本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 加密政策
<a name="policy"></a>

加密政策的目的是在高階管理層級建立組織需要滿足的業務和合規期望。此政策可做為定義適當加密策略的起點。政策應足夠抽象，以提供實作的自由和彈性。同時，它必須足夠具體，才能定義符合組織目標之可接受實作的限制。一般而言，政策與技術無關，而且由於定義了企業加密策略的基本特性，因此經常變更。

一般而言，加密政策包含但不限於下列項目：
+ 您的企業必須符合的任何法規或合規機制
+ 資料加密的任何商業承諾或期望
+ 必須加密的資料類型
+ 何時使用加密以外的資料保護技術的條件，例如雜湊或字符化

組織的最高管理層級，例如 CIO、CTO 和 CISO，通常會定義和核准加密政策。

建立加密政策時，請考慮下列事項：
+ 您的業務單位會決定您需要遵守的合規和法規機制。這些機制會決定資料加密需求。將業務擴展到新區域或擴展產品方案的執行層級決策，可能會影響適用於您資料的法規。例如，如果銀行決定提供信用卡給客戶，他們可能需要符合[支付卡產業資料安全標準](https://www.pcisecuritystandards.org/document_library/) (PCI-DSS)，這需要資料加密。
+ 您的政策應指定需要加密的資料類型。這取決於合規要求和企業的資料處理目標。例如，您的政策可能說明企業擷取或擁有的任何資料必須靜態加密。
+ 您的加密政策必須符合內部資料分類標準。若要制定有效的加密政策，必須在中繼資料層級判斷資料類別。例如，您的類別可能包含公有、內部、機密、秘密或客戶資料。
+ 包含如何判斷哪些資料應該加密，以及哪些資料應該使用另一種技術來保護的條件，例如權杖化或雜湊。例如，您的政策可能會陳述*任何進入稽核、追蹤或應用程式日誌的個人識別資訊 (PII) 必須進行字符化*。