数据是每个组织的命脉。随着组织的数据足迹在云和您自己的业务线之间扩展以推动价值，在云采用的所有阶段和整个数据生命周期中保护数据至关重要。
虽然有多种机制可用于在数据的整个生命周期（传输中、静止中和使用中）加密数据，但应用程序级加密 (ALE) 通过在源头加密数据来提供额外的保护层。ALE 可以增强您的数据安全性、隐私性和主权态势。
为什么应该考虑应用程序级加密？
图 1 说明了典型的三层应用程序部署，其中应用程序后端正在将数据写入托管的 Postgres 实例。
如果您查看高级数据流，就会发现数据源自最终用户，并在传输到应用程序、应用程序微服务（UI 和后端）之间以及从应用程序到数据库的过程中被加密。 最后，数据库使用自带密钥（或保留自己的密钥（策略）对静态数据进行加密。
在此部署中，运行时管理员和数据库管理员都在信任边界内。这意味着您不会受到这些角色的伤害。然而，正如分析师和行业专家指出的那样，大多数网络安全漏洞的根源都是人为因素。这些漏洞是由于错误、特权滥用或凭据被盗而发生的，可以通过将这些角色置于信任边界之外来减轻这种风险。那么，我们如何通过有效地将特权用户置于信任边界之外来增强安全态势呢？答案在于应用程序级加密。
应用程序级加密如何防止数据泄露？
应用程序级加密是一种数据安全方法，我们在应用程序中对数据进行加密，然后再将其存储或通过系统的不同部分传输。这种方法通过将数据安全控制缩小到数据，大大减少了各种潜在的攻击点。
通过将 ALE 引入应用程序（如图 2 所示），我们可以帮助确保数据在应用程序内进行加密。 它在其生命周期内保持加密状态，直到被相关应用程序读回。
这有助于确保数据库前端的特权用户（例如数据库管理员和操作员）位于信任边界之外，并且无法以明文形式访问敏感数据。
然而，这种方法需要对应用程序后端进行更改，从而将另一组特权用户（ALE 服务管理员和安全焦点）置于信任边界内。很难确认加密密钥在 ALE 服务中的管理方式。
Related articles
那么，在不做出此类妥协的情况下，我们如何才能发挥 ALE 的价值呢？ 答案是通过数据安全经纪人。
为什么应该考虑数据安全经纪人？
IBM Cloud® 安全与合规中心 (SCC) 数据安全代理 (DSB) 提供应用程序级加密软件，采用无需更改代码的方法无缝屏蔽、加密和标记数据。它实施基于角色的访问控制 (RBAC)，粒度达到字段和列级。DSB 有两个组件：一个称为 DSB Manager 的控制平面组件和一个称为 DSB Shield 的数据平面组件，如图 3 所示。
DSB 管理器（控制平面）不在数据路径中，并且现在在信任边界之外运行。 DSB Shield（数据平面组件）无缝检索加密、屏蔽、RBAC 等策略，并使用客户拥有的密钥来强制执行策略，无需对应用程序进行任何代码更改！
数据安全代理具有以下优势：
- 安全：个人身份信息 (PII) 在摄入数据库之前会进行匿名处理，甚至受到数据库和云管理员的保护。
- 舒适：数据在流动时受到保护，无需对应用程序进行代码更改。
- 效率：DSB 支持扩展，并且对于应用程序的最终用户而言，这不会对应用程序性能产生明显影响。
- 控制：DSB 提供客户控制的数据密钥管理访问。
帮助避免数据泄露风险
数据泄露会带来高昂的解决时间成本、违反行业和法规合规性的风险及相关处罚、以及声誉受损的风险。
由于保护敏感数据所需的应用程序更改以及满足合规性要求所需的监督，降低这些风险通常既耗时又昂贵。 确保您的数据保护状况良好有助于避免违规风险。
IBM Cloud Security and Compliance Center Data Security Broker 为 IBM Cloud 和混合多云提供 IBM Cloud Satellite® 无代码应用程序级加密，以保护您的应用程序数据并增强您的安全态势，以实现零信任准则。
立即开始使用 IBM Cloud® Data Security Broker
本文是否有帮助？
是的不
