【数据加密】选择正确的加密级别来保护您的数据

如今，为了确保组织遵守不同行业和地区的法规，在静止状态下加密数据至关重要。例如，医疗保健组织必须遵守HIPAA。银行和支付组织必须遵守各种法规和标准，包括PCI DSS、SOX和GLBA。存储客户数据的零售商还必须遵守隐私法规，以便在发生安全漏洞时最大限度地减少对客户的影响。除了特定行业的法规外，特定地区的法规（如欧洲的GDPR、加利福尼亚州的CCPA、巴西的LGPD和香港的PCPD）的影响远远超出了其规定的范围。例如，GDPR表面上可能是针对欧洲的，但在欧洲从事任何业务的组织（如为欧洲客户飞行的航空公司）都必须遵守GDPR。

本博客将分析三种不同级别的加密，为什么需要它们来保护您的私人数据免受攻击，以及它们的具体用例。

让我们从一个简单的问题开始：为什么不加密网络上的所有数据，这样我们就可以得到所需的保护？答案是一个挑战：因为我们将无法对加密数据进行分析，也无法从数据中提取见解来推动业务价值（例如，优化供应链，减少客户流失，免费为客户提供更多服务，减少欺诈等）。

数据加密和安全方面的挑战

在讨论数据安全时，我们面临的最大挑战是一方面保护数据，另一方面允许访问受保护的数据进行分析。那么，解决方案是什么呢？

至关重要的是，让数据科学家和分析师能够阅读数据，以获得见解，以营销优化的形式推动业务价值（例如，有针对性的活动），关注销售增长，并优化业务效率以降低运营成本。虽然数据可以帮助实现这些目标，但保护数据对于保持法规遵从性、防止巨额罚款、建立客户信任和提高品牌价值同样重要。

理想情况下，应优先考虑安全和分析；然而，当面临确保安全或执行分析以提取见解的挑战时，由于控制不力，公司会以限制对数据的访问为代价来优先考虑安全性，从而使使用数据可以实现的业务价值达到数百万美元。

加密是保护数据安全的一个方面。我们可以加密所有数据，这将是安全的，但加密的数据对推动见解没有用处。让我们看看三个加密级别以及它们如何保护您：

• 全卷或透明数据加密
• 文件或数据区域级加密
• 属性或字段级加密

Transparent Data Encryption

第一级加密是透明数据加密（TDE）或全卷加密。它通过加密磁盘上的所有数据来工作。例如，在Azure中，可以使用Azure存储服务加密（SSE）启用TDE。当客户端应用程序读取数据时，Azure SSE只需在返回数据之前对其进行解密。这种加密级别的性能开销是最小的，因为它发生在文件系统级别以下，并且整个磁盘都是加密的。因此，解密和加密密钥管理由Azure完成。在AWS上，类似的服务，服务器端加密（SSE-S3），可以用于加密磁盘上的所有数据。

那么，这种级别的加密是如何保护您的呢？TDE可在物理磁盘丢失的情况下防止未经授权的数据访问。例如，如果你的笔记本电脑在机场被盗，TDE会阻止恶意行为者解密和读取你的数据。TDE在数据中心级别似乎没有什么价值，因为有人偷走你的磁盘并实际拿走你的磁盘的可能性很低；然而，在数据中心的情况下，更可能的情况是对旧硬件的不当处理，这可能会导致未经授权的用户访问您的数据——这就是为什么需要在休息时进行全卷加密，以确保符合PCI DSS、GDPR、CCPA、HIPAA和其他一些法规。

File or Data Zone Level Encryption

全卷加密可在存储介质物理丢失的情况下提供保护，但不能在消耗级别保护敏感数据。因为加密/解密发生在文件系统级别以下，所以所有应用程序和用户都会获得解密的数据，这导致敏感数据暴露给所有读取数据的应用程序和使用者。为了保护敏感数据，组织可以使用文件级加密来加密整个数据文件。这种类型的加密的扩展是区域级加密，即创建加密的区域，并对该区域内的所有文件夹、子文件夹和文件进行加密。文件或数据区域级加密允许企业为所有用户加密数据，并为授权用户设置策略，然后授权用户可以对解密的数据运行分析。

由于这种级别的加密会影响整个文件，因此只有授权用户才能看到解密的数据，因为文件无法部分解密。例如，如果数据文件包含SKU、订购数量、价格、客户名称和地址，任何看到该文件的人都将看到所有五个属性。不可能只选择性地加密一个人的姓名和地址，这意味着任何未被授权访问敏感信息的人都不能使用这些数据来生成见解。

在组织内外共享数据时，文件或数据区域级加密非常有用，因为加密的文件或文件夹可以单独发送，密钥可以安全共享以解密文件。这样可以确保没有恶意行为者能够解密文件并访问内容。建议对不同的文件、文件夹和区域使用单独的密钥，并在安全的密钥管理系统中进行管理。

属性或字段级加密

属性级或字段级加密是最细粒度的加密形式。该过程允许您选择性地仅加密文件或数据库中的敏感数据。实施属性级加密使组织能够只加密敏感信息，并在不影响数据合规性要求的情况下向更大的组织开放数据进行高级分析。敏感数据仅针对基于角色的选定用户进行解密。此外，属性级加密提供了算法，如格式保持加密（FPE），以支持对加密数据的分析，向整个组织开放分析，而不会暴露解密数据的风险。

属性级加密更难实现，因为必须支持应用程序级加密和解密。来自受支持应用程序的授权用户可以看到解密的数据，而所有其他应用程序和用户的数据仍然是加密的。

在各个行业和地区，组织必须驾驭与保护其敏感数据相关的新攻击媒介和风险。三种基本的加密方法（全卷加密、文件或数据区域级别以及属性或字段级别）对于保护数据免受这些攻击矢量的攻击至关重要，并为不同的用例提供不同的用途。为了确保敏感数据的全面可见性和控制，组织应采用所有三种加密方法，以确保在整个企业中安全访问其数据，同时严格遵守各种隐私法规和标准。

帮助客户在现场和属性级别加密数据，使数据科学和分析团队能够利用更多数据建立模型和提取见解，以推动新的商业机会，从而提高客户满意度和优化业务效率。