安策数据加密保护-密钥遣返，重新建立云数据主权的第一步

  遣返是将资产、具有象征价值的物品或个人（自愿或强制）返还给其所有者或其原籍地或公民身份的过程。【引用1】

云安全密钥遣返图

  在与完成数字化转型组织的高管会面时，我发现许多人首先迁移云交付的数字服务和系统，而没有考虑其业务的安全性。这种“云优先”的方法并不是一件坏事，领导者有时需要做出大胆的决策和积极的改变，以使企业及其员  工走出自满和舒适区。

  只有通过行动和失败，我们才能吸取教训，然后我们才能应用这些教训来使我们的组织和我们变得更好。在快速迁移到基于云的基础设施和交付的数字平台的情况下，这当然是正确的。

  随着云和超大规模服务经验的成熟，我们都在学习的一件事是，共同承担责任。【引用1】这是比较现实的情况。但是，对于依赖数据的组织，事实是我们不能将关键数据的机密性，完整性和可用性的责任外包给第三方云提供商。

  挑战在于，一旦我们迁移到云，我们如何安全着陆并重新建立我们的数据主权？

  让我们考虑下正确获取云数据安全基础知识

  每个处理敏感或关键数据的人都知道，这些数据不能以明文存储在不安全的环境中，就像当前流行的云环境中。多年来，一些最严重的数据泄露和专业的攻击源于云数据安全性实施不力。

  因此，云服务提供商（CSP）已采取行动鼓励应用采用更好的数据安全实践。通常，这些涉及：

1. 更严格的用户和管理员访问控制；

2. 改进配置文件的最佳实践；

3. 更好的安全监控和威胁警报；

4. 以及，规定使用以云为中心的数据加密和密钥管理；

  这很好，可以解决在云环境中保存敏感数据的一些风险。然而，它并没有解决客户和政府对组织保留对关键数据和数字资产的数据主权的新兴需求。

  这对于治理和风险管理目的来说是不够的，因为（事实）持有数据和密钥的人最终可以访问数据本身。为了在云中安全运行，保持对谁、何时、何地访问数据的控制将成为一项执行或监管任务，因此请做好这方面的准备。

云数据主权 -- 第一步，密钥遣返

  那么，在云数据方面，已经迁移到云的组织如何开始数据主权恢复之旅呢？这可以通过收回对以下各项的直接控制权来实现：

1. 数据本身；

2. 数据访问和加密策略；

3. 收回数据加密的密钥管理；

  如果采用第一种方式，我们收回数据本身，我们首先就违背了迁移到云的目的。我们失去了快速构建数字服务的灵活性和敏捷性。我们通过增加计算机硬件和软件的支出来增加对组织的资本需求。我们不鼓励我们的商业领袖和创新者冒险。因此，这通常不是一种选择。

  如果采用第二种方式， 恢复对数据访问和加密策略的直接控制将是很好的，但是当您已经投资了云时，这不是一件容易的事。这并非不可能 ，这是我们在努力实现数据主权高度成熟时应努力实现的目标。

  因此，鉴于前两个选项最初或总体上实现可能性有难度，第三个选项是收回对保护我们云数据的密钥进行直接控制。好消息是，通过正确的方法，这个过程很容易实现。它涉及使用云密钥管理解决方案将云密钥与外部密钥管理平台同步（请注意对密钥安全性的强调）。

  此云密钥遣返虽然不能让你直接控制当前正在使用的云密钥的创建和部署方式，但可以让你了解组织拥有的所有云密钥以及它们的保存和使用位置。

  云密钥遣返还是组织云数据主权恢复之旅的基础。下一步是重新建立对云密钥的安全创建，部署和删除的直接控制 - 我将在未来几周内在后续文章中分享，敬请持续关注安策或联系我们安全工程师交流。

此文引用：

1维基百科https://en.wikipedia.org/wiki/Repatriation

2微软文档https://docs.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility

版权声明: SafePloy安策利用网络资源获取的信息安全资料加上公司技术人员的理解整理产出的技术交 流文档，如有版权意见，请及时告知安策公司，我们将及时查证纠正错误，谢谢支持。有问题请及时电邮 market@ SafePloy.com

来源：Thales泰雷兹、布莱恩·格兰特 | 关键词：云数据控制  云数据控制权  密钥控制  云安全   | 受欢迎指数（）