由"心臟出血"漏洞解讀企業加密真正價值
責編：admin ｜2014-04-28 14:18:06 面對最近出現的Heartbleed漏洞，尋找具有成本效益、易于使用和可擴展的加密解決方案變得非常重要。企業日常IT管理中肯定使用過加密技術、架構和部署，面對Heartbleed和Dual_EC_DRBG事件，我們才會意識到正確加密的重要性，以及當加密部署很糟糕或受到攻擊時需要付出的成本和代價。
在這種情況下，修復或遷移解決方案以及迅速保護數據的能力是非常重要的。然而，遺憾的是，加密數據的理由往往是因為法律規定，而不屬于受資助的安全措施，并且，加密通常比預期貴得多。如果你的企業正在尋找具有成本效益、易于使用和可擴展的加密解決方案，下面的問題可能會指引你到正確的方向。
我應該加密什么？ 這里需要回答三個關鍵問題。哪些數據需要保護？(通常情況下，你會發現你的數據保護需求會隨著時間的推移而增長)。數據是什么樣的形式(非結構化文件、數據庫、日志等)？數據在什么位置，數據中心、你的移動設備、云計算中還是在遠程位置？
我應該怎么加密？ 面對這個問題，企業通常會給出各種答案，還有復雜的方法來實現其加密要求。例如，企業可能會被要求加密不同應用程序上的數據。每個應用程序的加密方法可能不同，最終你可能需要多個加密方法來滿足一個要求。
密鑰呢？ 一些加密選項是平臺原生功能，然而他們缺乏密鑰要求，即大多數加密解決方案必須具有合規性。我們發現，雖然加密通常比較容易，但密鑰管理的復雜性是讓大多數企業頭痛的問題。如果你使用密鑰加密，然后將密鑰與沒有受到良好保護的數據放在一起，那你還不如不加密數據。
加密幫助你消除什么風險？加密通常被認為是保護數據的終極武器，但在實踐中，很多加密部署并沒能保護數據。數據自身沒有防御能力；它必須依賴于它所在的環境的防御能力。如果企業使用自加密磁盤加密其數據，這就消除了盜竊或數據丟失的物理風險。加密還能夠設置可以訪問數據的特權用戶和程序，但重要的是確保加密消除了這方面的風險。
這是否符合成本效益？跨多個環境、用例和應用程序進行加密的部署和維護成本可能會迅速增加。這不僅包含授權成本，還有運營成本。企業需要問自己這些問題：我需要更改代碼嗎？我需要多個操作系統支持嗎？我需要密鑰管理解決方案嗎？
許多世界500強企業面臨著數據庫和文件服務器需要加密的問題，這主要是因為新加坡金融管理局MAS的規定，該機構倡導通過貨幣政策以及對新興趨勢和潛在漏洞的宏觀經濟監督來實現可持續非通貨膨脹的經濟增長。一位首席安全架構師意識到，這將花費約240萬美元的授權費用，以及需要超過24個月的時間來整合加密到一個自定義應用程序。毫無疑問，他被這個數字震驚了。
底線是什么？尋找總體擁有成本較低的加密平臺。你會發現這樣更容易得到你需要的預算，并且通過允許多種數據加密方式，創建了一種安全的運作業務的方式，而不需要改變你運作業務的方式。