数据加密是什么？定义、流程、例子与常见问题

核心要点

• 定义：数据加密是用密码算法把可读数据转换为需密钥才能恢复的形式，以保护传输中或存储中的信息。
• 流程位置：PCI DSS规定保护支付账户数据环境的安全要求；CHD至少围绕完整PAN，SAD包含用于认证或授权的高敏感数据。
• 不要混淆：数据加密 / 数据脱敏

它如何进入支付流程

对数据加密而言，相关流程如下：PCI DSS规定保护支付账户数据环境的安全要求；CHD至少围绕完整PAN，SAD包含用于认证或授权的高敏感数据。加密保护数据内容，脱敏限制显示，HSM保护密钥并执行密码运算，它们解决的是不同层面。

评估数据加密时，应关注以下要点：组织应先画出数据流、确定范围和责任，再选择访问控制、加密、日志、漏洞管理与密钥管理。取得合规证明只覆盖被评估范围和时点。

实际例子

数据库用强加密保护持卡人数据，密钥存放在受控的独立服务中。团队还限制解密权限并记录使用，因为加密本身不解决所有访问风险。

与相近术语的区别

数据加密的定义重点是“是用密码算法把可读数据转换为需密钥才能恢复的形式，以保护传输中或存储中的信息”；数据脱敏则“是在展示或使用数据时隐藏部分敏感内容，例如只显示卡号后四位，并不等同于加密”。两者可能出现在同一交易中，但回答的是不同问题。

使用与风险边界

数据加密有一项关键边界：加密数据不自动退出PCI DSS范围，界面脱敏也不代表存储已截断。SAD在授权后的存储限制尤其严格，不能用业务便利覆盖。

常见问题

下面回答搜索数据加密时最常见的两个判断问题。

和数据脱敏是一回事吗？

不是。数据加密是用密码算法把可读数据转换为需密钥才能恢复的形式，以保护传输中或存储中的信息。数据脱敏是在展示或使用数据时隐藏部分敏感内容，例如只显示卡号后四位，并不等同于加密。判断时应分别核对对象、流程阶段和责任方。

数据已经加密，系统就一定不在PCI DSS范围内吗？

就数据加密而言，不一定。PCI SSC明确说明，仅加密不足以自动使持卡人数据退出PCI DSS范围，还要评估密钥、访问和环境关系。