021-54410609
数据加密是组织应对新出现的安全威胁和法规遵从性要求的重要组成部分。大多数组织已经通过加密数据来实现控制，但是发现在整个生命周期中快速管理关联的加密密钥成为一个问题。
不正确的密钥管理做法还会创建一组新的安全漏洞和风险，使需要授权的用户无法访问重要数据。简而言之，加密很容易，但是密钥管理却很困难。如果丢失了加密密钥，则实际上将失去对数据的访问权限。如果您无法控制和审核对密钥的访问，则您的下次审核将失败。
如果将密钥与数据一起存储，则加密是无用的，并且非常容易受到攻击。
统一的数据保护策略可保护敏感数据，无论它在哪里存在，它都可以通过满足严格的标准和审核/ 合规性来安全地创建和管理密钥，从而使人们可以放心使用，这是不断增长的需求生存之道。几乎加密所有内容。
我们已经看到最近公司和政府试图绕过加密。
但是，想象一下您的组织中存在类似的情况，重要数据的密钥由在回家途中因车祸生病或死亡的个人管理，甚至更糟。
管理密钥的问题不仅在于未经授权的分发，而且还在于获得授权用户的密钥，尤其是在密钥所有者由于某种原因不可用的情况下。
解决方案是使用集中式密钥管理技术，并且永远不要将密钥留给个人决定。它永远不会再将您锁定在自己的数据之外。
集中式密钥管理看起来像是用于分布式密钥管理的中心辐射型架构。一个集群式集中式密钥管理器，存储了数百万个密钥对象，安全地公开了各种标准协议，这些协议允许加密和解密客户端存在于整个企业网络中。密钥管理组件和协议可轻松部署到这些客户端，并与本地加密应用程序集成。一旦集成，就可以在本地执行数据的加密和解密，从而最大程度地降低网络或单点故障的风险，从而避免对整体数据安全态势产生重大影响。密钥管理器必须管理用于辐条处加密的密钥的生成，安全存储，轮换，导出和撤消，以提供互操作性和可伸缩性。
我们将以下六个最佳实践标记为“能力因素”，以考虑加密解决方案及其集中式密钥管理器：
“兼容性”
定义围绕硬件和软件加密系统的安全性要求的标准是使用最广泛的联邦信息处理标准（FIPS）140-2。对于不同类型的系统（硬件还是软件），它具有不同的配置文件，并且具有四个不同的安全级别。同样，FIPS认证可能仅适用于系统的组成部分，而不适用于整个密码边界。尽管始终需要经过全面审查和认证的系统。此外，请考虑是否还需要满足通用标准（ISO / IEC 15408）标准。通用标准不是特定于加密的，而是用于验证功能和保证安全性要求的通用标准，并且对于某些法规或与合作伙伴或客户的合同可能是必需的。
美国国家标准技术研究院（NIST）推荐AES作为自2001年以来的最高加密标准。AES支持多种加密模式，以及三种加密密钥大小：128位，192位和256位密钥（推荐） ）。用于保护静态数据的任何加密都应使用AES标准加密。
PCI还要求必须以安全的方式传输或传输密钥。满足任务要求的最佳方法是使用公钥/私钥来保护密钥管理者与其客户之间的隧道。首选密钥管理器，它支持增强的公共密钥密码技术以及内部证书颁发机构（CA），以避免任何外部依赖性。
“可用性”
安全性和合规性要求定义了更加分隔的数据中心。组织分布更加分散，拥有多个数据中心，甚至还有跨越它们的更多应用程序和服务。可以定义两个模型。
集中式集群：在此模型中，密钥管理器位于中央位置，可从任何需要的位置访问。通常，组织在想要维护单个密钥管理器时选择此选项。这是传统数据中心的一种常见做法，但不适用于我们今天看到的分隔式数据中心。
分布式集群：在此模型中，密钥管理器分布在不同的物理位置，从而在它们之间同步数据。如果需要，这是支持跨多个物理位置和地理位置的多个数据中心的最佳模型。这也可以在单个隔离的数据中心内使用以实现冗余。您可能可以混合使用物理和虚拟密钥管理器，尽管我不建议这样做，因为这可能会暴露出您的皇冠上的宝石，从而损害内存。
“可伸缩性”
随着我们从单一的设计转移到越来越多的，有时是短命的服务，关键经理的自定义应用程序变得越来越分散和分散。这增加了在不损害安全性的情况下更广泛地发布和管理密钥的需求，例如，将数据加密密钥分发到临时数据容器。集中式密钥管理解决方案应该进行扩展，以支持企业不断增长的需求。希望为真正的企业规模解决方案维持数千个客户和数百万个密钥。
“互操作性”
如果设计良好的中央密钥管理服务无法管理您的所有加密密钥，则相对而言是徒劳的。众所周知，密钥管理者会强制执行特定于供应商的密钥交换协议，如果供应商具有端到端的存储解决方案生态系统，这可能是一个好主意，但是要避免供应商锁定，行业标准支持至关重要。
众所周知的供应商中性密钥管理/交换标准，定义了系统如何交换和通信密钥
OASIS KMIP（密钥管理互操作性协议）
PKCS＃11（公钥密码标准）
KMIP被广泛用于密钥管理器中的静态数据加密解决方案，而PKCS＃11用于HSM（硬件安全模块），但是有很多重叠之处。
其他标准，例如Microsoft的CAPI和Java密码学扩展（JCE），也适用于非常特殊的编程语言和应用程序的加密和密钥管理。
“可管理性”
我们专注于满足不断发展的数据中心架构，不同的部署方案和互操作性的要求；但是传统的用户/系统管理惯例仍然适用：
基于角色的访问控制：实施多个级别的管理员及其角色在理想情况下需要定义的职责，例如备份管理员，应仅限于其角色。
多个凭据：在严格的环境中，密钥管理解决方案存在于双重访问控制权限中，用于直接影响密钥安全性和其他主要管理功能的操作。
信息安全、数据所有者或基础设施：高级管理层通常提出的另一个问题是：谁来管理这些设备？信息安全团队对加密的数据/过程，数据所有者或基础架构团队一无所知？不幸的是，这个问题还没有一个万能的答案。
将密钥与数据分开并分配职责是一个好主意。如果数据所有者也是关键管理员，那么谁在监视值班员？
职责分立，我们是否有足够的管理员准备参与流程并获得所有权？
基础架构团队谁能像其他服务器一样更好地管理平台？
双重访问控制是一个好主意，但是解决方案和密钥管理器支持吗？
开发、生产和质量检查系统怎么样？
许多用户和高级管理人员都在为这些问题而苦苦挣扎。以下是一些准则：
由于对数据的物理访问，基础架构团队不能成为拥有关键管理流程的理想人选。
数据所有者再次听起来像是一个糟糕的候选人，因为他们可以访问数据并转换为纯文本，而无需任何其他权限。
信息安全是拥有密钥管理者和密钥的最佳团队。这样，我们将能够加强职责分离并避免串通。
启用审核日志，包括目的：日志对于合规性是必需的，但对于维护密钥的安全性至关重要。目的代码（或等效的元数据，如果支持的话）确认了为什么访问密钥，而不是仅由谁和何时访问。
如果启用了双重控制，那么信息安全和数据所有者是一个好主意
“性能”
管理加密生态系统的另一方面是要了解对性能的影响以及增加的复杂性和平台依赖性。市场上有较新的技术（例如HPE Secure Encryption）在硬件层实施加密，这对于应用程序甚至对底层操作系统都是透明的，从而使其与平台无关。技术还支持就地加密数据，而不是四处迁移。
密钥轮换是密钥管理的另一个重要方面。加密解决方案必须支持密钥更新活动，以符合监管机构的要求并克服任何灾难性情况。Rekey不需要先解密一组加密数据，然后在密钥过期或更改时重新加密。需要一种支持密钥层次结构的解决方案，以便可以更改更高级别的密钥，以保持数据完整。
结论
组织管理的数据正以惊人的速度增长，管理数据并在分布式环境中确保数据安全的复杂性也在增长。应用程序对性能和安全性的需求，而合规性要求则采用了新的模式，例如让业务部门管理自己的资产，以适应不断增加的敏捷性压力并在市场上保持竞争力。加密是最有效的方法，可确保我们的数据安全，同时保持职责分离，加强合规性和审核访问权限，以使审核员满意。
加密需要密钥管理，而集中化是可用方法中的最佳方法。在企业范围内管理单个密钥是不可能的，尤其是在受监管的环境中。在互操作性仍然是梦想之时，它曾经是一种选择，但是KMIP等行业标准正在推动我们减少摩擦，并为统一的密钥管理提供单一的平台。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话