將數據遷移到云中失去了對處于公司安全邊界外的數據的控制，將會增加數據保護的復雜度，因而欺詐的風險也會上升。

云計算加密的需求

出于合規或公司隱私的需求，云中的機密數據必須要保護。隨著由系統內部管理的機密信息不斷的遷移到云中，與之相應，需要花同樣的力氣去保護這些機密信息。將數據遷移到云中對提高機密性和數據保護沒有任何幫助。與之相反，由于失去了對處于公司安全邊界外的數據的控制，將會增加數據保護的復雜度，因而欺詐的風險也會上升。

有很多因素促使企業考慮云中數據加密，包括：

在將數據遷移到云中時通過加密來保護數據，所需要做的多于僅僅確保使用安全轉移通道(如TLS)。在數據傳輸過程中加密不能確保數據在云中能得到保護。一旦數據達到云中，這些數據無論在云中還是在使用仍然需要保護;

對于在云中存儲或共享時必須保護的無結構文件。這些文件可能通過以數據為中心的加密進行保護，或者在能夠直接對文件進行保護時將加密嵌入到文件格式之中;

理解在數據的整個生存周期中，如何管理加密或解密的密鑰。只要有可能，都應避免依賴云服務提供商去保護，并且應該適當地使用密鑰去保護企業的關鍵信息;

可以避免因為雇員失誤造成的損失，或者區域法律造成的麻煩。除非需要委托別人訪問你的加密文件。如果只有你自己有密鑰，那么只有你有資格訪問你的文件;

不要忘記保護那些經常被忽略的文件，因為它們經常包含敏感信息。登錄文件和元數據可能是數據泄露的途徑;

使用足夠耐用的加密強度(如AES-256)的加密技術，遵守同一公司規定批準的方式去機密維護的文件。使用公開有效的格式，只要有可能的地方應避免使用專用加密格式。

當企業在評估通過加密或者其他方法保護哪些東西時，一般來說數據共享的風險可分解為兩個基本的類別：泄露(公開)、濫用，包括以下方面：

意外公開泄露，使得信息或數據可被一般的公眾通過公共網站獲取;

意外或惡意泄露，由于不恰當的數據保護使信息或數據被第三方利用的行為;

政府公開，依據法律或法院命令將數據對政府公開;

濫用用戶或網絡檔案資料，通過分析和數據挖掘去從看似為交通數據中提取出敏感信息，以揭露用戶行為、關系、偏好或興趣;

濫用推理，能夠去描繪推理關于個人的行為或身份;

濫用重鑒定和去匿名，通過訪問足夠的匿名信息以推測原始主題。

云計算常用的加密方法

在加密部分常用兩個互補的有效方法，它們是：

內容感知加密：在數據防泄露中使用，內容感知軟件理解數據或格式，并基于策略設置加密。例如在使用email將一個信用卡卡號發送給執法部門時會自動加密;

保格式加密：加密一個消息后產生的結果仍像一個輸入的消息。例如一個16位信用卡卡號加密后仍是一個16位的數字，一個電話號碼加密后仍像一個電話號碼，一個英文單詞加密后仍像一個英語單詞;

從企業內部到云上時，加密過程可以不需要用戶干預是保障數據安全的首選方式。如果軟件能配置協議感知，內容感知軟件能夠促進公有云加密的改善;現今的數據防泄露(DLP)應用案例滿足產品的需求，能增強對將要離開企業的數據(通常以email形式)的保護，并在數據離開企業之前加密。這種原理可用于云數據保護，不過數據防泄漏產品或許產生警告。一個內容感知服務需要探測、加密和記錄而不是警告。

保格式加密比內容感知更進一步，通過檢測數據的敏感程度來決定加密及維持數據格式和類型。例如使用傳統的加密，一個信用卡的卡號被加密后的結構是一個密文，再也不是一個16位的數字。保格式加密將會產生加密后的16位的密文數字。通過保持數據類型和格式，這一服務能在眾多的協議上有秩序地輕易改變很多數值。保格式加密的關鍵挑戰是加密大規模的明文數值，如存儲在云中的email。大規模加密通常地是使用塊加密算法，對文本數據進行。在保格式的應用中，需要花費一定的時間將每一個單詞加密成相同長度的字符串。不過，加密后的密文結果能像原始明文一樣存儲在相同數據類型的文件中。

當然，在云應用中加密給商業應用提出一些問題，企業在部署應用架構時需要考慮解決，具體問題如下：

如果需要查詢記錄或者對象，加密過的主鍵(primary key)將使查詢過程很復雜;

如果云應用集包含一批工作或其他涉及敏感數據的處理過程，尤其是PII和SPI數據，這些處理過程遷移到云中時，云環境將會使密鑰管理變得復雜;

一個應用需要在數據庫中找到記錄或對象時，可能采用另外一種方式去存儲唯一的值，例如令牌。令牌常被用在信用卡環境中，以確保信用卡卡號在應用中最低程度的被訪問。從數值中產生的唯一的令牌能被用于產生新的主鍵，這些主鍵可以在公有云上的應用中使用，而不會暴露敏感數據;

在云上，與其他應用程序和數據一同工作的過程，如果需要操作明文數據，為實現其功能，必須能訪問密鑰或服務。