Что такое принести свой собственный ключ и почему это важно?

Облачное шифрование — одна из самых эффективных технологий защиты данных от взломов. Однако организации, которые переносят свои данные в облако, сталкиваются с дилеммой шифрования в качестве облачной службы. провайдеры (CSP) по умолчанию сохраняют доступ к ключам шифрования своих клиентов и, соответственно, к их данные.

Доверив управление данными стороннему CSP, вы создаете потенциальные уязвимости в безопасности данных. К счастью, внедрение BYOK, то есть Bring Your Own Key, может помочь защитить криптографические ключи, используемые для шифрования данных, хранящихся в облаке.

Что такое БАЙОК?

Bring Your Own Key (BYOK) или Bring Your Own Encryption (BYOE) — это модель защиты данных, которая позволяет обслуживать клиентов, чтобы использовать их собственное программное обеспечение для управления ключами шифрования и полностью контролировать их шифрование ключи.

BYOK позволяет клиентам использовать свое собственное программное обеспечение для управления ключами для хранения ключей вне облака, обеспечивая больший контроль над управлением ключами шифрования.

Как работает BYOK?

Фундаментальная идея BYOK заключается в том, чтобы отделить блокировку, то есть шифрование, предоставляемое CSP, от ключа (ключи шифрования, хранящиеся локально). Это достигается за счет использования третьей стороны для создания ключей, известных как ключи шифрования ключей (KEK), которые затем используются для шифрования ключей шифрования данных (DEK), сгенерированных CSP.

Описанный выше процесс известен как перенос ключей; он включает в себя «обертку» DEK с помощью KEK, чтобы гарантировать, что только клиент облачной службы может расшифровать DEK и получить доступ к данным, хранящимся в CSP.

При выборе третьей стороны для генерации KEK и упаковки ключей вы можете выбрать локальную аппаратный модуль безопасности (HSM) или программную систему управления ключами (KMS).

Почему BYOK важен?

Данные имеют огромную ценность для всех, что подчеркивает важность внедрения BYOK для их защиты. Вот основные причины для внедрения BYOK.

Улучшает безопасность данных

BYOK обеспечивает дополнительный уровень защиты конфиденциальных данных, отделяя зашифрованную информацию от соответствующего ключа. Благодаря BYOK организации могут хранить зашифрованные ключи вне облака, используя свое программное обеспечение для управления ключами шифрования. Это гарантирует, что только они могут получить доступ к своим данным, повышая безопасность данных.

Улучшает соответствие

Предприятия в различных секторах должны соблюдать отраслевые правила управления ключами шифрования.

Например, строго регулируемые отрасли, включая здравоохранение и финансы, требуют соблюдения строгих стандартов безопасности данных. BYOK позволяет организациям выполнять эти требования за счет внутреннего управления своими ключами шифрования.

Нелегко гарантировать конфиденциальность данных клиентов, когда кто-то еще имеет доступ к их ключам шифрования. Защита данных обеспечивает соответствие нормативным требованиям и отраслевым стандартам и, таким образом, защищает репутацию организации.

BYOK обеспечивает прозрачность доступа к данным и их удаления. Таким образом, он играет решающую роль в соблюдении таких правил, как GDPR (Общее положение о защите данных), особенно в отношении права на удаление личных данных.

Повышает гибкость и контроль данных

BYOK позволяет организациям хранить ключи шифрования и управлять ими локально или в облаке в зависимости от индивидуальных потребностей.

Кроме того, это позволяет им использовать свои данные по своему усмотрению, будь то внутренний обмен, аналитика облачных данных или общий доступ к ним за пределами организации, сохраняя при этом надежную безопасность. Исторически данные, хранящиеся в облаке, шифровались ключами, принадлежащими CSP, что оставляло компании с ограниченным контролем над своими данными.

Шифрование BYOK также обеспечивает повышенный контроль над управлением ключами, позволяя при необходимости отозвать доступ для ваших конечных пользователей или CSP.

Централизованное управление ключами

Управление многочисленными ключами шифрования на разных платформах, таких как центры обработки данных, облачные провайдеры и мультиоблачные установки, может быть сложной задачей. Внедрение шифрования BYOK упрощает этот процесс за счет централизации управления ключами через единый платформа, обеспечивающая эффективность операций, связанных с ключами, включая создание ключей, ротацию и архивирование.

Потенциально экономит деньги

BYOK позволяет управлять ключами шифрования самостоятельно. Контролируя их, организации могут не платить сторонним поставщикам за услуги по управлению ключами. Это устраняет потенциально повторяющиеся платежи за подписку и расходы на лицензирование.

Кроме того, шифрование BYOK направлено на то, чтобы сделать данные нечитаемыми для злоумышленников, включая хакеров и тех, кто выдает себя за облачных администраторов. Это может косвенно снизить затраты от потенциально раскрытие конфиденциальной информации, чтобы предотвратить штрафы за соблюдение требований и потерю бизнеса.

Какие CSP поддерживают BYOK?

Основные CSP, такие как Google Cloud Platform (GCP), Amazon Web Services (AWS), Microsoft Azure и различные Программное обеспечение как услуга (SaaS) поставщики уже предлагают поддержку BYOK.

Несмотря на то, что BYOK обеспечивает расширенный контроль, он вводит дополнительные задачи управления ключами, особенно в многооблачных средах. Каждый CSP, включая GCP, AWS и Azure, имеет свое уникальное шифрование и KMS, что делает его необходимым для облачных вычислений. администраторам ознакомиться с терминологией и отличительными особенностями каждого поставщика, с которым они работают с.

GCP, Azure и AWS защитить данные в состоянии покоя и в пути, зашифровав его. CSP достигают этого с помощью соответствующих служб управления ключами: Cloud KMS для GCP, Azure Key Vault для Azure и AWS KMS для AWS.

Ключевые соображения по внедрению BYOK

BYOK предлагает больший контроль над данными и ключами, но также требует повышенной ответственности. Внедрение BYOK является сложной задачей, поскольку контроль, включая обеспечение безопасности ключей шифрования, переходит к владельцу данных.

Хотя BYOK снижает риск потери данных, особенно для данных в движении, его безопасность зависит от способности организации защитить ключи.

Потеря ключей шифрования может привести к необратимой потере данных. Чтобы снизить этот риск, рассмотрите возможность резервного копирования ключей после создания и ротации, не удаляйте ключи без необходимости и используйте комплексное управление жизненным циклом ключей.

Также поможет разработка стратегии управления, включающей политики ротации ключей, хранение, процедуры отзыва и средства контроля доступа. Привлечение опыта авторитетного поставщика может ускорить реализацию этой стратегии, подчеркнув необходимость оценки поддержки и квалификации CSP в реализации BYOK.

Важно отметить, что не все решения BYOK легко интегрируются с CSP. Инвестирование времени в Тщательное исследование на ранних этапах жизненно важно, чтобы убедиться, что вы найдете идеальное решение, прежде чем приступить к работе. продавцы.

Не забывайте и о расходах, связанных с BYOK. К ним относятся расходы на ключевое управление и поддержку. Внедрение BYOK может быть непростым, поэтому организациям может потребоваться инвестировать в дополнительный персонал и HSM, что приведет к дополнительным расходам.

Многие компании предпочитают мультиоблачный подход для оптимизации производительности и снижения затрат. По возможности избегайте зависимости от какого-либо одного поставщика облачных услуг, чтобы предотвратить привязку к поставщику и полностью использовать преимущества внедрения облака.

BYOK повышает безопасность облачных данных

Хранение данных в облаке дает множество преимуществ, но многие справедливо беспокоятся о потенциальных рисках безопасности хранилища. Как только данные попадают в облако, они теряют прямой контроль над ними.

BYOK направлен на решение фундаментальной проблемы, связанной с тем, что поставщики CSP или SaaS могут не обеспечивать желаемый уровень защиты данных, но при этом могут расшифровывать ваши данные по своему усмотрению. Это позволяет организациям управлять своими собственными ключами шифрования и облачными данными вместо CSP, повышая безопасность облачных данных.