021-54410609
从集中化到自动化，这是给您的十二步指南，可以更加主动地使用企业的加密密钥管理
“保护存储在我们服务器上的数据的第一件事是什么？” 如果您向涉及数据安全性的任何人提出这个问题，那么所有人都会说一个单词：“加密”。那是因为这可能是任何收集敏感数据的人都可以保护它的唯一方法。
由于备受瞩目的数据丢失和法规遵从标准，各种身材的企业中加密的使用正在上升。单个企业可以在许多不同的级别和渠道上部署加密，包括保护网站，电子邮件通信，用户和组织数据等的安全。因此，这意味着中型到大型企业可能正在处理潜在的数千个加密密钥。在任何给定时间。
坦白说，任何人（甚至一个团队）都需要处理很多工作。每个密钥的安全性很重要，这就是为什么必须要有适当的企业加密密钥管理策略的原因。
在本文中，我们将讨论不同的行业加密密钥管理标准。之后，我们将介绍在您的组织内管理加密密钥的11种最佳实践。
让我们对其进行哈希处理。
为什么强加密密钥管理很重要？
如您所知，加密是对数据进行加扰的过程，以便只有预期的参与方/组织才能访问它。通过使用称为加密密钥或加密密钥的安全工具来完成此过程。每个密钥包含一个随机生成的比特串，用于加密（和/或解密）数据。因此，如果您将加密视为锁定数据，则加密密钥是该过程不可或缺的一部分。
美国国家标准技术研究院（NIST）在其特别出版物800-57第1部分（修订版）中给出了最好的评价。
加密密钥在加密操作中起着重要的作用。这些钥匙类似于保险箱的组合。如果对手知道某个保险柜组合，则最强的保险柜不会提供防穿透的安全保护。加密密钥的正确管理对于有效使用加密技术以确保安全至关重要。密钥管理不善可能会轻易损害强大的算法。
如果您的加密密钥遭到破坏，您将陷入困境。那是因为有人可以使用这些密钥来：
创建模仿您原始网站的钓鱼网站；
冒充您或您的员工来通过您的公司网络；
以您的名义签署申请或文件；
提取/篡改服务器上存储的数据；
阅读您的加密电子邮件，并做许多邪恶的事情。
如果网络犯罪者掌握了您的密钥，那么他们可以做任何（或全部）操作，这对他们有利，对您不利。他们可以使用您的密钥通过索要赎金来赚钱，将您的数据卖给竞争对手，在公共平台上共享它们并破坏您的声誉。
任何组织都不想发生任何事情。因此，就数据安全性和隐私性而言，加密密钥管理应成为您的首要任务之一。
实施加密密钥管理工具和策略的优势
对系统内存在的所有证书和密钥的可见性是有效数据安全性不可或缺的一部分。但是除了安全性之外，强大的加密密钥管理的其他不可否认的优势包括：
更有效的密钥分发/移动性。
更好的可见性和密钥控制能力，可实现有效的密钥管理。
减少了员工，客户和IT部门之间的来回交流。
降低自动化成本。
减少停机时间和相关的违规处罚。
减少数据丢失。
那么，什么是加密密钥管理？
对于“加密密钥管理”一词，许多人都有误解，因为他们认为这等同于安全地存储加密密钥。可能部分正确，因为安全保存加密密钥是加密密钥管理的一部分，而不是整个加密过程。加密密钥管理涉及与加密密钥有关的所有任务和方法-从密钥生成到销毁。
加密密钥管理包括：
制定和实施各种用于管理密钥管理过程的策略、系统和标准。
执行必要的密钥功能，例如密钥生成、预激活、激活、到期、后激活、托管和销毁。
确保对密钥服务器的物理和虚拟访问。
限制用户/角色对加密密钥的访问。
我需要保护我的加密密钥吗？
“是，而且必须！”通过强大的加密管理过程安全地存储加密密钥至关重要。如NIST SP 800-57第1部分所述。
最终，信息的安全保护，通过密码直接取决于密钥的力量，加密机制以及与键相关联的协议的有效性，并提供给关键的保护。需要保护秘密和私有密钥，以防止未经授权的泄露，并且还需要保护所有密钥，以防止修改。
加密方法的强度可能取决于其应用的数学算法。但是，这并不是一个大问题，因为大多数加密方法都带有最新的安全算法。但是，更重要的问题是如何存储和管理密码密钥。
当人们问他们是否需要努力保护和管理其私钥时，我只是听不懂。我对任何问这个问题的人都有一个直截了当的问题：“如果您知道犯罪分子想闯入，您是否会将房门钥匙藏在门垫下？” 关于数据加密的事情是，如果丢失了加密密钥，它将毫无用处。因此，如果您管理/存储敏感数据，则需要加密，因此，需要保护加密密钥。就这么简单！
在考虑加密数据之前……
我的提示将使您的工作更加轻松：并非所有内容都需要加密。因此，找出真正需要加密的数据，因为它们很敏感，并且需要存储或传输。然后，仅加密您真正需要的数据，然后安全地处理其余数据。
企业加密密钥管理的要求
加密是必要的，加密密钥也是如此。但是，可靠的企业密钥管理系统的要求不仅仅是保护密钥。不仅如此。在设计行动计划之前，需要考虑以下四个基本加密密钥管理要求：
安全性：您必须不惜一切代价确保对加密密钥的保护。威胁不仅来自外部，而且也可能来自内部。您的安全性机制应准备好进行处理。
可伸缩性：企业拥有的数据量通常仅朝一个方向移动。因此，您的加密密钥管理系统必须准备好随着可用信息量的增长而有效地管理加密密钥。
访问：存在加密密钥以对数据进行加密，因此，必须确保以适当的方式将密钥授予适当用户的访问权限。
合规性：您组织中的加密密钥管理生态系统必须建立在适当策略和标准的坚实基础上。您必须确保遵守我们前面提到的美国国家标准技术研究院的密钥管理建议书（SP 800-57第1部分）。
企业加密密钥管理最佳实践
现在，这是您一直在等待的部分——我们为您的企业提供的12个密钥管理最佳实践列表。我们没有采用固定的标准或系统，而是尝试挑选可以实施的最佳实践，以实现组织内部更好的密钥管理。让我们开始吧！
1.集中您的加密密钥管理系统
如今，许多公司都使用数百甚至数千个加密密钥。根据KeyFactor和Ponemon Institute的2020年报告，“60％的受访者认为他们在整个组织中使用的证书超过10,000个。”这些密钥的安全存储变得棘手，因为您需要在许多情况下立即访问。那就是集中存储加密密钥的地方。
理想情况下，公司应采用集中的内部企业密钥管理服务。但是，由于并非所有组织都具有复杂的技术能力，因此并非总是如此。通过使用第三方加密密钥管理服务，此类公司可以大大受益。这些服务将所有加密密钥和数字证书安全地存储在安全的密钥库中，远离已加密的数据和系统。从安全的角度来看，这是有利的，因为即使数据以某种方式受到破坏，密钥也仍然受到保护。由于加密密钥集中存放，因此可以最大程度地减少可能暴露给攻击者的密钥数量。
集中式方法无疑在安全性方面是有益的，但由于加密-解密过程在存储数据的本地进行，因此它还提高了性能。同时，密钥的生成、安全存储、轮换、导出和撤消由密钥管理器完成，而密钥管理器与数据不在同一个位置。
2.利用自动化发挥自己的优势
自动化不仅仅用于数字证书管理。加密密钥管理的最明智的方法之一是使用自动化来生成密钥对，以设置的间隔更新密钥和轮换密钥。仅依靠手动密钥管理不仅耗时，而且是一个昂贵的过程，常常会导致错误-特别是对于企业和其他大型组织而言。
3.集中用户角色和访问
一些组织可能正在使用数千个加密密钥，但并非所有员工都需要访问所有这些密钥。因此，仅应将加密密钥访问权限授予其工作需要的人员。您应该在集中式密钥管理器中定义这些角色，以便仅向经过身份验证的用户提供凭据，以访问与该特定用户配置文件关联的加密数据。
此外，请确保没有单个用户或管理员拥有对该密钥的唯一访问权。这是一种备份机制，以防用户丢失其凭据或意外离开公司。
4.支持多种加密标准
每个加密和/或存储数据的组织都必须为加密和解密过程选择特定的加密标准。但是，这并不意味着其他标准将无用。对于合并、收购或合伙制，您可能需要与需要支持不同加密标准（例如AES、RSA等）的组织合作。这就是为什么您选择的安全解决方案必须支持多种加密标准的原因。
5.实施健壮的日志记录和审核
当您处理大量数据并使用大量的加密密钥时，您无法时刻关注每个密钥和用户。因此，尽管您将密钥存储在中央位置，但必须进行日志记录和审核以支持这些密钥的民主化。
必须支持这种民主化，以确保有一个顺畅的加密密钥管理系统。但是，这并不意味着您对此无能为力。您可以（并且必须）对用户执行的所有活动进行广泛的自动日志记录。这应该包括访问敏感数据，用户，使用的加密资源，访问的数据，时间等的详细信息。万一发生问题，这些日志将极大地帮助您。
6.为员工创建加密密钥管理策略
通过分配用户角色及其加密密钥访问权限，您可以限制暴露位置。但是，这只是完成工作的一半，因为要访问密钥的人员必须有一套说明/政策来指导他们做什么和不做什么。这些政策必须像达成协议那样坚决地执行，以便人们仔细考虑每一个决定。最好设置一个单独的培训课程来重点交流每个观点。
7.实行最低特权原则
组织应避免为应用程序分配尽可能多的管理特权，因为这会使应用程序极易遭受内部和外部威胁。相反，他们应该做的是根据用户角色授予访问权限。这称为“最低特权原则”，或简称为POLP。这样，访问受到限制，潜在的损坏也受到限制。
8.与第三方设备集成
每个组织都将使用大量或较小的外部设备。这些设备分布在网络上，以使用专有工具执行特定功能。通常，它们没有面向数据库的应用程序，因此不会与数据库进行交互。因此，为了简化这些工具的功能，您部署的加密机制必须兼容才能与这些第三方工具或应用程序一起使用。
9.备份您的加密密钥
如果丢失了加密密钥，则很可能将无法恢复使用该密钥加密的数据。因此，拥有有效的密钥备份功能非常重要。备份数据时，必须确保已使用最先进的加密标准对数据进行了加密。此外，还必须确保定期删除过期的密钥。
10.密钥管理器的保护和已删除密钥的恢复
您存储在集中式密钥管理器中的密钥是您的宝藏，您必须不惜一切代价保护它们。因此，您必须实施健壮的安全机制，以确保您的密钥受到保护，免受各种威胁和攻击。但是，如果您面临的威胁之一是您自己的错误，该怎么办？
这就是为什么必须提供加密密钥恢复的关键所在。加密密钥的丢失会导致数据丢失。因此，无论恶意行为者是删除密钥还是您误将其删除，都应该有一项措施来恢复所有已删除的密钥。
11.做好处理事故的准备
无论您实施多少策略或所应用的机制，在某些时候都会出错。并且您的组织必须准备好处理它们。例如：
用户可能会丢失其密钥的凭据，
员工可以离开公司（或被解雇）。
密钥可能会被泄露。
加密算法可能存在缺陷。
您可能不小心在GitHub上发布了私钥。
可能会发生此类事故，您应在实际发生之前确定所有可能性，并采取预防措施。应该对安全基础结构进行连续审核，以最大程度地减少此类事件。
12.轮换密钥：不解密/重新加密
在处理大型数据库的组织中出现的一大问题是加密密钥的到期/更改。为解决此问题，我们建议为每个加密的数据字段或文件分配一个密钥配置文件。这样，此密钥概要文件将使您能够识别必须用于解密数据库的加密资源。因此，当密钥更改或到期时，不必先解密然后重新加密数据。
每当密钥过期或被替换时，密钥配置文件将确保使用新密钥来加密数据。对于已经存在的数据，密钥配置文件将标识原始密钥。
关于加密密钥管理的最终决定
从远处看，企业密钥管理似乎就像在吃大象。但是，它不必那么复杂（或很累）。如果您能够创建强大的策略，启用强大的访问控制并实施集中式管理，那么即使在最复杂的环境中也可以实现强大的加密密钥管理。
毕竟，您的组织、员工和客户应该得到强大的企业密钥管理所提供的效率、安全性和私密性。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话