在当今瞬息万变的数字化环境中，数据隐私和主权已成为全球各组织机构的首要任务。随着云服务的普及和全球数据保护法规的日益严格，安全专业人员面临着越来越大的压力，需要确保数据安全、合规并处于自身掌控之中。近期，Thales（泰雷兹）和Google Workspace 联合举办了题为“赋能数字主权：Google Workspace 客户端加密与Thales CipherTrust ”的网络研讨会，为应对这些挑战的组织机构提供了大量切实可行的见解。

数字主权势在必行

数字主权不仅仅是一个流行词。它指的是掌控组织数字化命运的能力，包括组织所依赖和创建的数据、硬件和软件。世界经济论坛指出，西方世界超过92%的数据都存储在美国拥有的服务器上，这给企业带来了巨大的依赖性和韧性挑战。诸如GDPR、Schrems II、Gaia-X和DORA等新法规正在涌现，旨在提升受监管行业组织的数字主权。

监管格局：隐私法日益增多

据国际隐私专业人士协会 (IAPP) 的一项研究显示，目前全球超过 80% 的人口都受到某种形式的国家数据隐私法的保护，而且监管步伐正在加快。超过 260 项新的全球法规正在立法程序中，仅欧盟和美国就有 150 项。对于首席信息安全官 (CISO) 和 IT 领导者而言，这意味着全球数据受到的监管比以往任何时候都更加严格，合规不再是可选项，而是运营的必要条件。

Google Workspace：主权与合规的整体方法

Google Workspace 的独特之处在于其提供纯云端、零信任架构，旨在满足主权和合规性要求。主要功能包括：

• 客户端加密 (CSE)：数据在离开客户端服务器之前进行加密，客户对加密密钥拥有完全控制权，使他们能够作为对其数据的所有访问的仲裁者。

• 本地数据存储和数据区域：组织可以选择数据存储和处理的位置，从而有助于确保符合地理法规。

• 访问控制和上下文感知访问：管理员可以控制 IP、设备和地理位置来源，将敏感数据保留在所需的区域内。

• 零信任安全架构：安全的基础设施和实践从本质上降低了风险。

• 端到端加密的 Gmail：为企业用户提供安全的电子邮件服务。

Google Workspace 中的密钥管理和加密方法

为了增强云环境中的数据安全性和主权，组织通常会考虑多种密钥管理和加密策略。例如：

• 外部密钥管理 (EKM)：
  集成外部密钥管理解决方案使组织能够在云提供商环境之外维护主加密密钥，通常使用经过认证的硬件安全模块。这种方法能够安全地创建、控制和存储加密密钥，使其与敏感数据托管位置完全分离。它还可以支持跨云平台的各种用例。
• 客户端加密工作流程：
  客户端加密是指文档在用户浏览器中使用内部生成的加密密钥 (DEK) 进行加密。这些 DEK 随后会使用外部密钥管理器管理的密钥进行加密。只有授权用户才能解密 DEK 以访问文档，从而确保云提供商无法以明文形式访问数据。支持多个身份提供商可以进一步促进组织内部的安全共享和协作。
• 运营和数据主权：
  通过掌控加密密钥和访问策略，企业可以满足监管要求，并降低与传票、跨境数据访问和特权用户威胁相关的风险。能够发现、分类和加密敏感数据，并结合客户管理的密钥和访问控制的解决方案，可以帮助企业达到合规标准并通过安全审计。
• 量子安全数据保护（包括 Gmail）：
  随着量子计算的进步，一些解决方案开始采用量子安全加密标准，以确保敏感数据免受未来威胁。谷歌在Thales的支持下，提供了一套云生产力套件，可以保护您的数据免受“先采集后解密”等量子攻击。

实际影响：合规性和韧性

法国的一个典型案例展现了法律和技术保障措施的有效性。Thales公司参与开发的解决方案使一家医疗保健客户能够在使用公共云服务的同时，保留对加密密钥的控制权，从而确保符合欧盟《通用数据保护条例》(GDPR) 的要求，并降低来自境外访问请求的风险。法院的判决强调了将加密密钥保存在适当的司法管辖区以及利用可信的第三方密钥管理的重要性。

加强云控制的策略

本次网络研讨会概述了保护云端数据安全的几项关键策略：

• 原生加密服务：由云服务提供商 (CSP) 管理，提供基本保护，但客户控制有限。

• 自带密钥 (BYOK)：客户生成并导入自己的密钥，从而获得更多控制权，但仍然依赖于 CSP 托管的密钥管理。

• 持有自己的密钥 (HYOK)：即使使用第三方云服务，组织也能完全控制自己的加密密钥。

• 自带加密（BYOE）：客户在 CSP 环境之外管理密钥和加密。

• 端到端数据保护 (E2EDP)：使用保密计算技术保护使用中、传输中和静态数据。

共同责任模式

云安全是各方的共同责任。虽然服务提供商负责保护基础设施，但客户必须重视纵深防御、反恶意软件、网络安全控制、安全编码实践以及全面的日志记录和警报机制。云安全联盟 (CSA)提供指导和标准，帮助企业做好云迁移准备，并确保强大的安全控制措施。

掌控您的数据主权

随着企业加速采用云计算和进行数字化转型，对强大的数据主权和安全控制的需求空前高涨。Thales CipherTrust 云密钥管理解决方案与 Google Workspace 合作，助力安全负责人掌控敏感数据，满足监管要求，并构建弹性合规的云环境。

灵活的部署选项

CipherTrust Cloud Key Management for Google CSE 可部署在云端、本地、混合环境中，并以服务形式提供。揽阁信息是Thales的重要合作伙伴，如需免费试用，请联系我们。

揽阁信息 · 值得您信赖的信息安全顾问！

相关文章：

• Thales payShield HSM发展历史
• Thales在Frost Radar™数据安全平台报告中被评为增长指数领导者
• 增强安全性和控制力：Thales CipherTrust 云密钥管理与 Oracle Fusion 云服务集成
• Thales Luna HSM获得北约机密级认证（NATO Secret）
• Thales Group（泰雷兹）
• 解锁云安全：CipherTrust 云密钥管理中新增 AWS 密钥轮换功能