IRIS 2021 技术文档 First Look 25 -- 数据库加密

本文档向您介绍 InterSystems IRIS®数据平台如何处理数据库加密，这是所有企业安全战略的重要组成部分。

本文档介绍了数据库加密的情况，并引导您完成一些与创建加密数据库有关的初始任务。一旦您完成了本指南，您将创建一个密钥文件，激活该密钥文件，然后用它来加密一个数据库。这些活动被设计成只使用默认的设置和功能，这样您就可以熟悉该功能的基本原理，而不必处理那些离题的细节(尽管这些细节在执行实现时可能很重要)。有关数据库加密的完整文档，请参见 Encryption Guide(《加密指南》)。

要浏览所有的技术概要(First Look)，包括可以在 InterSystems IRIS 免费的评估实例上执行的那些，请参见 InterSystems First Looks(《InterSystems 技术概要》)。要浏览所有的技术概要(First Look)，包括可以在 InterSystems IRIS 免费的评估实例上执行的那些，请参见 InterSystems First Looks(《InterSystems 技术概要》)。要浏览所有的技术概要(First Look)，包括可以在 InterSystems IRIS 免费的评估实例上执行的那些，请参见 InterSystems First Looks(《InterSystems 技术概要》)。

1. 为什么数据库加密很重要   

虽然加密并不能防止对机密或个人信息的所有不当或未经授权的使用或披露，但确保静止数据的加密为信息安全提供了一个重要的防御层。在数据库级别实施加密为您的信息保护控制提供了一个额外的维度。

此外，许多有关敏感信息或个人信息的法律和法规建议或要求处理数据的组织采用加密作为第一道防线。这些包括法律和法规，如：

• 《健康保险携带和责任法案》(Health Insurance Portability and Accountability Act，HIPAA )——要求安全保护健康(Secure Protected Health)信息是不可读、不可破译和不可恢复的
• 马萨诸塞州 201 《马萨诸塞州法规法典》(Code of Massachusetts Regulations，CMR) 17.00——要求个人信息在传输和静止时进行加密
• 纽约州 23 《纽约法典、规则和条例》 (NewYork Codes, Rules and Regulations，NYCRR) 500 部分——处理非公开信息的金融和其他涉及的组织必须利用加密作为保护数据的一种手段。
• 欧盟《通用数据保护条例》(General Data Protection Regulation，GDPR)——安全保障要求将加密作为一种保护控制考虑在内
• 意大利《个人数据保护法》(Personal Data Protection Code，PDPC)——《最低数据安全措施技术规范》(Technical Specifications on Minimum Data Security Measures)第 24 条要求对披露健康和性生活的数据进行加密处理
• 澳大利亚隐私原则(Australian Privacy Principles，APP)原则 4——强有力的加密实现解决了必要的隐私增强技术，以确保个人信息的安全
• 日本经济产业省(Ministry of Economy, Trade, and Industry，METI)指南——如果未加密的个人或机密信息遭到泄露，必须进行监管调查，因为根据《个人信息保护法》(Act on the Protection of Personal Information，APPI)第 20 条，个人信息的处理者有义务防止信息的泄漏、丢失或损坏

请注意，这些法律要求中有许多集中在数据泄露上，因为这是一种越来越普遍的现象，但目前的框架要求组织有义务通过适当的安全控制来解决风险，如基于角色的访问、密码保护、入侵检测、数据丢失预防和日志/审计 ——以及加密。加密本身并不能满足所有的强制性要求，但提供了一个安全的基础。数据库级别的加密

通过要求攻击者不仅要获得对系统或文件空间的访问权限，而且要有访问数据库的权限，从而加强了保护。这一附加层为组织、其客户和任何利益相关者提供了保证。数据库的权限，从而加强了保护。这一附加层为组织、其客户和任何利益相关者提供了保证。

2. InterSystems IRIS 如何使用数据库加密

对于与数据库操作相关的活动，InterSystems IRIS 的加密和解密过程对用户是透明的。从终端用户或应用程序开发人员的角度来看，应用程序只需执行其常规活动(activity)，数据就会自动在磁盘上加密。从系统管理员的角度来看，有几个简单的任务可以确保数据加密的发生；在执行这些任务后，加密的过程又是在背后执行的。

更重要的是，这些活动使用最少的处理器时间，所以它们对您的应用程序没有明显的影响。此外，由于我们数据库的构建方式，这些活动被高度优化。

加密和解密在密码块链接(Cipher Block Chaining，CBC)模式中使用美国政府高级加密标准(United States Government Advanced Encryption Standard，AES)，通常简称为 AES CBC。InterSystems IRIS 支持 AES CBC 的所有合法密钥大小：128–、192–和 256–位密钥。