今天鐵人賽文章繼續來到技術篇的分享，
我們至今已經針對資料保護、政策、報表、稽核日誌，
以及其所儲存的資料完整性、儲存媒介等進行介紹。
今天要持續來介紹的是「資料加密與去識別化」。

資料加密機制

資訊安全的三原則為 C.I.A，
即機敏、完整與可用性，三者均滿足才符合資訊安全的目標。
而其中的機敏性即需要透過密碼學的加解密機制來實現，
透過在數學邏輯驗證過的對稱式、非對稱式演算法，
進行可逆或不可逆的加密運算，提供包含機敏傳輸 (AES) 或完整性驗證 (HASH)。

當資料從資料庫讀取出來的過程，如果沒有特別設計，
基本上都是明文內容進行傳輸，此時加密保護就包含：
儲存階段的加密、傳輸過程的加密以及資料本身的加密。

儲存階段的加密

基本上此時資料位於靜止狀態、存放在儲存器或資料庫內，
此時要確保資料的完整性不被破壞，或防止因資料遺失倒置的資料外洩，
此時儲存器或資料庫都具備能將存放的資料進行加密保護的功能。
細節不同的是，儲存器可能採用的是區塊層級加密 (Block-Level)，
而資料庫或檔案層級的加密，可能採用的是檔案層級加密 (File-Level)。

傳輸過程的加密

傳輸過程的概念是在網路端到端的過程，
先行建立安全通道後、將彼此傳遞的封包 Payload 進行加密，
像是防火牆常用的 Site-to-Site VPN，或現在 HTTPS 的 TLS 機制，
透過將封包 Payload 進行加密後在傳輸期間進行封包加密保護。

資料本身的加密

通常在資料本身加密的情況下還需要使用，
通常牽涉到的通常會是個人型的資料加密保護的需求，
因為無論儲存體或傳輸通道，基本上都是給定一個程度的「範圍」，
在這區間、範圍的資料可以大範圍的在明文狀態下使用，
但資料本身加密卻牽涉到單一檔案的加、解密問題，
因此資料本身加密的情境，多是重要性的敏感資料、且偏向個人使用需求居多。

資料去識別化

在資料安全保護的環節，敏感資料揭露的本身即會造成風險，
故適當的「資訊處理」就有助於幫助我們既能查看相關數據，
同時也確保資料只需要做到部分揭露。

最常見的即是姓名公布：陳 O O 或是 陳 O 成，
這樣的「遮罩」(Masking) 作法，即為讓資訊部分揭露同時保護敏感個資。
而像是信用卡資料，也常將 16位數字進行部分遮罩或隱碼，
藉此來保護信用卡資料本身不會遭完整竊用。

另外一個常用來去識別化的機制則是權杖化 (Tokenization)，
透過有邏輯性的明密文對應，將原始數據轉換成同型態、但不同數字的長相，
提供後續的分析運用的同時，也能去識別化、影響原始資料的揭露，
同時也能追蹤在每一個環節資訊轉換的過程，留下蛛絲馬跡。

通常資料採用去識別化機制多是在資料應用、呈現階段，
故資料存放的系統本身，就成為駭客最感興趣的標的，
無論前端應用層做了何種保護措施，如果源頭資料系統即被掌握，
那後續的資料處置也就無從發揮功效。

小結

今天鐵人文章將常見的資料安全保護機制做了系列介紹，
明天要從靜態的 Policy-based 移到到動態的 Risk-based，
讓我們看看如何透過平常時期的運作的軌跡，掌握當前系統資料風險。