一、什么是数据屏蔽？
数据屏蔽是一种创建虚假但真实的组织数据版本的方法。目的是保护敏感数据，同时在不需要真实数据时提供功能性替代方案。例如，在用户培训、销售演示或软件测试中。数据屏蔽过程在使用相同格式的同时更改数据的值，目的是创建一个无法破译或逆向的版本。有多种方法可以更改数据，包括单词或字符替换以及加密等。
数据屏蔽工作原理如下图：
二、为什么数据屏蔽很重要？
屏蔽解决了几个关键威胁——数据丢失、数据泄露、内部威胁或帐户泄露，以及与第三方系统的不安全接口。
降低与云应用相关的数据风险。
使数据对攻击者无用，同时保持其许多固有的功能特性。
与授权用户（例如测试人员和开发人员）共享数据，而不会暴露生产数据。
数据清理——正常的文件删除仍会在存储介质中留下数据痕迹，而清理则用掩码替换旧值。
三、数据屏蔽类型
用于保护敏感数据的数据屏蔽类型通常有很多种。
1、静态数据屏蔽
静态数据屏蔽过程可以帮助您创建数据库的清理副本。该过程会更改所有敏感数据，直到可以安全地共享数据库副本。通常，该过程包括在生产中创建数据库的备份副本，将其加载到单独的环境，消除任何不必要的数据，然后在数据处于停滞状态时屏蔽数据。然后可以将屏蔽的副本推送到目标位置。
2、确定性数据屏蔽
映射具有相同数据类型的两组数据，这样一个值总是被另一个值替换。例如，名称“John Smith”总是替换为“Jim Jameson”，它出现在数据库中的任何地方。这种方法对于很多场景都很方便，但本质上不太安全。
3、即时数据屏蔽
在将数据从生产系统传输到测试或开发系统时屏蔽数据，然后再将数据保存到磁盘。经常部署软件的组织无法创建源数据库的备份副本并应用屏蔽——他们需要一种方法来将数据从生产环境传输到多个测试环境。
在运行中，屏蔽会在需要时发送较小的屏蔽数据子集。屏蔽数据的每个子集都存储在开发/测试环境中，供非生产系统使用。
在开发项目的最初阶段，应用即时数据屏蔽非常重要，以防止合规性和安全问题。
4、动态数据屏蔽
类似于即时数据屏蔽，但数据永远不会存储在开发/测试环境中的辅助数据存储中。相反，它直接从生产系统流式传输并由开发/测试环境中的另一个系统使用。
四、数据屏蔽技术
在保护数据时，IT专业人员可以使用多种技术，下面介绍组织对敏感数据应用屏蔽的几种常见方式，
1、数据加密
数据加密后，除非查看者拥有解密密钥，否则数据将变得毫无用处。本质上，数据被加密算法屏蔽。这是最安全的数据屏蔽形式，但实施起来也很复杂，因为它需要一种技术来执行持续的数据加密，以及管理和共享加密密钥的机制。
2、数据加扰
字符以随机顺序重新组织，替换原来的内容。例如，生产数据库中的 ID 号（例如 76498）可以替换为测试数据库中的 84967。这种方法实现起来非常简单，但只能应用于某些类型的数据，安全性较差。
3、清零
当未经授权的用户查看数据时，数据会出现缺失或“空”。这使得数据对于开发和测试目的不太有用。
4、价值差异
原始数据值由函数替换，例如系列中最低值和最高值之间的差值。例如，如果客户购买了多种产品，则可以将购买价格替换为支付的最高和最低价格之间的范围。这可以为许多目的提供有用的数据，而无需公开原始数据集。
5、数据替换
数据值被替换为虚假但真实的替代值。例如，真实客户姓名被电话簿中随机选择的姓名替换。
6、数据混洗
类似于替换，不同的是数据值在同一数据集中切换。使用随机序列在每列中重新排列数据。例如，在多个客户记录的真实客户名称之间切换，输出集看起来像真实数据，但它没有显示每个人或数据记录的真实信息。
7、化名
根据欧盟通用数据保护条例(GDPR)，引入了一个新术语来涵盖数据屏蔽、加密和散列等过程以保护个人数据：假名。
GDPR 中定义的假名化是任何确保数据不能用于个人身份识别的方法。它需要删除直接标识符，并且最好避免多个标识符组合在一起时可以识别一个人。此外，加密密钥或其他可用于恢复原始数据值的数据应单独且安全地存储。
五、数据屏蔽最佳实践
1、确定项目范围
为了有效地执行数据屏蔽，公司应该知道哪些信息需要保护，谁有权查看这些信息，哪些应用程序使用这些数据，以及它在生产和非生产域中驻留的位置。虽然这在纸面上看起来很容易，但由于操作的复杂性和多个业务线，这个过程可能需要大量的努力，并且必须作为项目的一个单独阶段进行计划。
2、确保参照完整性
参照完整性意味着来自业务应用程序的每种“类型”信息都必须使用相同的算法进行屏蔽。
在大型组织中，使用单个数据屏蔽工具是不可行的。由于预算/业务要求、不同的 IT 管理实践或不同的安全/监管要求，每个业务线可能需要实施自己的数据屏蔽。
在处理相同类型的数据时，确保跨组织的不同数据屏蔽工具和实践是同步的。这将防止以后需要跨业务线使用数据时遇到挑战。
3、保护数据屏蔽算法
考虑如何保护数据制作算法以及用于加扰数据的替代数据集或字典至关重要。因为只有授权用户才能访问真实数据，所以这些算法应该被认为是非常敏感的。如果有人知道正在使用哪些可重复的屏蔽算法，他们就可以对大量敏感信息进行逆向工程。
某些法规明确要求的数据屏蔽最佳实践是确保职责分离。例如，IT 安全人员决定一般使用什么方法和算法，但特定的算法设置和数据列表应该只有相关部门的数据所有者才能访问。
关于全息网御：全息网御是行为数据驱动信息安全的领航者，通过其特有的专利技术系统性融合了NG-DLP、UEBA、NG-SIEM、CASB四项先进技术，结合机器学习（人工智能），发现并实时重构网络中不可见的“用户-设备-数据”互动关系，推出以数据为核心的数据安全风险感知平台。为企业的信息安全管理提供无感知、无死角的智能追溯系统，高效精准的审计过去、监控现在、防患未来，极大提高IT安全运维和安全人员响应事故、抓取证据链、追责去责无责、恢复IT系统的能力和效率。