TDE против совета по шифрованию диска

Question

Мы небольшой бизнес, который размещает приложения и данные для клиентов. Некоторые из наших клиентов требуют, чтобы мы защищали их данные с помощью «шифрования в состоянии покоя», хотя никогда не ясно, знают ли они, что это на самом деле означает.

В настоящее время данные находятся на виртуальной машине Azure, работающей под управлением SQL Server Standard.

Один из вариантов для нас - использовать TDE, но он доступен только в SQL Enterprise, и дополнительные затраты на лицензирование для нас будут значительными.

Другой вариант - использовать Azure Disk Encryption насуществующая виртуальная машина SQL Standard бесплатно.

Существует ли практическая разница в результатах между использованием TDE и шифрованием диска, когда речь идет о том, чтобы убедить клиента в том, что его данные зашифрованы в состоянии покоя.

Какие различия я должен учитывать?

Answer 1

Данные в состоянии покоя включают информацию, хранящуюся в постоянном хранилище на физическом носителе в любом цифровом формате. Носитель может содержать файлы на магнитном или оптическом носителе, архивные данные и резервные копии данных.

TDE и шифрование диска защищают от различных (хотя и схожих) рисков. С помощью шифрования диска или файла пользователь компьютера, имеющий доступ к файлам, может скопировать файлы базы данных (mdf, ndf, ldf) на другой компьютер, расшифровав их. А затем присоедините файлы к другому серверу SQL в качестве администратора и прочитайте все. Возможно, это делает мошеннический оператор резервного копирования.

При включенном TDE новый SQL Server не сможет читать файлы, которые будут зашифрованы ключом, который новый SQL Server не знает.

Как вы упомянули, TDE - это функция только SQL Server Enterprise Edition, поэтому шифрование диска Azure может быть вашим лучшим вариантом на виртуальной машине SQL Server, если вы не можете позволить себе оплатить лицензию Enterprise

Если вы можетерассмотрите возможность перемещения своей базы данных клиентов из IaaS в PaaS (модель DTU базы данных SQL Azure), тогда вы сможете использовать TDE в качестве части службы и вам не придется платить за лицензии SQL Server, что позволит сэкономить тысячи долларов на затратах на лицензирование и сэкономить нафункции безопасности и экономия на дисках хранения, используемых для резервного копирования (у вас есть бесплатные 35-дневные резервные копии, предоставленные PaaS).