原生加密管理

原生加密管理是指对操作系统、设备和平台中已内置的加密功能进行控制。对大多数组织而言，这包括 Windows BitLocker、macOS FileVault、Android 基于文件的加密、iOS 数据保护、恢复密钥、设备策略和报告。

目标很简单：确保笔记本电脑、手机、平板电脑或可移动驱动器在丢失、被盗、维修、退役或遭到未经授权访问时，敏感数据仍受到保护。

原生加密之所以强大，是因为它已是平台的一部分。但它仍需要管理。没有清晰的策略、恢复密钥存储、合规性检查和用户指导，内置加密可能会变得不一致，或在出现问题时难以恢复。

原生加密应承担的安全职责

原生加密可保护静态数据。这意味着，除非具备正确的身份验证、恢复密钥或解锁方式，否则存储在设备上的数据将无法读取。

NIST 将存储加密描述为一种限制终端用户设备（如笔记本电脑、移动设备和可移动介质）上存储信息访问的方法。其存储加密指南 ↗是了解全磁盘加密、卷加密和文件级加密的良好起点。

CISA 在其有关保护设备中存储的数据 ↗的页面中提供了类似的实用指导，尤其适用于丢失的设备、可移动驱动器和恢复规划。

在实践中，原生加密有助于应对四类风险：

• 丢失的笔记本电脑泄露业务文件。
• 被盗手机导致工作数据被访问。
• 退役驱动器在处置后仍可被读取。
• 用户忘记凭据并需要安全恢复。

加密本身只是其中一部分。管理层决定了保护是否一致。

原生加密管理控制映射

理解原生加密管理最简单的方式，是将其视为一组控制措施，而非单个开关。

这张表体现了“加密可用”与“加密实际得到管理”之间的区别。

Windows：管理 BitLocker 和设备加密

在 Windows 上，原生加密通常是指 BitLocker 或自动设备加密。

Microsoft 的 BitLocker 概述 ↗说明，BitLocker 可防止对卷进行离线访问，尤其是在设备丢失、被盗或退役时。对于受管环境，重要的不仅是启用 BitLocker，还要确保正确的策略、恢复方法和报告流程已经就位。

一项实用的 Windows 加密策略应定义：

• 哪些驱动器必须加密；
• 仅使用 TPM 保护是否足够；
• 高风险用户是否需要 PIN；
• 恢复密钥备份到哪里；
• 谁可以检索恢复密钥；
• 如何报告加密失败或已暂停的情况。

恢复规划很重要。Microsoft 的 BitLocker 恢复概述 ↗ 说明了不同的恢复选项，包括恢复密码、恢复密钥、密钥包和数据恢复代理。团队应在实际发生锁定之前，记录允许使用哪些选项。

macOS 和 Apple 设备：管理 FileVault 和数据保护

在 macOS 上，原生加密以 FileVault 为核心。Apple 关于通过设备管理来管理 FileVault 的指南 ↗说明了组织如何强制启用 FileVault、控制用户延期、管理是否向用户显示恢复密钥，以及通过设备管理托管个人恢复密钥。

对于 iPhone、iPad 和较新的 Apple 平台，加密与数据保护紧密相关。Apple 的加密与数据保护概述 ↗说明了 Apple 设备如何在设备丢失、被盗或遭入侵时保护用户和企业数据。

对于 Apple 环境，管理应重点关注：

• 在适当情况下于设置期间强制启用 FileVault；
• 将恢复密钥托管到经批准的管理系统；
• 在使用后轮换恢复密钥；
• 确认哪些用户可以解锁加密卷；
• 记录设备迁移或重新分配期间的处理方式。

主要风险在于，认为“Apple 设备已加密”就意味着组织已控制恢复和报告。这是两个不同的问题。

Android：通过设备策略管理加密

Android 设备也包含原生加密。Android 的基于文件的加密允许使用不同的密钥加密不同文件，Android 开源项目在其基于文件的加密文档 ↗中说明了这一模型。

对于企业设备，加密管理通常通过 Android Enterprise 进行处理。Google 的Android 管理 ↗ 指南说明，组织可以通过管理解决方案强制实施屏幕锁定和存储加密等安全策略。

Android 加密管理应定义：

• 哪些设备允许用于工作；
• 设备是完全受管，还是采用带工作资料的 BYOD；
• 需要何种强度的屏幕锁定；
• 如何锁定或擦除丢失的设备；
• 如何监控合规性状态；
• 较旧设备是否仍符合安全要求。

将 Android 加密与设备注册、锁屏策略、更新要求和远程擦除相结合时，效果最佳。

密钥管理才是真正的管理难题

加密依赖密钥。这听起来很显然，但许多加密项目失败是因为密钥管理薄弱。

NIST 的密钥管理指南 ↗涵盖加密密钥材料的规划、保护、生命周期和治理。对于原生加密，实际问题通常是：恢复密钥存储在哪里，谁可以使用它们？

良好的恢复密钥流程应回答：

1. 密钥托管在哪里？2. 密钥是自动还是手动存储？3. 谁可以检索它？4. 检索是否会被记录？5. 使用后是否轮换密钥？6. 设备退役时会发生什么？7. 管理系统变更时会发生什么？

不要将恢复密钥留在截图、电子表格、共享驱动器或个人笔记中。恢复访问应受到控制、记录并加以限制。

实用的推广顺序

分阶段推广时，原生加密管理会更容易。

步骤 1：盘点设备

列出可能存储业务数据的笔记本电脑、台式机、手机、平板电脑和可移动驱动器。

步骤 2：定义所需覆盖范围

决定哪些设备类型必须使用原生加密，以及允许哪些例外情况。

步骤 3：选择平台策略

在大规模部署之前，设置 BitLocker、FileVault、Android 和其他平台规则。

步骤 4：配置恢复密钥托管

确保在用户依赖恢复密钥之前，已将其存储到经批准的系统中。

步骤 5：与小范围用户组试点

测试恢复、策略冲突、设备迁移和用户沟通。

步骤 6：逐步强制实施

在解决试点问题后，从仅报告模式转为强制执行。

步骤 7：持续监控

审查加密状态、已暂停的保护、托管失败、未受管设备和恢复事件。

这一顺序可避免最常见的错误：在恢复经过测试之前就大范围启用加密。

向管理层报告什么

安全负责人不需要了解每项技术设置。他们需要清楚了解覆盖范围、风险和准备情况。

一份有用的原生加密报告应显示：

• 已加密的受管设备百分比；
• 缺少恢复密钥的设备数量；
• 加密已暂停或失败的设备；
• 未受覆盖的高风险用户或团队；
• 报告期内的恢复事件；
• 等待退役或擦除的设备；
• 策略例外及负责人。

如果您需要向高管或客户说明加密覆盖范围，可以使用 Pi 将您的原生加密策略转化为适合利益相关方的演示文稿 ↗。您可以用它报告覆盖范围、风险、恢复准备情况和后续步骤，而不会让演示文稿沦为技术细节的堆砌。

原生加密何时不足以满足需求

原生加密可保护存储的数据，但它无法解决所有安全问题。

它不能替代：

• 身份和访问管理；
• 终端检测与响应；
• 备份和灾难恢复；
• 补丁管理；
• 数据丢失防护；
• 网络钓鱼防护；
• 云访问控制；
• 安全设备处置。

它也无法在授权用户已解锁设备并正常访问文件后保护数据。系统运行且用户已通过身份验证后，仍需要其他控制措施。

原生加密应被视为基线控制措施，而非完整的安全策略。

结论

原生加密管理的关键是使内置加密可靠可用。启用 BitLocker、FileVault、Android 加密或 Apple 数据保护只是开始。

成熟的计划会定义覆盖范围、强制实施策略、托管恢复密钥、限制恢复访问、监控合规性，并测试设备丢失、锁定、迁移或退役时的处理方式。

最佳的加密计划不是具有最强复选框的计划，而是在组织真正需要时，保护、恢复和报告都能正常运作的计划。