用数据库加密保护敏感数据

　　数据库加密已经逐渐成为目前IT总监们优先考虑的安全保障措施之一。在当今开放和复杂的IT环境中，防火墙和应用软件安全已经不足以保护企业和数据。缓解这种风险和遵循各种新兴的法律法规是推动IT总监们优先考虑数据库加密的两大主要原因。在本文中Knowledge Center的撰稿人Christian Kirsch向大家解释了该如何克服这些挑战，并提供了关于数据库加密的最佳实践方法。

　　目前许多企业都在为克服与数据库加密相关的众多挑战而努力着。他们目前最关心的是密钥管理，并将其看做是数据库加密中所面临的最大挑战。企业考虑的重点还包括如何将数据库和安全管理分开，如何控制密钥的使用和复制，如果向审计证明数据的安全性等。

　　企业中的许多不同部门都需要采取数据库加密这样的高级安全措施，数据库加密也逐渐成为符合法规遵从的需求。举例来说，公共部门使用数据库加密来保护公民隐私和国家安全。美国率先开始应用数据库加密的安全措施，目前许多政府部门都必须满足联邦信息处理标准(FIPS)的协议要求。

　　对于金融服务行业，数据库加密就不仅是保护隐私的问题，而且还涉及到遵守法律法规的需求，诸如支付卡行业数据安全标准(PCI DSS)。这些协议不仅定义了什么数据需要加密，如何加密，而且对密钥和密钥管理制定了非常严格的规定。事实上，支付卡行业标准版本1.2中规定的第三条要求(即保护所存储的持卡人数据)看起来一定的执行难度。

　　帮助企业应对与法律法规相关的加密挑战的一种方法是"深度防御"原则，这个原则可以实现强有力的安全性吗?从物理安全到访问控制，从权限分配到网络安全(包括防火墙和对闲置和传输过程中的数据加密)都涉及其中。

　　强大的安全是围绕如何减少黑客和恶意用户所利用的攻击面。如果攻击方法被认为难度太大，他们就会尝试去寻找其他的漏洞和弱点。

　　解决密钥管理的问题

　　重要的是数据库加密总是和密钥管理如影随形;不过这也是数据库加密的主要障碍。大家普遍认同的是密钥使用应该被严格的限制，密钥备份是非常重要的。但是随着数据库应用软件服务器集群和加密的层面较多，安全官和管理员需要集中的方式来定义密钥协议和执行密钥管理。

　　在同样的安全领域中仅有相对较少数量的硬件安全模块会涉及应用软件服务器，物理服务器和集群中的密钥管理。这种集中型战略由于能简化密钥管理，所以可以降低总体运营成本。某些国家的数据保存协议要求数据存储7年或者7年以上，保存加密数据意味这企业必须肯定他们也能管理加密数据的密钥存储。

　　加密的另一个最佳方法是加密密钥不能和加密的数据存储在一起。将加密密钥放置在HSM中可以执行这个协议。另外，硬件也能更好的保护加密密钥，inwei应用软件不会直接处理密钥。加密密钥也不会离开设备，密钥也会对主机系统产生威胁。因此，未经授权的员工或者数据偷窃者就无法访问密钥资料或者使用密钥管理的密码功能。

　　职权分离和双重控制

　　许多企业都密切关注职权分离和双重控制，它必须通过审核来显示出内部控制并防范恶意管理员或未经授权的员工。之前有各种法规需求都讨论过这个问题。必须对数据库管理员和根管理员的职责权限进行某种限制。举例来说，他们应该不能管理加密密钥，他们不能拥有超越指定设备的过多权限或授权。

　　HSM通过分离数据库和密钥管理的安全管理来实现职权分离。举例来说，三名安全管理员组成的团队必须共同更改加密基础架构，但是一个数据库管理员可以授权一个密钥的使用。

　　企业经常会选择智能卡和密码来解锁被Transparent Data Encryption (TDE)保护的数据库。这种职权分离和双重控制结合的方式能阻止任何企图入侵系统的犯罪分子。

　　结论

　　企业数据库管理着最敏感的企业数据。同样采用数据库加密应该是企业优先采取的保护此类数据的措施。但是加密也必须和密钥管理相结合来实现高水平的安全级别。如果企业遵循这种最佳实践，他们将发现这样不仅能保护企业中最敏感的数据，而且他们也能帮助企业符合政府和行业法律法规的要求。做到了这一点，他们将对防止数据泄露和保护企业品牌及信誉大有帮助。