本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 加密策略
<a name="policy"></a>

加密策略的目的是在高级管理层建立组织需要满足的业务和合规性期望。该策略可以作为定义合适的加密策略的起点。政策应该足够抽象，以便为实施提供自由和灵活性。同时，它必须足够具体，以界定符合组织目标的可接受实施的范围。通常，策略与技术无关，而且很少更改，因为它们定义了企业加密策略的基本特征。

通常，加密策略包含但不限于以下内容：
+ 您的企业必须遵守的任何监管或合规制度
+ 对数据加密的任何业务承诺或期望
+ 必须加密的数据类型
+ 何时使用加密以外的数据保护技术（例如哈希或标记化）的标准

组织的最高管理层，例如首席信息官、首席技术官和首席信息安全官，通常负责定义和批准加密策略。

在创建加密策略时，请考虑以下几点：
+ 您的业务范围决定了您需要遵守的合规和监管制度。这些制度规定了数据加密要求。将业务扩展到新地区或扩大产品范围的高管层决策可能会影响哪些法规适用于您的数据。例如，如果银行决定向其客户提供信用卡，他们可能需要遵守[支付卡行业的数据安全标准 (PCI-DSS)，该标准要求数据](https://www.pcisecuritystandards.org/document_library/)加密。
+ 您的策略应指定需要加密的数据类型。这因合规性要求和企业的数据处理目标而异。例如，您的政策可能规定，企业捕获或拥有的任何数据都必须进行静态加密。
+ 您的加密策略必须符合您的内部数据分类标准。要制定有效的加密策略，需要在元数据级别确定数据类别。例如，您的类别可能包括公开、内部数据、机密数据、机密数据或客户数据。
+ 包括如何确定哪些数据应加密以及应使用其他技术（例如标记化或哈希）保护哪些数据的标准。例如，您的政策可能规定*必须对审计、跟踪或应用程序日志中的任何个人身份信息 (PII) 进行标记化*。