云数据保护的关键问题

密钥管理——为谁可以解密和访问受保护信息的密钥的处理、管理和存储——是一个经常被忽视但又是加密的关键要素。许多组织将这部分留给他们的供应商，或者在硬件和软件的 IT 基础设施中不一致地存储它们。缺乏集中控制会危及加密的完整性。事实上，密钥的管理比加密本身更重要，因为如果密钥发生问题，整个数据集都可能被盗或丢失，而您对此无能为力。

主要的云计算巨头正在深入研究这项技术，这一事实表明密钥管理正在得到更认真的对待。理所当然。证明数据控制的能力对于满足合规性要求至关重要。但是，如果您没有密钥的完全控制权和所有权，您如何真正拥有您的数据？

随着时间的推移，越来越多的组织正在将其敏感数据和业务应用程序迁移到云中，以提高运营灵活性、成本效率和快速可扩展性。为避免供应商锁定单个云服务提供商 (CSP)，例如 Microsoft Azure、AWS、Oracle Cloud 和 IBM Cloud，许多组织选择在多云环境中与多个 CSP 合作。

随着越来越多的关键数据存储在云中，网络攻击和数据泄露的可能性呈指数级上升。虽然大多数 CSP 提供本地数据保护功能，但“责任共担模型”规定保护业务和客户敏感数据的最终责任在于组织。虽然有共同的责任来保护云中的数据，但没有共同的责任，危害敏感数据的潜在安全事件的影响仍然是公司的责任，公司有责任确保遵守相关的隐私法规，例如GDPR、Schrems II、PCI-DSS、HIPAA 或 CCPA。

虽然组织越来越多地投资于周边安全机制，但他们未能充分投资于加密技术，这些技术在发生网络攻击时充当关键防线。不断增加的复杂网络攻击事件导致数据泄露，给组织造成数十亿美元的损失，这一点显而易见。

为了最大限度地减少潜在安全事件的影响并优化敏感数据保护，GDPR、PCI-DSS、HIPAA 或 CCPA 等安全和隐私法规要求采用加密。

然而，仅仅加密云中的敏感数据是不够的。云安全联盟建议将信息存储在云中作为行业最佳实践，让客户控制密钥管理和加密过程。有效管理密钥生命周期和加密敏捷对于建立对数据机密性、完整性和可用性的信任至关重要。

就此而言，欧盟网络安全局 (ENISA) 指出，客户端加密是为客户提供对其数据的真正控制权，同时降低第三方未经授权访问风险的唯一方法。NIST SP 800-144 补充说，组织应该“控制中央密钥材料并为基于云的应用程序配置密钥管理组件”。

多云数据保护的障碍

在云安全和高效密钥管理方面，《2021年Thales数据威胁报告》揭示了组织目前面临的五个主要痛点，这些痛点阻碍了他们充分利用云平台提供的潜力。

1. 缺乏对安全和加密实践的可见性。由于 CSP 对加密实践和方案的可见性和访问权限有限，组织的风险管理团队不愿意允许将敏感和关键任务数据存储在云中，因为数据泄露的影响很大。

   
   

2. 满足合规要求。安全和隐私法规要求使用最先进的做法来保护个人和敏感数据的机密性和完整性，这需要敏捷性和对密钥管理的强大控制。缺乏此类控制会导致严厉的监管处罚。

   
   

3. 跨多个云环境管理加密密钥。组织正在采用多云策略以避免供应商锁定。云原生加密和密钥管理解决方案的使用是多云采用的障碍。

   
   

4. 加密密钥的保管。当组织选择使用云原生加密服务时，相应的密钥由提供商管理。如果发生安全或加密事件，无法直接控制密钥会带来潜在的风险和漏洞。

   
   

5. 管理、监控和部署多个云原生安全工具。由于云原生密钥管理服务在加密密钥生命周期自动化方面的能力有限，尤其是跨多个订阅，因此组织被迫实施劳动密集型、容易出错的手动密钥管理流程来满足其安全要求。

正确的云数据保护方法

在多云环境中缺乏适当的安全和密钥管理实践只会增加组织的攻击面，随着网络犯罪分子变得越来越聪明和复杂，他们渴望利用它。幸运的是，有许多行业最佳实践，例如自带密钥 (BYOK)、自带加密 (BYOE) 以及可以优化云中数据保护的集中化和自动化的密钥生命周期管理。

由于云提供商负责“云”的安全，而组织负责“云”中数据的安全，每个 CISO 都应该问以下五个相关问题：

1. 我如何对我的云资产保持强大的安全控制？

   
   

2. 迁移后，我需要哪些关键管理控制？

   
   

3. 如何管理我的个人和敏感数据风险？

   
   

4. 我如何管理我的审计？

   
   

5. 我如何满足法规遵从性？

云共享责任对您的业务繁荣很重要。Thales的多云安全解决方案为这些问题中的每一个提供了统一的答案。想了解更多方案的内容，欢迎与我们揽阁信息联系。

揽阁信息可提供的部分安全产品和解决方案信息

联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：

• 数据库访问控制：揽阁LGPAC系统

• 通用HSM：Luna HSM、ProtectServer HSM

• 支付HSM：payShield 10K

• KMS产品：CipherTrust Manager、Vormetric、KeySecure

• 数据保护：应用层数据加密、数据库加密、令牌化（Tokenization）、透明加密

• 网络传输加密：Thales High Speed Encryption（HSE）

• 身份认证：STA、SAS、USB令牌、智能卡、OTP令牌、手机令牌、虚拟智能卡、FIDO2、读卡器

您还可以得到揽阁信息所提供的优质服务。

揽阁信息 · 值得您信赖的信息安全顾问！

相关阅读

• 勒索软件制裁：有什么影响？

• 关于“欧盟-美国数据隐私框架”的问与答

• 不断变化的数据保护法规表明为什么企业必须将隐私置于核心位置

• 如何遵守不断变化的数据保护法规

• Oracle的欧盟主权云和 Thales CipherTrust：数字主权的新时代