資料加密越多越安全？企業必須看懂的儲存效率風險與成本代價

量子運算帶來的資安風險並非遙遠的未來。攻擊者已開始蒐集目前無法破解的加密資料，等待未來量子電腦具備足夠運算能力後再行解密。這種「先蒐集、後解密」（Harvest Now, Decrypt Later）威脅，正促使企業重新檢視既有加密策略，並擴大資料保護範圍。

然而，隨著企業加強資料加密防護，一項關鍵問題也隨之浮現：加密應該在哪個環節進行？ 若選擇不適當的加密層級，即使資料受到保護，也可能影響底層基礎架構的運作效率與既有功能。

加密層級不同，防護目的也不同

資料加密可部署於應用程式、資料庫、主機作業系統、虛擬化平台、網路傳輸及儲存設備等不同層級，各自對應不同的資安風險。

當特定敏感資訊必須獨立於基礎架構受到保護時，應用程式或欄位層級加密便具有其必要性；基礎架構層級加密則可為多個應用程式，以及伺服器至儲存設備之間的資料傳輸提供更廣泛的防護。

因此，加密策略並非一味增加加密措施，而是依據實際威脅與防護需求，選擇適當的部署層級。

加密位置不當，可能推升基礎架構成本

當資料尚未經過儲存系統的處理，就已在前端完成加密，產生的密文通常呈現近乎隨機的形式，使儲存系統難以辨識資料中的重複內容與規律，進而降低重複資料刪除與壓縮技術的效益。

當資料縮減效率下降，儲存相同資料量便可能需要更多實體儲存容量，連帶增加機櫃空間、電力與散熱需求，推升整體基礎架構成本。這也意味著，若未充分考量加密位置對資料處理流程的影響，企業可能在提升安全性的同時，犧牲原有的儲存效率。

兼顧資料防護與儲存效率的架構設計

為避免安全性與效率相互牴觸，企業需要考量加密機制與儲存服務之間的協作方式。

以特定支援傳輸加密的儲存架構為例，透過具備加密功能的主機匯流排介面卡（HBA），可在資料離開伺服器、經由光纖通道傳輸時進行加密，並於資料進入儲存系統處理前完成解密。如此一來，儲存設備仍能執行重複資料刪除、壓縮、複寫及相關資安韌性功能，再透過靜態資料加密保護儲存於磁碟中的資訊。

這類架構可同時保護傳輸中與靜態資料，並保留既有儲存效率及相關功能。相較之下，部分主機端、應用程式或檔案系統層級的加密方式，可能使勒索軟體偵測機制難以取得足夠、可利用的資料特徵，進而降低威脅偵測的有效性。
 
企業規劃加密策略時，應先釐清實際面臨的資安風險與防護需求，再據此選擇適當的加密層級。無論是保護敏感資訊、防止儲存媒體遭竊、確保資料傳輸安全，或滿足法規遵循要求，不同情境所需的防護機制各有差異。同時，加密方式的選擇也應納入對系統效能、儲存容量、能源消耗、金鑰管理及備份復原等面向的評估，避免新增防護措施反而增加維運負擔。

面對量子運算時代的潛在威脅，擴大加密保護確有必要，但更多加密措施不代表更完善的資安架構。真正有效的加密策略，應依據實際風險配置適當的防護機制，在確保資料安全的同時，兼顧既有基礎架構的運作效率、資安韌性與長期營運成本。


▲本文為投稿文章，不代表社方立場。原稿作者：台灣戴爾科技集團 總經理 廖仁祥。