越來越多的企業都已聽取了監管機構的意見，增加數據庫加密的強度，以確保遇到大規模違規事件時，數據信息的安全依然能夠得到保障。但是，如果沒有一個強大有效的密鑰管理實踐規范，這些企業可能會發現，他們的這些數據加密措施只是形同虛設罷了。

CipherCloud的***執行官普拉溫·科塔里說：“加密密鑰的管理是最為重要的一個部分。如果你處理不好密鑰，那么***只保留純文本格式的未加密信息。”

在加密系統和已授權的用戶和賬戶之間共享機密信息，加密密鑰是其中最為艱難的一項發明，它混淆并復雜化了安全解密數據的過程。這使得密鑰具有非常大的價值。如果企業不仔細處理存儲密鑰的方式與地點，則很有可能造成機密數據的失竊，若將密鑰放錯位置也極有可能會永遠失去它們。

“加密真的相當簡單。加密的數學過程只是將一組數據轉換成另一組不同的數據。”泰雷茲電子安全公司的產品管理和戰略副總裁理查德·莫斯說。“密鑰管理是應用與顯露缺陷問題的真正核心。每當一天結束時，密鑰必須處在保密狀態，否則在那之前所采取的加密措施只是在浪費時間。”

然而據科塔里估計，在他與企業的所有商業合作中，大約只有20%的最成熟金融機構做到了真正的加密管理。在處理眾多數據庫和跨多個平臺的本地加密時，數據庫加密部署正在遭受因擴展性問題所引發的不安全密鑰管理的危機。

“當加密數據庫正真開始激增的時候，人們已陷入困境。”伏爾米公司的高級產品營銷總監托德·希曼說。“若果你遇到了上述的數據庫，那么你也獲得了一份讓人十分頭疼的管理工作。”

他說，他曾了解到很多企業管理加密密鑰失誤的例子。

“在一次項目中，我們親眼見過一個需要進入亞馬遜的SSH密鑰被存儲在某個內部的Wiki頁面中。”他說。“這不是一個安全的妥善做法。”“你需要好好保管這些東西，并具備一定的控制權。這樣才能獲得一個良好的安全狀態，并給你的審計人員表明，所有的一切都是合規的。”

數據庫加密密鑰管理的基本準則就是永遠不要把密鑰與加密的數據庫本身存放在同一臺服務器上。

科塔里說：“這與你在停車時帶走車鑰匙相比來說沒有什么太大的不同。對于管理密鑰來說，讓密鑰與數據庫完全脫離是至關重要的。”

無論企業選擇在何處儲存密鑰，這個存儲位置應是安全且有據可查的，以及與其數據本身具有同類型的備份和恢復機制。如果密鑰丟失或因災難事故而摧毀時，其數據依然將會完好如初。

“我們確實聽到過一些環繞于安全或密鑰被竊的嚴重事件，究其原因不是密鑰被放錯位置就是密鑰被遺失了。”莫斯講到，“如果你弄丟了這些密鑰，那么基本上你就只能得到密碼形式的數據了，直到永遠。這是一個很常見的現象。”

除了密鑰的存儲問題之外，企業還需仔細考慮密鑰管理員的管治。審計師將會在企業中尋找不同的人員進行職責分離，以便保證不是同一人負責所有數據管理的工作。通常數據庫管理員并不具備密鑰的控制權。

“絕大多數情況下，數據管理員們都樂于卸下那種安全責任，因為他們更專注于數據庫的維護，同時他們也很高興為安全團隊幫一把手。”希曼很高興地說。

科塔里建議，不僅僅要做到職責分離，還可以增加一個附屬安全層，確保有多個保管人監管密鑰。這樣一來，即便某個管理員發生什么問題或是遇到內鬼，都將有一套制衡措施，以保證他人可以恢復密鑰的使用。

科塔里還說：“你需要多個保管人，這樣就會讓控制權分散，單一一個密鑰保管人是無法完全控制數據訪問的。”

處在如今的云時代大背景下，密鑰控制問題也已被提到了一個新的高度，科塔里講道。在許多情況下，企業允許他們的云服務提供商具備密鑰的掌控權，但科塔里認為，當加密數據建設在云服務提供商所提供的基礎設施上時，企業的密鑰管理應采取“級別下放”措施，將密鑰控制權僅僅握在手中。