企业数据加密策略规划与落地方案探讨

在全球范围内的大规模数据泄露事件频发，数据安全以及隐私保护法规政策逐步强化的背景下，企业数据安全防护体系建设对企业业务风险规避至关重要。一方面，企业核心数据资产的泄露，将给业务带来潜在的致命打击，另一方面，数据泄露也将面临监管机构的严厉处罚。2017年，美国信用评级公司Equifax因黑客攻击泄出近1.5亿人的个人信息及财务数据，并因此就“未能采取合理措施保护自身网络”的过错支付5.75亿美元罚金。

 

在我国，数据安全法律规范体系也逐步完善，如《网络安全法》、《密码法》、《数据安全法（草案）》、《个人信息保护法（草案）》等，其中《个人信息保护法（草案）》的处罚力度提升显著：对侵害个人信息权利的，情节严重情况下，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、至吊销相关业务许可或营业执照；应对数据泄露带来的业务风险问题最有效的方案是对关键信息做加密处理，这样即使数据库被拖库，或遭遇组织机构内部恶意越权访问，也不会造成敏感信息泄露的损害。

 

基于数据加密技术，构建数据的贴身安全防护

 

密码技术是目前世界上公认的，保障网络与信息安全最有效、最可靠、最经济的关键核心技术。通过数据加密实现对核心数据的机密性和完整性保护，将明文变为密文，配合健壮的密钥管理体系，可以防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击以及来自于内部越权用户的数据窃取，从而从根本上解决敏感数据泄漏带来的业务风险问题。

然而，数据加密技术实施具备一定的复杂度，要保障加密策略真正发挥安全效用，并确保获取加密价值回报与投入成本的最优解，需要对数据加密进行细致的策略规划。这包括：

 

明确数据加密策略核心目标：数据加密的价值主要包括几个方面：防拔盘、防黑客拖库、防内部人员、合规遵从等。不同加密策略可以解决的问题不同，加密策略