一、概述
數據脫敏的需求正在迅速上升，政府和企業的CIO們知道：數據只有在使用和流動中才會產生價值。為了滿足企業對數據更多樣的使用需求，更多核心敏感數據需要脫離原本的生產和存儲環境，抽取使用至測試環境，被應用用戶檢索訪問，被分析部門調取挖掘等等。數據脫敏工具的出現正是為了滿足數據的安全使用。
數據脫敏的基本效果是通過脫敏算法將敏感數據進行遮蔽、變形，將敏感級別降低后對外發放，或供訪問使用。基本原理大家都明白，但對于不同的使用場景，需要使用不同的脫敏技術實現，相應的部署和實現原理也不相同，由此產生了“靜態脫敏”和“動態脫敏”兩類脫敏工具，兩者應對不同需求和場景，不可相互替代。本文將從適用場景、技術手段、部署方式三個方面闡述靜態脫敏和動態脫敏的區別，希望能夠對于廣大用戶對于靜態脫敏和動態脫敏產品的了解有所幫助。
二、兩者的使用場景和用途
靜態脫敏適用于將數據抽取出生產環境脫敏后分發至測試、開發、培訓、數據分析等場景。
靜態脫敏是將數據抽取進行脫敏處理后，下發至測試庫。開發、測試、培訓、分析人員可以隨意取用測試數據，并進行讀寫操作，脫敏后的數據與生產環境隔離，滿足業務需要的同時保障生產數據庫的安全，靜態脫敏可以概括為數據的“搬移并仿真替換”。
動態脫敏適用于不脫離生產環境，對敏感數據的查詢和調用結果進行實時脫敏。
動態脫敏能夠對生產庫返回的數據進行實時脫敏處理，確保返回數據可用而安全。例如應用需要呈現部分數據，但是又不希望應用賬號可以看到全部數據；運維人員需要維護表結構，進行系統調優，但是不希望運維人員可以檢索或導出真實數據，動態脫敏可以概括為“邊脫敏，邊使用”。
三、靜態脫敏與動態脫敏的技術路線
靜態脫敏直接通過屏蔽、變形、替換、隨機、格式保留加密（FPE）和強加密算法（如AES）等多種脫敏算法，針對不同數據類型進行數據掩碼擾亂，并可將脫敏后的數據按用戶需求，裝載至不同環境中。靜態脫敏可提供文件至文件，文件至數據庫，數據庫至數據庫，數據庫至文件等不同裝載方式。導出的數據是以脫敏后的形式存儲于外部存貯介質中，實際上已經改變了存儲的數據內容。
動態脫敏通過準確的解析SQL語句匹配脫敏條件，例如：訪問IP、MAC、數據庫用戶、客戶端工具、操作系統用戶、主機名、時間、影響行數等，在匹配成功后改寫查詢SQL或者攔截防護返回脫敏后的數據到應用端，從而實現敏感數據的脫敏。實際上存儲于生產庫的數據未發生任何變化。
四、靜態脫敏與動態脫敏的部署方式
靜態脫敏可將脫敏設備部署于生產環境與測試、開發、共享環境之間，通過脫敏服務器實現靜態數據抽取、脫敏、裝載。在安全要求較高的場景下，可以在業務部門數據出口及測試部門數據入口分別部署脫敏服務器，通過offline的加密文件傳輸方式，將生產環境數據靜態脫敏至非生產環境。
靜態脫敏部署圖
動態脫敏采用代理部署方式：物理旁路，邏輯串聯。應用或者運維人員對數據庫的訪問必須都經過動態脫敏設備才能根據系統的規則對數據訪問結果進行脫敏。
動態脫敏部署圖
無論動態脫敏還是靜態脫敏技術，在保障敏感數據的安全使用目標下，顯得尤為重要，也是安華金和提出的數據安全治理技術框架中重要的一環。靜態脫敏技術目前相對成熟，而動態脫敏對業務實時性的要求極高，脫敏處理對性能要求必須控制到最低，并且能夠提供大規模、高并發訪問下的脫敏工作，這成為目前動態脫敏工具的主要技術攻堅點。
目前，安華金和靜態脫敏和動態脫敏產品已經成功應用于金融、社保、政府、運營商等部門和企業的系統中，其中動態脫敏產品對用戶業務的性能損耗已經控制到可接受范圍，基本實現訪問無感。
后續我們還將繼續分享脫敏工具在真實案例中的解決方案、使用效果及價值體現，敬請期待~
產品咨詢：4000 258 365 
