层或表空间的加密，一方面加密粒度粗，安全性差，另一方面也将带来无意义的性能损耗或带来潜在的稳定性问题；

评估加密策略执行对业务的影响：包括业务系统改造成本、业务性能影响、数据库兼容性、实施运维以及流程成本等。如数据在应用、DB、文件、存储中流动，加密实施点越靠近应用安全性越高，但加密实施以及密钥管理的复杂度也越高；不同数据库类型对加密技术策略支持程度不尽相同；以及加密后数据库联合检索以及事务处理能力等；

数据加密强度及密钥安全性：包括加密对象、加密算法以及密钥的安全管控机制评估。

总结而言，数据加密策略的实施需要进行系统而细致的规划。一般来说，应考虑以下几个要点，综合制定数据加密实施线路及方案：
对合规敏感性行业，充分考虑合规性条款，包括敏感数据划定及分级标准，加密算法以及密码产品合规性等；
加密策略落地前，梳理加密数据类型以及相应的业务数据流转逻辑，综合规划加密点、解密点、密钥管控逻辑等；
考虑业务运行状态及加密策略实施对系统的影响情况，如对已上线业务系统，考虑存量数据加密处理方案；对未来可能存在处理逻辑变动或持续扩展的系统，考虑加密策略的兼容性及扩展性成本；
详细评估数据加密策略实施中可能存在的数据一致性问题、系统平稳迁移问题，以及意外状况下的加密回滚与数据备份方案；

典型数据加密技术线路优劣势分析
目前，市面上提供了各类基于不同技术线路的数据加密解决方案，以下是针对典型的数据加密技术线路的实现分析及优劣势对比：

分类信息

板块直达

宝兴县灵关保障性租赁住房建设项目（二期）

企业数据加密策略规划与落地方案探讨

学历提升（高起专、高起本、专升

关于我们

常见问题

分类信息

网站服务

欢迎使用无需登录在线留言

关注我们