透過 Shield Platform Encryption 加強資料安全性

重要 為配合本公司的「平等」價值，我們會盡可能變更非包容的字詞。我們維護某些特定字詞，以避免對客戶實作造成任何影響。

備註 此內容與 Shield Platform Encryption 相關。請參閱使用 Salesforce Own from Salesforce 的 Shield Extension 實作欄位級加密的資訊。

Shield Platform Encryption 建立於 Salesforce 提供的傳統加密選項。系統會加密資料,以便在其他防線遭到入侵時保護資料。您可以加密整個交易資料庫。此外,您也可以選擇加密離散項目,例如許多標準和自訂欄位、檔案、搜尋索引和附件。

您的金鑰資料絕不會儲存或在組織之間共用。您可以選擇讓 Salesforce 為您產生金鑰資料,或上載您自己的金鑰資料。依預設,Shield Platform Encryption 使用金鑰衍生函數 (KDF) 從主要密碼和您組織特定的金鑰資料依需求衍生資料加密金鑰。接著會將衍生的資料加密金鑰 (DEK) 儲存在加密金鑰快取中。DEK 一律不會儲存在磁碟上,且您的組織特定金鑰資料一律封裝。

您可以逐一選擇退出金鑰衍生。或者,您可以將您的 DEK 儲存在 Salesforce 外部,並讓「外部金鑰管理」服務或僅限快取金鑰服務從您控制的金鑰服務中依需求提取。您提供的 DEK 一律封裝。無論您選擇如何管理您的金鑰，Shield Platform Encryption 可在每個加密程序階段保護您金鑰資料的安全。

您可以免費在 Developer Edition 組織中試用「Shield Platform Encryption」。此產品佈建在您的生產組織後,便可在 Sandbox 中使用。

小秘訣 無論您使用的是 Shield Platform Encryption 或 Classic Encryption,您都可以追蹤整個組織的加密原則狀態。Security Center 應用程式是一個簡單的程序,可 ⁇ 取許多有用的安全性度量。請參閱 透過 Security Center 管理您的安全性目標。

• 您可以加密的對象
  Shield Platform Encryption 提供金鑰管理和加密選項,可協助您符合規範與法規需求。這也會對靜態儲存的資料增加額外保護。您可以選擇「資料庫加密」以加密交易資料庫內的大部分資料。如需更具針對性的保護和更精確的金鑰管理控制,請使用將欄位級加密 (FLE) 套用至個別的標準和自訂欄位。
• 上線至 Shield Platform Encryption
  有數種情況會影響對不同 Shield Platform Encryption 功能的上線。這取決於您所採用的加密原則,以及您是否已使用一或多個 Shield Platform Encryption 功能。
• 平台加密問與答
  以下是關於平台加密的一些常見問題。
• Shield Platform Encryption 如何運作
  Shield Platform Encryption 可協助您使用您管理的金鑰加密資料。其使用兩種方法來保護您的資料:金鑰衍生和直接加密。針對 FLE 與資料庫加密,其使用由您控制的唯一租戶機密和 Salesforce 維護的主要密碼所組成的衍生金鑰。針對 EKM、搜尋索引和 BYOK for Data 360,其會使用根金鑰來包覆直接加密資料的資料加密金鑰 (DEK)。您可控制根索引鍵。
• 設定您的加密原則
  加密原則是您使用 Shield Platform Encryption 加密資料的計畫。您可以選擇要如何進行實作。例如,您可以使用資料庫加密來加密整個交易資料庫。如果您想要進階金鑰管理,您可以使用欄位級加密來加密個別欄位,並將不同的加密方式套用至這些欄位。或者，您可以選擇加密其他資料元素，例如檔案與附件、Chatter 中的資料，或搜尋索引。請記住，此加密與欄位級安全性或物件級安全性的加密不是同一回事。在您實作加密原則之前，請正確執行下列控制。
• 使用決定性加密篩選加密資料
  您可以使用決定性加密來篩選透過 Shield Platform Encryption 保護的資料。即使基本欄位已加密，您的使用者也可以篩選報告與清單檢視中的記錄。您可以將區分大小寫的決定性加密或完全符合不區分大小寫的決定性逐欄套用至資料。
• 金鑰管理與輪替
  透過 Shield Platform Encryption,您可以控制和輪替用於加密資料的金鑰資料。您可以使用 Salesforce 來產生自己的租戶機密,然後它會與依版本的主要密碼結合,以 ⁇ 取資料加密金鑰。接著衍生的資料加密金鑰會用於加密和解密功能。您也可以使用自帶金鑰 (BYOK) 服務上載您自己的金鑰資料。或者您可以將金鑰資料儲存在 Salesforce 之外。使用「外部金鑰管理服務」或「僅限快取金鑰服務」以依需求 ⁇ 取金鑰資料。
• Shield Platform Encryption 自訂項目
  某些功能與設定需要調整才能適用於加密資料。
• Shield Platform Encryption 的權衡之計與限制
  像 Shield Platform Encryption 這樣強大的安全性解決方案並不需要一些權衡。加密資料時,您的部分使用者可能會遇到有限的功能,有時某些功能完全無法使用。當您設計加密策略時,請考量對使用者和整體業務解決方案的影響。