数据加密规模化：关键治理和运营

加密数据很容易。有现成的库、标准算法和丰富的文档。当您拥有数百个系统、数千个密钥、数十个团队并且有义务在审计中证明谁可以在何时访问什么内容时，困难的部分就出现了。在这种规模上，[密码学0]问题不再是数学问题，而是组织问题。

成长的组织发现，适用于五个系统的安全性在使用五百个系统时就会崩溃。密钥散落在各处，没有人知道哪些密钥仍在使用，秘密在环境之间复制，例外情况已成为规则。该算法仍然强大；崩溃的是它周围的管理。

本文是关于大规模的[密码学1]，其中真正的挑战是治理：当数量和复杂性使得手动控制变得不可能时，如何管理密钥、访问、轮换和合规性。

加密大规模失效的地方

就规模而言，[密码学2]很少会导致密码失败。它在外围失败：一个密钥被泄漏，因为它位于不应该的地方，一个访问权限在该人离开时没有人撤销，一个遗留系统继续使用弱模式，因为没有人映射它。

中心论点是：在大型组织中，[密码学3]的强度由密钥和访问管理的质量决定，而不是由算法的选择决定。如果您不知道密钥在哪里、谁访问它们以及何时交换，您可以使用世界上最强大的密码，并且完全暴露。

因此，技术领导力的重点应该放在密钥生命周期和访问治理上，而不是寻找更复杂的算法。

在规模上，密钥不能分散在每个系统的配置文件中。他们需要一个中央管理源，一个密钥管理服务，以可审核的方式控制创建、分发、访问和撤销。

KMS 解决方案，无论是来自云提供商还是像 [HashiCorp Vault4TM 模型这样的专用保管库]，都正是为此而存在。收益不仅仅是技术上的，更是控制上的：您现在可以在一个地方来回答谁可以使用每个密钥，并在必要时立即切断访问。

永不改变的密钥最终会泄漏并永远保持泄漏状态。从规模上看，定期密钥轮换需要是一个自动化过程，而不是某人一次就不再执行的英雄任务。

运营挑战是在不破坏生产系统的情况下进行轮换。这需要一种架构，以允许交换而无需重新处理所有内容的方式将密钥与数据分开。那些从一开始就没有计划轮换的人会在几年后发现他们拥有不可触及的钥匙，因为没有其他人知道如何在不影响服务的情况下更改它们。

从规模上看，风险不仅在于外部攻击者，还在于过度的内部访问。每个人和每个系统都应该只在需要时才能访问他们真正需要的密钥。应用于密钥的最小特权可以限制任何受损凭证的损坏。

这需要持续的纪律。访问权限累积：有人需要一个项目的密钥，项目结束，访问权限仍然存在。定期审查谁访问什么内容是成熟运营的一部分，而不是奢侈行为。

在大型的、特别受监管的组织中，[加密5]需要得到证明。仅仅安全还不够，你需要证明你是安全的。这意味着审计日志会显示每个密钥访问、每个敏感密码操作、每次轮换。

在巴西的背景下，[LGPD6] 强化了这一要求。如果发生事故或检查，组织需要证明其采取了适当的技术措施。关键管理日志和书面政策不再是官僚作风，而是成为捍卫公司的证据。无法大规模证明的安全性几乎与不存在的安全性一样有问题。

第一个错误是让去中心化密码学在没有治理的情况下发展。每个团队以自己的方式解决这个问题都会产生一个无法审计的马赛克，并且充满了看不见的弱点。密钥管理的标准化和集中化需要发生在混乱之前，而不是之后。

第二个错误是对待密钥的关心程度低于处理数据的程度。团队投资强大的密码并宽松地保护密钥。保护不善的密钥会使整个密码无效。就规模而言，保护和隔离关键材料是最关键的一点。

第三个错误是忽视遗产。加密较弱或忘记密钥的旧系统是定时炸弹。成熟的运营会映射遗产并制定迁移计划，即使是渐进的。您看不到的正是攻击者会发现的。

从规模上看，加密是一种组织能力，而不是实施细节。它需要对管理工具、轮换和审查流程进行投资，以及一种像功能交付一样认真对待关键生命周期的文化。

对于领导层来说，正确的问题不是“我们是否对数据进行加密？”问题是“我们是否可以控制和查看所有密钥，我们明天可以证明这一点吗？”这两个问题之间的区别在于组织表面上安全与实际安全之间的区别。

缩放[密码学10]本质上是缩放控制。算法是最简单的点；困难的部分是随着组织的发展和复杂性的增加，维护密钥、访问和异常的顺序。那些尽早将密钥管理视为关键基础设施的人可以避免以后尝试组织混乱的噩梦。

从规模上看，安全性不是通过更多的密码来实现的，而是通过更多的治理来实现的。算法保护数据；治理保护组织。

如果您的组织的发展速度快于您的密钥管理，并且您怀疑您已经失去了对加密内容和加密者的了解，那么值得将其视为战略优先事项。博客上还有其他有关安全、治理和数据保护的文章，深入探讨了该主题。