將數(shù)據(jù)遷移到云中失去了對處于公司安全邊界外的數(shù)據(jù)的控制，將會增加數(shù)據(jù)保護的復雜度，因而欺詐的風險也會上升。

云計算加密的需求

出于合規(guī)或公司隱私的需求，云中的機密數(shù)據(jù)必須要保護。隨著由系統(tǒng)內(nèi)部管理的機密信息不斷的遷移到云中，與之相應，需要花同樣的力氣去保護這些機密信息。將數(shù)據(jù)遷移到云中對提高機密性和數(shù)據(jù)保護沒有任何幫助。與之相反，由于失去了對處于公司安全邊界外的數(shù)據(jù)的控制，將會增加數(shù)據(jù)保護的復雜度，因而欺詐的風險也會上升。

有很多因素促使企業(yè)考慮云中數(shù)據(jù)加密，包括：

在將數(shù)據(jù)遷移到云中時通過加密來保護數(shù)據(jù)，所需要做的多于僅僅確保使用安全轉(zhuǎn)移通道(如TLS)。在數(shù)據(jù)傳輸過程中加密不能確保數(shù)據(jù)在云中能得到保護。一旦數(shù)據(jù)達到云中，這些數(shù)據(jù)無論在云中還是在使用仍然需要保護;

對于在云中存儲或共享時必須保護的無結(jié)構(gòu)文件。這些文件可能通過以數(shù)據(jù)為中心的加密進行保護，或者在能夠直接對文件進行保護時將加密嵌入到文件格式之中;

理解在數(shù)據(jù)的整個生存周期中，如何管理加密或解密的密鑰。只要有可能，都應避免依賴云服務提供商去保護，并且應該適當?shù)厥褂妹荑€去保護企業(yè)的關鍵信息;

可以避免因為雇員失誤造成的損失，或者區(qū)域法律造成的麻煩。除非需要委托別人訪問你的加密文件。如果只有你自己有密鑰，那么只有你有資格訪問你的文件;

不要忘記保護那些經(jīng)常被忽略的文件，因為它們經(jīng)常包含敏感信息。登錄文件和元數(shù)據(jù)可能是數(shù)據(jù)泄露的途徑;

使用足夠耐用的加密強度(如AES-256)的加密技術(shù)，遵守同一公司規(guī)定批準的方式去機密維護的文件。使用公開有效的格式，只要有可能的地方應避免使用專用加密格式。

當企業(yè)在評估通過加密或者其他方法保護哪些東西時，一般來說數(shù)據(jù)共享的風險可分解為兩個基本的類別：泄露(公開)、濫用，包括以下方面：

意外公開泄露，使得信息或數(shù)據(jù)可被一般的公眾通過公共網(wǎng)站獲取;

意外或惡意泄露，由于不恰當?shù)臄?shù)據(jù)保護使信息或數(shù)據(jù)被第三方利用的行為;

政府公開，依據(jù)法律或法院命令將數(shù)據(jù)對政府公開;

濫用用戶或網(wǎng)絡檔案資料，通過分析和數(shù)據(jù)挖掘去從看似為交通數(shù)據(jù)中提取出敏感信息，以揭露用戶行為、關系、偏好或興趣;

濫用推理，能夠去描繪推理關于個人的行為或身份;

濫用重鑒定和去匿名，通過訪問足夠的匿名信息以推測原始主題。

云計算常用的加密方法

在加密部分常用兩個互補的有效方法，它們是：

內(nèi)容感知加密：在數(shù)據(jù)防泄露中使用，內(nèi)容感知軟件理解數(shù)據(jù)或格式，并基于策略設置加密。例如在使用email將一個信用卡卡號發(fā)送給執(zhí)法部門時會自動加密;

保格式加密：加密一個消息后產(chǎn)生的結(jié)果仍像一個輸入的消息。例如一個16位信用卡卡號加密后仍是一個16位的數(shù)字，一個電話號碼加密后仍像一個電話號碼，一個英文單詞加密后仍像一個英語單詞;

從企業(yè)內(nèi)部到云上時，加密過程可以不需要用戶干預是保障數(shù)據(jù)安全的首選方式。如果軟件能配置協(xié)議感知，內(nèi)容感知軟件能夠促進公有云加密的改善;現(xiàn)今的數(shù)據(jù)防泄露(DLP)應用案例滿足產(chǎn)品的需求，能增強對將要離開企業(yè)的數(shù)據(jù)(通常以email形式)的保護，并在數(shù)據(jù)離開企業(yè)之前加密。這種原理可用于云數(shù)據(jù)保護，不過數(shù)據(jù)防泄漏產(chǎn)品或許產(chǎn)生警告。一個內(nèi)容感知服務需要探測、加密和記錄而不是警告。

保格式加密比內(nèi)容感知更進一步，通過檢測數(shù)據(jù)的敏感程度來決定加密及維持數(shù)據(jù)格式和類型。例如使用傳統(tǒng)的加密，一個信用卡的卡號被加密后的結(jié)構(gòu)是一個密文，再也不是一個16位的數(shù)字。保格式加密將會產(chǎn)生加密后的16位的密文數(shù)字。通過保持數(shù)據(jù)類型和格式，這一服務能在眾多的協(xié)議上有秩序地輕易改變很多數(shù)值。保格式加密的關鍵挑戰(zhàn)是加密大規(guī)模的明文數(shù)值，如存儲在云中的email。大規(guī)模加密通常地是使用塊加密算法，對文本數(shù)據(jù)進行。在保格式的應用中，需要花費一定的時間將每一個單詞加密成相同長度的字符串。不過，加密后的密文結(jié)果能像原始明文一樣存儲在相同數(shù)據(jù)類型的文件中。

當然，在云應用中加密給商業(yè)應用提出一些問題，企業(yè)在部署應用架構(gòu)時需要考慮解決，具體問題如下：

如果需要查詢記錄或者對象，加密過的主鍵(primary key)將使查詢過程很復雜;

如果云應用集包含一批工作或其他涉及敏感數(shù)據(jù)的處理過程，尤其是PII和SPI數(shù)據(jù)，這些處理過程遷移到云中時，云環(huán)境將會使密鑰管理變得復雜;

一個應用需要在數(shù)據(jù)庫中找到記錄或?qū)ο髸r，可能采用另外一種方式去存儲唯一的值，例如令牌。令牌常被用在信用卡環(huán)境中，以確保信用卡卡號在應用中最低程度的被訪問。從數(shù)值中產(chǎn)生的唯一的令牌能被用于產(chǎn)生新的主鍵，這些主鍵可以在公有云上的應用中使用，而不會暴露敏感數(shù)據(jù);

在云上，與其他應用程序和數(shù)據(jù)一同工作的過程，如果需要操作明文數(shù)據(jù)，為實現(xiàn)其功能，必須能訪問密鑰或服務。