數(shù)據(jù)泄露帶來的災(zāi)難是巨大的。為保護(hù)數(shù)據(jù)，企業(yè)可能要在數(shù)據(jù)中心使用某種加密技術(shù)。但加密未必能阻止災(zāi)難發(fā)生，掌握改善企業(yè)加密的方法和策略還是很有必要的。

靜態(tài)數(shù)據(jù)與風(fēng)險(xiǎn)共存

在討論加密時(shí)，我們常將數(shù)據(jù)分為靜態(tài)數(shù)據(jù)和動(dòng)態(tài)數(shù)據(jù)，因?yàn)閷?duì)這兩種數(shù)據(jù)的保護(hù)方法是不同的。對(duì)于使用有關(guān)Web威脅(例如，社交工程攻擊)的攻擊者而言，靜態(tài)數(shù)據(jù)已經(jīng)成為一個(gè)重大目標(biāo)，攻擊者可以由此發(fā)現(xiàn)企業(yè)網(wǎng)絡(luò)安全中的漏洞。雖然入侵防御技術(shù)可能捕獲或阻止某些威脅，但企業(yè)不能指望它會(huì)阻止一切風(fēng)險(xiǎn)。

對(duì)企業(yè)來說，目前更可行的方法是采用基于云的加密軟件來保護(hù)靜態(tài)數(shù)據(jù)。

靜態(tài)加密策略

整盤加密和文件級(jí)加密是最常用的軟件方法。整盤加密有許多好處，如總體上的安全性和易于部署等，因此，相對(duì)于文件級(jí)加密，企業(yè)更喜歡整盤加密。至于文件級(jí)加密，并非存儲(chǔ)設(shè)備上的所有信息都需要加密，因而我們需要定制哪些文件需要加密。文件級(jí)加密的一個(gè)好處是它提供了更為靈活的訪問控制，因?yàn)槲覀兛梢詾椴煌墓蛦T設(shè)置不同的訪問規(guī)則。

企業(yè)IT可能需要不同類型的加密類型。數(shù)據(jù)在其每一個(gè)階段都需要保護(hù)，因?yàn)殪o態(tài)數(shù)據(jù)、動(dòng)態(tài)數(shù)據(jù)或使用中的數(shù)據(jù)都易于遭受非授權(quán)的訪問。保護(hù)靜態(tài)數(shù)據(jù)可能還需要數(shù)據(jù)庫加密、加密文件系統(tǒng)(EFS)、虛擬加密、文件和文件夾加密等。企業(yè)IT可能需要在任何筆記本電腦、閃盤、員工使用的移動(dòng)設(shè)備上提供這種加密。

帶有專用加密處理器的磁盤陣列控制器是大型企業(yè)的另一個(gè)很好的選擇。這種模式是高度擴(kuò)展的，它并不需要更改任何主機(jī)或存儲(chǔ)網(wǎng)絡(luò)，而且可以支持不同的介質(zhì)類型。基于陣列的加密可以提供安全的數(shù)據(jù)刪除和磁盤替換。

保護(hù)動(dòng)態(tài)數(shù)據(jù)

VPN、SSL、SSH等是保護(hù)動(dòng)態(tài)數(shù)據(jù)的重要技術(shù)。有加密功能的終端硬件可以幫助我們自動(dòng)加密數(shù)據(jù)傳輸。這種設(shè)備內(nèi)部加密的安全水平往往依賴于企業(yè)數(shù)據(jù)中心傳輸數(shù)據(jù)的需求。例如，敏感和特權(quán)數(shù)據(jù)可能要求更為強(qiáng)健的下一代防火墻，使其能夠與企業(yè)內(nèi)部的身份和數(shù)據(jù)保護(hù)軟件協(xié)同工作。

尋求集中化管理

企業(yè)可能正在利用多種加密方法來保護(hù)數(shù)據(jù)。為減輕IT的負(fù)擔(dān)，企業(yè)不妨找一種可以提供集中化管理的方案。這種方法可以通過同樣的平臺(tái)來管理服務(wù)器、PC、虛擬基礎(chǔ)架構(gòu)等。

集中化的管理還可以使策略的部署和實(shí)施更容易。例如，我們可以針對(duì)基于角色的訪問控制使用集中化的管理套件。對(duì)于靜態(tài)數(shù)據(jù)，我們還可以管理特定的文件類型，以及某些雇員可以訪問的文件夾。

訪問控制

如果攻擊者能夠挫敗用戶訪問控制而避開加密，我們就要確保充分利用高級(jí)身份驗(yàn)證。使用訪問控制技術(shù)(如雙重認(rèn)證、口令、文件訪問權(quán)限制)可以更好地控制數(shù)據(jù)，以及哪些認(rèn)證人員可以訪問數(shù)據(jù)。

企業(yè)應(yīng)理解雇員和管理員的訪問和控制權(quán)，這種控制權(quán)是身份管理和訪問管理工具的一部分。IT管理員可能需要與業(yè)務(wù)經(jīng)理進(jìn)行交流，確定哪些人應(yīng)當(dāng)有訪問權(quán)，哪些不應(yīng)有訪問權(quán)。