数据安全问题
不仅会对用户/客户的个人数据造成泄露，也对企业自身的业务安全与品牌带来了非常严重的负面影响，从近年来频发的用户隐私泄露等数据安全问题就可见一斑。虽然数据安全不能直接为企业带来业务层面的收益，但其显然正在上升为企业重点关注的一部分。并且，全球各地也陆续出台了关于数据安全保护的法规，将数据安全正式提升到一个新的高度。
在企业角度来看，企业在数据安全领域所面临的挑战大体上可以被归为『内因与外因』两部分。首先，因『安全合规时间紧』所带来的外部因素，是驱动企业加速完善数据安全体系的重要外部推手之一。随着数据安全进入强监管时代，大型国有企业以及互联网公司往往会成为监管的重点。此外如果业务与欧盟等海外市场有交集，企业也同样需要符合 GDPR 的要求。数据安全建设迫在眉睫。
其次，受外部因素驱动，企业开始快速建设数据安全体系。但罗马并非一日建成，在技术和标准层面，业内关于数据安全仍然是『举棋不定』：
-
业务改造成本高 / 基于业务的加密 ：存量系统繁杂多样且规模庞大，应用改造成本高
-
上线阶段风险高 ：应用切换风险高，存在无法退回风险
-
平滑切换难度大 ：无成熟平滑切换方案，业务存在切换难点
-
数据分散无标准 ：企业数据散落各处，无统一权限管控
随着信息技术的普及和发展，越来越多的公司意识到数据资产的重要价值，数据安全也就越来越被重视。作为一种用加密规则将数据变形，以达到安全控制的一种数据保护手段，数据安全也就自然而然的成为了各个公司的基础需求。
背景一：数据安全性与业务耦合度呈正相关的关系
按照相关部门规定，涉及用户安全数据或者一些商业性敏感数据都需要进行数据加密。但是如硬盘加密、文件加密、数据库 TDE 加密、数据库加密网关、应用加密等传统的数据加密方案，其数据安全性与业务耦合度呈现出了非常紧密的正相关关系。
进入到移动互联网阶段，业务调整与功能上线愈发频繁，产品功能和业务范围也愈发全面，面向不同人群的精细化运营业务，更是要求企业能够针对市场需要做出快速反应，因此微服务架构开始逐渐代替传统烟囱式架构成为架构设计的主流。不过，此时这种『数据安全性越高，业务耦合度越高』的关系已经显得不合时宜。
但是，如果要追求低业务耦合度，就要放弃一定程度的数据安全性，这对于外部行业要求以及企业内部对数据安全的要求而言，都是不可接受的。
背景二：两种涉及到数据加密的业务场景
在真实业务场景中，相关业务开发团队往往需要针对公司安全部门需求来自行维护一套加解密系统。而当加密场景发生改变时，自行维护的加密系统往往又面临着重构或修改的风险。此外，对于已经上线的业务，在不修改业务逻辑和 SQL 的情况下，透明化、安全低风险地实现无缝加密改造也相对复杂。
新业务需要数据加密。由于是新业务，所以一切都是新的，业务团队需要基于公司加密的基础要求，简单实现数据加密。但随着业务地快速发展，原先的加密方案难以满足新业务场景的要求，导致需要对业务系统进行大规模改造，升级改造的成本巨大。
对于已经上线的数据采用明文存储的成熟业务。如果当前公司有了数据加密的要求，那么就会涉及到旧数据的迁移加密（洗数）以及业务 SQL 的相关改造，整体复杂度较高。此外对于核心业务而言，甚至需要在不停机的前提下进行改造，这就会涉及预发布环境搭建、回滚方案的准备等等，所做的前期准备工作和改造成本也较高。
数据安全解决方案：SphereEx-DBPlusEngine
正是基于这样的背景，SphereEx-DBPlusEngine 基于产品的数据加密及全局权限能力，能够在不改动原有代码的前提下，为企业提供跨平台、异构环境的数据安全解决方案，并为其提供如在线洗数、自定义算法及多种密钥(含云端)管理等亮点能力，帮助企业来应对各种各样的数据安全诉求。
在 11 月 1.2.0 版本更新后，随着云端密钥管理与加密洗数功能的上线，SphereEx 补充了数据安全解决方案的关键一环，从政策合规检测工具到数据流通过程中的密态计算，初步为企业建立起流程化的数据安全体系。
一站式安全合规
安全合规检测工具
在对数据进行加密之前，企业首先要明确哪些数据需要被加密。首先企业可以从业务角度直接判断。但除此之外，一些法律法规严格规定的加密条款，人力却很难一一顾及到。尤其当下全球各地区都有各自的数据安全保护法律和措施，一旦在某个地区被发现其中某些语句或数据处于明文状态，不符合当地的数据安全保护条例法规，轻则罚款，重则必定会对业务产生影响。（打破部门墙）
因此，企业需要一款工具来快速判断哪些数据需要被加密。
基于此，SphereEx 推出了相关的安全合规检测工具。它能够根据部分国标以及海外（如 GDPR ）的相关规则与条例，对业务数据进行全面审查，自动检测出系统中需要加密的字段，从而降低企业因安全法规所导致的业务影响。后续 SphereEx 将会在此基础上持续兼容面向其它数据安全法规的协议，进一步降低企业在数据安全方面的合规问题。
应用免改造
对于企业而言，在实现数据加密的过程中最担心的就是应用被改造，因为在代码改造的过程中关于『成本、稳定性、安全隐患』等都是未知因素，这就对企业在进行数据加密时埋下了不小的隐患。
在开源项目 ShardingSphere 中，经过数年的实践与打磨，针对数据加密的『应用免改造』能力已经十分成熟。SphereEx-DBPlusEngine 在 ShardingSphere 的基础上做了商业增强，完全继承了 ShardingSphere 在应用免改造方面的特性。企业在应用 SphereEx-DBPlusEngine 时无需对应用、代码等进行改造，进而从根源处屏蔽了因代码调整而带来的相关业务风险。此外在免改造的同时，SphereEx-DBPlusEngine 能够快速实现企业对相关数据的加密需求，确保业务的快速上线。
密钥管理
在业务上云的大趋势下，业务数据自然也运行在云环境中。不过在公有云的环境下，企业如果在使用 SphereEx-DBPlusEngine 时依然使用原有的管理方式，在安全性上或多或少是存在一些隐患的。此外，在以下两个场景中，也需要使用更具安全性的方式来管理密钥：
- 不单单在传输过程中需要加密保护，在云端存储和使用数据的过程中也依然需要加密保护；
- 加/解密密钥的管理期限就是数据的完整生命周期，在数据被销毁之前如果密钥丢失，则会导致数据无法解密。
为解决上述两类痛点，SphereEx-DBPlusEngine 为用户提供云端密钥管理方式，将密钥管理在产品中被抽象为标准的 SPI，面向 AWS、阿里云等云厂商提供服务。
以 AWS 为例，程序在初始化加密算法时，会同 AWS 建立连接，从而获取存储在 AWS 中的相关密钥，然后将密钥存储在算法中。在整个数据加密的过程中不涉及与云端的网络交互，从而杜绝因为交互所产生的数据流通，从根源上确保密钥安全性。
SphereEx 通过将云端密钥管理打造为专业的服务，为企业提供极高的密钥管理灵活度，提升整个加密系统的安全性与便捷性，无缝对接各个云端的密钥管理功能，为用户提供更好的安全保障。此外，SphereEx-DBPlusEngine 支持了多种密钥管理方式，可对接公有、私有、云端的密钥管理。
加密洗数与反洗数、重洗数
企业在需要对新业务进行迁移时，为了确保业务在数据安全方面符合政策以及企业内部的合规要求，往往需要对大量新业务数据进行加密。如果使用传统的加密方式，不仅会极大增加工作量，也会导致整个迁移过程耗时过长，从而影响到业务的上线进程。
目前 DBPlusEngine 已经提供了加密的解决方案，对于新表新业务而言，直接使用加密规则配置即可，但是对于已有数据表，就需要将这些表中的明文字段进行洗数，转化为加密内容。
加密洗数通过 DistSQL 来触发洗数任务，程序收到洗数任务的请求之后，会根据当前的洗数规则以及加密规则创建洗数任务。洗数任务主要由两部分构成，即查询任务与更新任务，查询任务负责查询用户的表数据并获取需要加密的明文字段，然后推送到通道中；更新任务则从通道中获取数据，并加密更新。整个任务的创建以及执行过程都会与治理中心进行交互，因此用户可以通过相关 DistSQL 来查询任务进度以及清理任务。
此外在 OLAP 数据分析场景中，研发与业务人员无法对加密数据进行分析，但是业务上又需要对其保持加密的状态。无需对这些数据进行反洗数的操作使用 decrypt() 函数就能够直接获取到明文数据，方便相关人员在密文的状态下进行数据分析，获取其中的数据价值。
此外，SphereEx-DBPlusEngine 也支持在某些场景下对于反洗数以及重洗数功能的诉求：
(1) 业务数据回滚的反洗数场景：
如业务上线后发现部分数据不需要加密，或因为种种需要对已实现大批量加密的数据进行脱敏操作时，就需要对已加密的数据进行反洗数，将其重新统一调整为明文状态。
(2) 密钥更换的重洗数场景：
根据企业管理需求，如需要定期对密钥进行更换，或在某个关键时间节点因为其它因素需要更换密钥，以确保数据能够长期处于最高的防护等级之下，就需要对已加密的数据进行反洗数，将其变更为明文状态，并根据新的加密方式来对数据进行重新加密。
多样性 & 灵活性
灵活加密算法适配
SphereEx-DBPlusEngine 支持完整的数据全生命周期安全管理，对数据安全存储的加密能力尤为关注。通过在应用侧实现无感的数据加密，使应用端无需修改即可完成数据加密存储和访问。
为满足用户对数据加密的多样化需求，SphereEx-DBPlusEngine 在密钥管理方式以及支持包括国密算法在内的丰富加密算法等层面实现了自定义能力，用户可根据自身需求对加密方式、密钥管理方式等进行灵活定义。
此外为进一步提升加密存储与计算效率，SphereEx-DBPlusEngine 可与安全硬件配合完整高性能加密，并可提供软硬一体化的标准安全设备，进一步减低用户的使用门槛。
细粒度加密能力
SphereEx-DBPlusEngine 支持多维度、细粒度的数据加密能力，可实现对行列级数据的加密，进而可支持用户、租户维度的数据加密。根据不同的加密粒度，可灵活配置不同的加密算法和密钥管理，实现更为精准、灵活的数据安全策略，进一步增加安全性。
适合私有部署、公有云和混合云环境
为了进一步提升数据安全性，许多企业并不会将所有数据统一放在同一个环境下。尤其是那些对于数据安全有着强要求的行业或应用场景而言，往往需要满足其多样化的部署环境和复杂的数据安全环境差异。
SphereEx-DBPlusEngine 可灵活部署于私有环境、公有云以及混合云等环境下，满足用户多样化部署环境需求。其密钥管理、合规检测、洗数、细粒度加密、加密算法适配等能力将能够充分满足用户在混合环境下的数据安全需求，同时屏蔽底层不同环境所带来的差异化，为用户提供一致性的安全使用体验。
关于SphereEx-DBPlusEngine
SphereEx-DBPlusEngine 是定位于企业原始存储之上的一款数据库增强引擎，通过可插拔架构和功能模块化的设计理念，面向数据库应用架构，提供数据分片、分布式事务、数据安全等增量能力。
11 月，SphereEx-DBPlusEngine 正式发布了 V1.2.0 版本，在数据安全层面新增了云端密钥管理、洗数等能力，在数据安全场景下为企业提供更加全面、强大的合规检测、云端密钥管理、加解密、密态计算等能力，进一步提升了 SphereEx-DBPlusEngine 对于企业的数据安全防护等级。如需了解更详细的数据安全方案以及更多 DBPlusEngine 的相关功能，可以点击链接访问 SphereEx 官网了解更多及申请试用。
