Question

企业的很多数据除了落地在终端，更重要的是落地在后端存储上，这里的数据安全工作会涉及存储数据的加密、敏感文件的扫描发现以及数据的销毁等方面的内容。

1.存储数据的加密

存储数据的加密，根据数据加密位置的不同，一般分为：应用层加密（如数据库、备份软件），网关层加密（如加密交换机），存储系统加密。

应用层加密，肯定是兼容性最好的方案，因为应用自身实现了加密，存储层、网络层根本无感知；另外，由于应用层加密可以保护数据端到端的安全，所以实用价值更大。以数据库为例，包括 Oracle、SQL Server 在内的数据库，都在高版本里支持透明加解密功能，即存储在磁盘上的数据是加密的，加解密功能由数据库自身来完成。MySQL 在 5.7 版本中推出数据加密功能—透明数据加密（Transparent Data Encryption），用户在创建加密表时，不用指定加密密钥。数据在写盘时加密，在读盘时解密。不过，目前 MySQL 的透明数据加密只支持 InnoDB 存储引擎，未来可能会有新的改进。

网关层加密，使用加密存储安全交换机，连接在存储设备和主机之间，所有数据都会经过它，性能是一个需要关注的问题；另外，对已经有存储交换机的企业来说，还需要另外采购加密交换机来实现加密功能。

存储系统加密，依靠存储本身提供的加密就可以，不需要引入加密交换机，也不会对主机的性能有影响。很多企业都使用磁带库的方式进行备份，一般都支持加密功能。

2.敏感文件的扫描

常规的 DLP 产品都会支持敏感数据发现功能，除了对本地终端，还可以对远程存储上的文件进行扫描，比如文件共享、Lotus Notes 数据库、SQL 数据库、SharePoint 服务器、Exchange Server 扫描等，都是一些 DLP 产品里的功能，此处不再赘述。

3.数据的销毁

数据销毁有两种，一种是我们常说的数据擦除，一种是针对物理设备的消磁或粉碎。

有经验的同学都知道，Shift+Delete 删除的文件其实在磁盘上还是能找回来的，其原理是，当你删除一个文件的时候，并没有真正把文件从磁盘的存储位置上删除，而只是在文件分配表上把该文件存储位置的标志置为 0，也就是说只有你下次存储新的东西要用到这个标志的时候，原来被删除的东西才能真正被物理覆盖掉。

安全的删除方法是使用专业工具进行的，免费的有 Eraser，其删除设置里有多种删除方法，包括美国国防部标准等。

如果想针对某个重要文件做处理，但已经不小心被删除，一种办法是先恢复再安全删除，还有一种办法就是直接硬盘填充多次，硬盘填充工具网上有免费的 FillDisk，也有系统自带的 cipher 命令。此类工具的原理都是写数据一直到磁盘写满，多运行几次再用数据恢复工具测试一下效果进行验证。

针对磁盘的消磁，需要专业的消磁设备来进行，一般金融机构数据中心都会配备，不再赘述。针对 SSD 固态硬盘，由于其不是磁性媒介组成，所以消磁机就派不上用场了，一般的做法是将其芯片粉碎，市面上也有相应的设备。