摘要: 一. 概述 數據脫敏的需求正在迅速上升，政府和企業的CIO們知道：數據只有在使用和流動中才會產生價值。為了滿足企業對數據更多樣的使用需求，更多核心敏感數據需要脫離原本的生產和存儲環境，抽取使用至測試環境，被應用用戶檢索訪問，被分析部門調取挖掘等等。數據脫敏工具...
一. 概述
數據脫敏 的需求正在迅速上升，政府和企業的CIO們知道：數據只有在使用和流動中才會產生價值。為了滿足企業對數據更多樣的使用需求，更多核心敏感數據需要脫離原本的生產和存儲環境，抽取使用至測試環境，被應用用戶檢索訪問，被分析部門調取挖掘等等。數據脫敏工具的出現正是為了滿足數據的安全使用。
數據脫敏 的基本效果是通過脫敏算法將敏感數據進行遮蔽、變形，將敏感級別降低後對外發放，或供訪問使用。基本原理大家都明白，但對於不同的使用場景，需要使用不同的脫敏技術實現，相應的部署和實現原理也不相同，由此產生了「 靜態脫敏 」和「 動態脫敏 」兩類脫敏工具，兩者應對不同需求和場景，不可相互替代。本文將從適用場景、技術手段、部署方式三個方面闡述靜態脫敏和動態脫敏的區別，希望能夠對於廣大用戶對於靜態脫敏和動態脫敏產品的了解有所幫助。
二. 兩者的使用場景和用途
靜態脫敏 適用於將數據抽取出生產環境脫敏後分發至測試、開發、培訓、數據分析等場景。
靜態脫敏是將數據抽取進行脫敏處理後，下發至測試庫。開發、測試、培訓、分析人員可以隨意取用測試數據，並進行讀寫操作，脫敏後的數據與生產環境隔離，滿足業務需要的同時保障生產資料庫的安全， 靜態脫敏 可以概括為數據的「搬移並仿真替換」。
動態脫敏 適用於不脫離生產環境，對敏感數據的查詢和調用結果進行實時脫敏。
動態脫敏能夠對生產庫返回的數據進行實時脫敏處理，確保返回數據可用而安全。例如應用需要呈現部分數據，但是又不希望應用帳號可以看到全部數據；運維人員需要維護表結構，進行系統調優，但是不希望運維人員可以檢索或導出真實數據， 動態脫敏 可以概括為「邊脫敏，邊使用」。
三. 靜態脫敏與動態脫敏的技術路線
靜態脫敏直接通過屏蔽、變形、替換、隨機、格式保留加密（FPE）和強加密算法（如AES）等多種脫敏算法，針對不同數據類型進行數據掩碼擾亂，並可將脫敏後的數據按用戶需求，裝載至不同環境中。靜態脫敏可提供文件至文件，文件至資料庫，資料庫至資料庫，資料庫至文件等不同裝載方式。導出的數據是以脫敏後的形式存儲於外部存貯介質中，實際上已經改變了存儲的數據內容。
動態脫敏通過精確的解析SQL語句匹配脫敏條件，例如：訪問IP、MAC、資料庫用戶、客戶端工具、作業系統用戶、主機名、時間、影響行數等，在匹配成功後改寫查詢SQL或者攔截防護返回脫敏後的數據到應用端，從而實現敏感數據的脫敏。實際上存儲於生產庫的數據未發生任何變化。
四. 靜態脫敏與動態脫敏的部署方式
靜態脫敏可將脫敏設備部署於生產環境與測試、開發、共享環境之間，通過脫敏伺服器實現靜態數據抽取、脫敏、裝載。在安全要求較高的場景下，可以在業務部門數據出口及測試部門數據入口分別部署脫敏伺服器，通過offline的加密文件傳輸方式，將生產環境數據靜態脫敏至非生產環境。
靜態脫敏部署圖
動態脫敏採用代理部署方式：物理旁路，邏輯串聯。應用或者運維人員對資料庫的訪問必須都經過 動態脫敏 設備才能根據系統的規則對數據訪問結果進行脫敏。
動態脫敏部署圖
無論動態脫敏還是 靜態脫敏 技術，在保障敏感數據的安全使用目標下，顯得尤為重要，也是安華金和提出的數據安全治理技術框架中重要的一環。靜態脫敏技術目前相對成熟，而動態脫敏對業務實時性的要求極高，脫敏處理對性能要求必須控制到最低，並且能夠提供大規模、高並發訪問下的脫敏工作，這成為目前動態脫敏工具的主要技術攻堅點。