发布日期：2025-04-21 浏览次数：
组织处理的数据量呈指数级增长，其中越来越多的数据在某种程度上具有敏感属性。无论是受GDPR（通用数据保护条例）、CCPA（加州消费者隐私法案）、HIPAA（健康保险流通与责任法案）或其他法规保护的个人身份信息(PII) 、宝贵的知识产权，还是其他公司机密数据，加密都能提供强有力的保护，即使被网络犯罪分子窃取，也能使其无法使用。
每次加密数据时，都需要使用“加密密钥”。那么，什么是加密密钥？加密密钥就像密码一样——只要有这个密钥，就能解密数据。
因此，密钥具有与数据本身同等的价值，必须得到相应的保护。随着加密数据的增加，您将获得更多的加密密钥，因此妥善管理它们的需求也变得越来越重要。
如果你不知道你的所有数据加密密钥谁有权访问它们？它们用于什么用途？以及它们最后一次被使用的时间？那么您就无法完全控制您的密钥。
这使您容易遭受数据泄露，并可能造成罚款、声誉受损和股价暴跌等后果。那么，如何获得这种可见性？随着密钥数量的不断增加，如何保持控制并通过合规性审计？如何防止心怀不满的员工删除加密密钥，导致您的数据永久无法访问？
在本文中，我们将介绍对于保持控制至关重要的十大关键管理最佳实践。如需了解更多详细信息，美国国家标准与技术研究院 (NIST) 密钥管理建议SP 800-57 第 1 至 3 部分被广泛认为是最权威的来源。
为每个数据加密密钥选择正确的算法和密钥大小至关重要。这取决于预期用途，并应考虑安全性、性能、互操作性、使用寿命等多种因素。这些选择应由经验丰富的密码顾问做出。
算法：根据用例，应该选择对称算法（例如 AES）或非对称算法（例如 RSA 或 ECDSA）。
密钥大小：密钥越大，安全性越高，保护时间也越长，但性能可能会受到影响（尤其是在使用较大的非对称密钥时）。因此，应谨慎选择密钥大小（AES 密钥通常为 128 或 256 位，RSA 密钥通常为 2,048 或 4,096 位）。
敏捷性：随着算法随着时间的推移变得越来越弱，准备好更改算法和/或密钥大小。警惕量子计算的威胁，并准备在必要时转向新的后量子算法。
每个加密密钥都有一个生命周期——它被创建、具有工作寿命，并最终达到其使用寿命的终点。以下每个步骤都必须得到妥善控制：
密钥生成：数据加密密钥的加密强度至关重要。与安全密码一样，密钥的加密强度也需要高度的随机性。应使用包含 NIST 认证随机数生成器的软件或硬件。
密钥轮换：正如密码应定期更新一样，定期更新（或“轮换”）加密密钥也是一种良好做法。轮换频率取决于密钥的类型以及使用方式和位置。
密钥退役：当不再需要加密密钥时，应将其退役。通常，这意味着永久删除该密钥，以确保不再存在风险，并减少正在管理的活动密钥数量。
由于加密密钥的价值很高，因此它们对网络犯罪分子来说是一个有吸引力的目标，尤其是当多个密钥存储在同一位置时。
最佳实践是利用硬件安全模块(HSM/加密机)来存储密钥，因为它们提供了非常强大的物理和逻辑安全保护，并且通常符合NIST FIPS 140-2加密模块安全要求。
密钥应仅在需要知道的情况下提供。因此，用户必须经过适当的身份验证和授权才能访问、管理和使用加密密钥。
应使用基于角色的访问控制（RBAC）根据每个用户的特定需求来限制权限，从而实现职责分离（又称职责分离），以最大限度地降低恶意活动的风险和/或影响。
对于特别敏感的密钥，关键操作（例如密钥的使用、轮换或删除）应遵循双重控制（又称“四眼”）原则。这要求至少有 2 人（或更普遍地说，由“n 人中的 m 人”组成的法定人数）批准该操作才能进行。
密钥通常必须从创建点分发到使用它们的系统。理想情况下，这应该使用专门构建的安全 API来完成，例如密钥管理互操作性协议 (KMIP)。
无论如何，在线密钥分发应始终通过使用传输密钥“包装”（即加密）密钥和/或使用安全、加密和经过身份验证的通信通道（例如 TLS）来确保安全。
如果需要离线传输密钥，则应将其包装在安全传输密钥下和/或将密钥拆分为 2 个或 3 个组件 - 这采用了“分割知识原则”，以确保没有人可以访问多个组件，如果没有其他组件，这些组件就毫无用处。
加密密钥应仅用于其预期用途。最佳做法是限制每个密钥的权限，使其仅用于该用途（例如，加密、解密、签名、验证、封装、解封装等）。
如果必须将密钥分发到另一个系统，则有各种“密钥块”格式（例如 ASC X9 TR-31（用于支付行业））将权限绑定到密钥。
但是，加密密钥是被存储的，重要的是它们在需要时始终可用，否则，将无法使用任何已加密的数据。
因此，高可用性是一个关键的设计因素。同样，保护密钥免遭意外丢失也至关重要，因为意外丢失将导致数据永久无法访问，因此安全备份是另一个关键考虑因素。
应保留审计日志，维护每个数据加密密钥的完整历史记录，包括创建、使用和删除。每个操作都应记录执行的操作、执行人员或内容以及发生时间等信息。
这对于合规性审计至关重要，而且对于密钥一旦泄露的取证调查也至关重要。与 SIEM 工具集成有助于合并多个日志并进行进一步的分析和报告。
为了确保遵循加密密钥管理最佳实践，重要的是所有密钥管理操作都必须按照严格且明确定义的流程执行。
应妥善培训员工遵守相关规程，并定期进行审核，以确保合规。应制定流程，以管理疑似或已知密钥泄露造成的后果。
随着组织加密的数据越来越多，使用手动流程或由不同团队拥有和操作的分散的不同工具来管理密钥变得越来越困难——这根本无法扩展。
一旦您拥有数百或数千个加密密钥，集中式密钥管理系统(KMS)就变得必不可少。
集中式 KMS 有助于：
安全高效的密钥生成、存储和分发。
执行政策和程序，例如访问控制、职责分离和知识分割。
简化管理流程并自动执行常见任务。
确保密钥高度可用且始终备份。
维护全面的审计日志。
作为Thales（泰雷兹）的合作伙伴，揽阁信息提供的Thales Luna HSM拥有FIPS 140-2 / 140-3认证，支持PQC算法，是一款使用非常广泛的HSM产品；CipherTrust Data Security Platform是一款以FIPS 140-2认证的密钥管理系统（KMS）为核心，提供全方位数据加密保护的产品。欢迎您与我们联系，获取更多资料。
揽阁信息 · 值得您信赖的信息安全顾问！
服务热线
