NIST | 800-111 最終用戶設備存儲加密技術指南

?

在今天的計算環境中，保存在個人計算機、消費類設備（如個人數字助理、智能手機）和可移動存儲介質（如通用串行總線[USB]閃存盤、存儲卡、外接硬盤、可寫CD或DVD光盤）等最終用戶設備上的信息面臨著破壞保密性的諸多威脅。有些威脅是無意造成的，如人為錯誤，有些威脅則是有意為之的。有意威脅由心懷叵測的人形成，他們的動機包括制造事端和搞破壞、實施身份盜竊和其他詐騙等。設備丟失或失竊是最終用戶設備面臨的一種常見威脅。可以物理接觸設備的人有很多機會嘗試查看或拷貝保存在設備上的信息。另一令人擔憂的問題是內部人員攻擊，例如，一名員工試圖訪問保存在另一員工設備上的敏感信息。惡意軟件是另外一種常見威脅，可使攻擊者未經授權訪問設備，把信息從這臺設備轉移給攻擊者的系統，以及實施危及設備信息保密性的其他行動。

?

針對最終用戶設備的許多威脅會使未經授權方得以訪問保存在設備上的信息。為了防止信息泄露，尤其是防止個人可識別信息（PII）和其他敏感數據泄露，信息需要得到安全保護。確保最終用戶設備其他成分（如操作系統）的安全也必不可少，但是在許多情況下，還需采取額外措施來保護所保存的信息。本文介紹了存儲安全的基本概念，闡明只準許受權方訪問和使用被保存信息的流程。限制最終用戶設備敏感信息訪問的主要安全控制是加密和認證。加密可以精細執行，例如細化到給含敏感信息的單個文件加密，也可以廣泛執行，例如給保存的所有數據加密。針對某一特定情況究竟哪種加密方案最合適，主要取決于存儲的類型、需受保護的信息量、存儲所處位置的環境以及需要加以抑制的威脅等因素。本文描述了三類解決方案——全盤加密、卷和虛擬盤加密以及文件/文件夾加密——同時還為每類加密的執行和使用提出了建議。本出版物還列舉了若干用例實例，這些實例表明，有多種方法可滿足大多數存儲加密需要。機構選擇解決方案類型時，應該全方位考慮可滿足機構安全要求的解決方案，而不應只考慮最常用的解決方案類型。