云端加密数据时，5个保持密钥管控的理由

文 | Suhaas Kodagali    译者 | 陈峻

导读：

随着企业客户的市场需求增加,多个云提供者包括亚马逊、谷歌,Salesforce已经扩展他们的加密功能到了客户持有的加密密钥或称Bring-Your-Own-Keys(BYOK)领域。以前,这些云提供商不但进行数据加密而且对加密密钥保留控制权。如今，通过允许企业自行管理密钥,云服务提供商正在向客户引入另一种保证数据安全和隐私的方式。

最近联邦调查局与苹果公司之间有关数据隐私的论战再次将这个备受争议的问题摆在了公众意识的面前。事实上,数据隐私和网络安全问题也是美国总统选举中的重点讨论问题,尤其是在指控一些国家决策者密谋影响选举结果的时候。

虽然公众可以借此让自己在数据隐私问题上接受强化教育,但是要知道技术提供商们实际上在过去已在这个问题上已经多次“犯规”过了。事实上,随着企业客户的市场需求增加,多个云提供者包括亚马逊、谷歌,Salesforce已经扩展他们的加密功能到了客户持有的加密密钥或称Bring-Your-Own-Keys(BYOK)领域。

以前,这些云提供商不但进行数据加密而且对加密密钥保留控制权。如今，通过允许企业自行管理密钥,云服务提供商正在向客户引入另一种保证数据安全和隐私的方式。

1. 控制政府对公司数据的访问

为了应对政府可能数据请求，企业选择对云中的数据用其自行管控的密钥进行加密。而云服务提供商则为了定期回应政府机构的抽查,他们依法被迫在客户不知情的情况下提供出用户数据。

在2016年上半年,谷歌报告显示收到过近45000个请求以寻求超过76000的帐户信息。在Twitter的透明度报告中,也提及他们已收到过2871次请求,该请求的数量较去年增加了40%。云服务提供商若持有加密密钥则可以完全的访问所有客户的数据平台。而由企业自行管理的密钥时,他们能获悉政府的数据请求,并且可以选择他们自己的方式来应对。

2. 规范密钥管理的过程

通过自行管理他们的钥匙,企业可以更好地保护他们的数据并提高合规性。通过制定和执行内部的密钥流转使用策略,企业可以通过模拟密钥丢失、被损坏或是持有主密钥的员工离开公司等场景，以确保他们的数据安全性。选择适当的密钥管理策略也能让企业更好的遵守行业规范。例如,PCI规范就建议公司至少一年要流转使用其密钥一次。

3. 预防云服务管理员的渎职行为

认识到云提供商可能出现的类似“斯诺登”的风险后,企业正在寻找方法来提高对“流氓”管理员的防御。当云服务提供商用他们自己的密钥加密数据时,就潜在着管理员滥用特权进行未经授权的访问的可能性。而客户用自己的密钥加密数据时,这种风险会随着云服务员工只有访问到已被加密数据而降低了许多。

在过去,云服务提供商禁用了诸如搜索和排序等功能，因此客户自行加密和服务方案能力都受到了限制。但是密码学的进步，提供了在保留最终用户各项功能的同时的多种加密数据的方式。这使得像Salesforce，Box和亚马逊之类的公司能为他们客户提供BYOK的选项。

4. 维护客户数据的保密性

像律师事务所和咨询公司，他们受严格的客户保密协议的制约,对采用云服务往往是天生抵触的。因为如果这样做，他们可能会暴露其数据而任由第三方所访问。但是如果他们通过用自己的密钥去加密他们的云端数据,这些公司便可以限制只有经过授权的用户才能访问。如此，他们在践行其保密承诺的同时，又能享受到利用云服务所带来的好处。

5. 符合数据保护的法律和法规

有许多法律和法规涉及到个人数据保护和健康数据，它们都提及了各组织应该实施适当的安全措施来降低风险。部分甚至认为加密是一种积极的部署防御方式。例如,新的欧盟通用数据保护规则就具体建议到：加密可以降低风险。它还指出,当被加密的个人信息暴露时,因为数据不能被第三方所访问到，所以并不触发事件通知的要求。

随着云的使用正以指数级在增长着,企业越来越多地使用云访问安全代理(CASBs)来加固云中的数据及其使用。CASBs作为用户和云服务之间的控制点提供了云端活动的可见性、践行了合规性、检测来自内部的威胁和账户被盗，并且使用访问控制和加密来保护数据。

对于使用自己的密钥来加密云端数据的公司来说,CASBs充当的是密钥的代理,它能和公司的密钥管理服务器集成，促进密钥向云服务提供商的安全传输，而无需人工干预。最近的一个例子就是Skyhigh与Salesforce协作，并将‘Bring Your Own Key’的能力引入其提供的保护范畴。作为密钥代理，Skyhigh可使客户能在跨多个Salesforce的组织域内流转使用密钥。此功能减少了管理的开销,降低了人为错误,并确保在Salesforce云中的公司数据得以保护。

End.