数据存储加密技术白皮书V2.0

1数据存储加密技术白皮书V2.0北京炼石网络技术有限公司Beijing Lianshi Networks Technology Co., Ltd.2026 年 10 月2目录前言....................................................................................................................................1以合规立基线，以实战验效果................................................................................................3数据流动中的安全控制点....................................................................................................... 6十种数据存储加密技术特性分析............................................................................................ 9技术一：DLP 终端加密技术.............................................................................................9技术二：CASB 代理网关技术.........................................................................................10技术三：应用内加密技术（集成密码 SDK）..................................................................12技术四：应用内加密技术（AOE 面向切面加密）.......................................................... 14技术五：数据库加密网关技术........................................................................................16技术六：数据库外挂加密技术（FGDE 细粒度动态加密）..............................................18技术七：TDE 透明数据加密技术....................................................................................21技术八：UDF 用户自定义函数加密技术.........................................................................23技术九：TFE 透明文件加密技术.................................................................................... 25技术十：FDE 全磁盘加密技术....................................................................................... 27存储加密技术的选型路径..................................................................................................... 33附录 数据存储加密的另外五个分析维度..............................................................................34结 语....................................................................................................................................37公司介绍.............................................................................................................................. 381前言进入“十五五”时期，数据作为新型生产要素，伴随大模型、智能体等人工智能技术加速应用，在跨场景复用和持续迭代中释放出更强的乘数效应。数据价值加快释放，安全风险伴生演进。数据流动范围扩大，治理边界随之延伸；多源数据集中汇聚，使单点失守更容易演变为批量泄露和链式影响。面对时代新形势，国家持续健全数据安全制度体系，修正后的《网络安全法》自 2026 年 1 月 1 日起施行，与《密码法》《数据安全法》《个人信息保护法》共同构成数据安全的制度基础，数据安全要求由原则性“应当保护”转向刚性约束。制度要求最终要落到数据处理的具体环节。在数据全生命周期中，存储是价值沉淀与风险累积的交汇点，分散产生的数据在此汇聚，规模、敏感程度和关联价值不断叠加，集中面临数据窃取、泄露、滥用等风险。也正因如此，商用密码应用安全性评估（以下简称密评）的判定体系将第三级及以上信息系统“未采用密码技术保证重要数据在存储过程中的机密性”列为无缓解措施的高风险项。而密码技术可以直接作用于数据本身，在边界防护和访问控制失效时仍能发挥保底作用，是解决存储安全问题兼具经济性与可靠性的基础手段。这是本白皮书聚焦数据存储加密的原因。存储并不是数据流转路径上的一个孤立节点。在典型的信息系统中，数据自终端产生，经应用服务器处理，写入数据库或文件系统，最终落在磁盘与存储层，其间还会以缓存、日志、备份、导出文件等形态多次落盘。加密可以施加在这条路径上的任何一个环节，但施加的位置不同，明文暴露的范围、密钥的归属、对业务的影响和在密评中的判定结论也随之不同。传统按“磁盘、文件、数据库”等介质分类的视角看不到这些差别，因此有必要沿数据流转路径、以安全控制点为线索来分析存储加密技术，并在讨论每一种技术时围绕三个问题展开：加密实施在哪一个控制点，明文在哪些环节仍然存在，密钥由谁掌握、按什么规则释放。这三个问题2的答案，影响了一种技术能防住什么、防不住什么，也影响了它在合规评价中的确定性。循着这一思路，本白皮书沿典型信息系统的数据流转路径，选取十种具有代表性的存储加密技术进行分析。由于 2026 年 3 月中国密码学会密评联委会更新发布《商用密码应用安全性评估 FAQ》（第四版，以下简称 FAQ 第四版），以应用是否对数据资源本身加密为依据，对应用和数据安全层面的存储机密性给出分情形的裁量标准，使不同加密路线在密评中