企業級數據加密技術的優劣分析

IT近二十年高速發展使得數據的重要性越來越得以接受，并通過各類技術實現數據的高速訪問和不間斷運行，這點可以從市場上已有的各類數據容災、備份產品中看出，其中不乏一線存儲和專業廠商的旗艦級產品。而在數據安全領域，雖然相關討論不絕于耳，但相應市場和應用狀況較數據可用性產品仍明顯地遲緩。

數據加密產品有其應用領域的特殊性，許多行業出于安全性的考慮會有一些相應的產品屬性限制，比如限制產品所應用的技術專利或加密算法應當歸屬在本國國內或通過相應認證。這在一定程度上影響了數據安全類技術的通用性和規模市場效應。不過也正因此，隨著國內外日益增多的安全事件，數據加密產品正處于百花齊放的發展階段。

部署或應用數據安全策略時，一般的加密技術以及其優劣分析如下所示：

1、磁盤/磁帶級加密，或稱介質級加密。

這類加密方式在存儲陣列上實現，一般通過在控制器或磁盤柜的數據控制器上實現靜態的數據加密算法。其旨在保護存儲在硬件介質上的數據不會因為物理盜取而泄露數據，但是在陣列或磁帶以外，所有的數據均以明文處理、傳輸和存儲。因此介質級加密方式一般只是作為一種附加的安全策略，并為一些特殊應用，比如通過物理磁盤/磁帶運輸實現數據備份，提供數據安全性保障。

2、嵌入式加密。

這種加密產品部署在存儲陣列和交換機設備之間，通過專用產品進行加解密算法。雖然提升了性能，但其加密范圍仍然只限于介質級別，在應用端仍以明文方式存取數據，因此很多地方也將這種方式視為另一種形式的介質加密。

以上兩種方式的應用較為有限，畢竟對于想要盜取數據的一方，采用物理手段進入機房，偷取存儲媒介再讀取數據的場景只會出現在電影場景之中。

3、文檔安全系統，或稱文件級加密，即屬于文件級別的DLP(數據泄露防護Data leakage prevention)。

這種針對非結構化的數據保護方式一般在網絡附加存儲NAS這一層嵌入實現，由于加密算法在NAS機頭內實現，這種實現方式所帶來的最大問題在于其對于性能的影響。并且許多產品提供諸如終端數據不留痕，將大量的應用數據并發放在后臺。因此文件級加密方案大多支持橫向擴展方式，以針對大用戶或大文件的應用提供高吞吐量支持。

4、數據庫加密，又稱安全存儲網關。

和文件級加密類似，數據庫加密針對結構化數據實現加密保護，部署在數據庫前端。由于數據庫操作中涉及到大量查詢修改語句，因此數據庫加密會對整個數據庫系統造成重大影響。

5、主機應用加密

這類產品部署在主機端，目前大多整合在備份產品之中，作為其中的一項功能件實現數據備份的安全策略。主機應用的加密負載由主機自身承擔，對網絡及后臺存儲的影響較小，但主機在面對海量數據的加密處理時性能會比較吃緊。

數據加密只是企業信息安全的一部分，針對數據生命周期在企業內部這一過程中的安全存取。在考慮部署數據加密技術時，應當綜合考慮企業現有IT規模和數據保障目標。對于不同類型的數據采用不同的數據加密策略。例如對于機要文檔的存取可以通過物理隔離的文檔安全系統，而對于機密結構化信息的存放需要分配單獨的數據庫系統。

信息安全永遠是一個策略在先的系統化工程，IT只是用以實現這一系統化工程的工具。在規劃信息安全策略中需要對各類信息進行歸檔，分類，并制定不同的保護策略。當然，還可以參考目前國內的分級保護、等級保護等法律法規及行業標準規范。