静态加密 - Shield Platform Encryption（加载项）

Salesforce Shield 平台加密是 Salesforce 的附加安全功能，可在不破坏团队所需功能（例如搜索和工作流）的情况下加密静态敏感数据。

Shield Platform Encryption 包括以下静态加密数据的功能：

• AES 256 位加密：使用带有 256 位密钥的行业标准高级加密标准。
• 灵活的密钥管理：
  • Salesforce 生成的：让 Salesforce 处理密钥生命周期。
  • 自带密钥 (BYOK)：您可以在 Salesforce 之外生成和管理自己的“租户密码”。
  • 仅缓存密钥：您的密钥存储在您自己的外部密钥管理系统 (KMS) 中，并且在需要时只被短暂地“缓存”在 Salesforce 内存中，而永远不会进入磁盘。
• 两种加密方案：
  • 概率方案
  • 确定性方案
• 广泛的覆盖范围：与“经典”加密（仅处理一些自定义字段）不同，Shield 可以加密标准字段（例如姓名或电话）、自定义字段、文件、附件，甚至搜索索引。

在配置时，Shield Platform Encryption 解决了静态数据泄露的风险，在数据库和基础设施级别保护敏感信息免受未经授权的访问，而不仅仅是应用程序级别。通过在写入磁盘时加密数据，它减轻了后端用户或服务提供商查看原始数据的“内部威胁”，同时还满足了严格的监管合规要求（例如 HIPAA、GDPR 和 FINRA），这些要求需要数据保管证明。此外，它通过允许公司对其加密密钥保持独占控制来解决数据主权风险，确保即使在多租户云环境中，如果没有特定的租户密码派生密钥，任何人仍然无法读取其最重要的 PII。

• Shield Platform Encryption（加载项）加密策略 - Salesforce 受管密钥
  启用租户密码，并定期轮换。
• Shield Platform Encryption（加载项）加密策略 - 数据库加密
  启用租户密码，并定期轮换。
• Shield Platform Encryption（加载项）加密策略 - 对支持的功能启用加密
  在支持的功能中启用加密。
• Shield Platform Encryption（加载项）加密策略 - 管理 Data 360 密钥
  启用 Data 360 加密并管理密钥。
• Shield Platform Encryption（加载项）加密策略 - 限制对加密策略设置的访问权限
  定期审查加密相关权限。
• Shield Platform Encryption（加载项）加密策略 - 启用选择退出密钥派生和 BYOK
  使用自带密钥 (BYOK) 功能作为最终数据加密密钥，以加密敏感数据。