021-54410609
随着数据泄露事件不断增加，全球各组织都意识到仅仅实施外围防御系统已经不足以阻止网络攻击。
虽然防火墙，防盗，反间谍软件等前线防御机制无疑是对网络攻击的有力威慑，但当黑客通过利用其漏洞绕过它们进入内部时，它们将变得毫无用处。
由于数据泄露事件激增，许多法规，如支付卡行业数据安全标准（PCI DSS），UIDAI的Aadhaar通告，RBI的Gopal Krishna委员会报告以及即将出版的印度个人数据保护法案，现在敦促组织加密其客户的个人数据。
这导致越来越多的组织采用数据加密作为网络攻击可能发生的最后一道防线。不幸的是，随着网络犯罪分子越来越聪明，越来越复杂，仅仅加密数据不再是防止数据泄露的众所周知的银弹。
在这里我们将深入探讨（加密）密钥管理的概念，并涵盖明确定义的密钥管理策略（KMP）在数据保护中发挥的关键作用。
让我们首先从基础开始吧！
加密（加密）密钥的类型
加密密钥可以大致分为两种类型 - “对称密钥”和“非对称密钥”。
在对称密钥加密中，加密算法使用单个（即相同的）密钥进行加密和解密。相比之下，在非对称密钥加密中，该算法使用两个不同（但相关）的密钥进行加密和解密。这些密钥称为“公钥”和“私钥”。
虽然公钥用于数据加密，但私钥用于数据解密。由于使用公钥加密的任何数据都不能在不使用相应的私钥的情况下解密，因此确保私钥的最佳安全性对于万无一失的数据保护至关重要。
密钥管理
由于加密密钥在其生命周期中经历了多个阶段 - 如生成，注册，分发，轮换，归档，备份，撤销和销毁，因此在每个阶段安全地管理这些密钥非常重要。
有效的密钥管理意味着保护加密密钥免受丢失，损坏和未经授权的访问。
密钥管理面临的挑战
随着越来越多的组织今天为多个业务和地理位置分布的各种不同的加密相关系统生成数千个加密密钥，密钥管理成为一项巨大的挑战。
为了确保加密密钥不落入坏人之手，许多组织遵循的常见做法是将这些密钥单独存储在FIPS认证的硬件安全模块（HSM）中，这些模块内置有严格的访问控制和强大的审计跟踪机制。
然而，随着组织使用各种HSM设备（如支付HSM）来处理金融交易，通用HSM用于常见的加密操作等，密钥管理问题愈演愈烈。此外，仅仅将密钥存储在HSM设备中是不够的，因为除了安全存储之外，在其生命周期的每个阶段对加密密钥的有效管理是非常重要的。
组织面临的一些其他关键管理挑战包括使用正确的方法在系统证书和密钥到期之前更新系统证书和密钥，并在跟踪遗留系统上的加密更新时处理专有问题。
因此，网络安全专家建议组织集中管理其加密密钥，整合其不同的HSM系统，并制定全面的KMP，为有效的密钥管理提供明确的指导。
密钥管理政策（KMP）
虽然大多数组织都有全面的信息安全和网络安全政策，但很少有组织具有文档化的密钥管理政策。
明确定义的KMP牢固地建立了一套规则，涵盖了在组织级别保护和管理加密密钥的目标，职责和总体要求。
旨在密切覆盖密钥生命周期的每个阶段，强大的KMP应该保护密钥：
1.机密性
2.完整性
3.可用性和
4.源身份验证。
KMP还应涵盖组织密钥管理系统可以使用的所有加密机制和协议。
最后，但并非最不重要的是，良好的KMP应保持一致，并且必须与组织的其他宏观政策保持一致。例如，如果组织的信息安全政策要求将电子传输的信息安全存储7到10年，那么KMP应该能够轻松地与这种授权保持一致。
把它们加起来
数据加密不再足以防止数据泄露，仅仅单独存储加密密钥不再能保证防范复杂的网络攻击。
小时的需要是在生命周期的每个阶段保护密钥，集中管理密钥并实施强大的KMP以确保最佳的数据保护。
了解相关产品：
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话