databaskryptering

Databaskryptering är processen att skydda data som lagras i en databas genom att omvandla den till krypterad form så att den endast kan läsas av behöriga med rätt nycklar. Den används för att minska konsekvenserna vid dataintrång, stöld av filer eller obehörig åtkomst till backuper. Krypteringen gäller vanligtvis data i vila och data som färdas över nätverk, men den kan också tillämpas vid bearbetning i vissa scenarier.

Vanliga metoder inkluderar transparent data encryption, TDE, som krypterar hela databasen i vila så att läs- och skrivoperationer hanteras av databasmotorn utan att applikationen ser krypteringsnycklarna. Kolumn- eller fältkryptering skyddar specifika värden och möjliggör finare åtkomstkontroll. Kuvertkryptering används ofta där data krypteras med data‑nycklar som själva skyddas av en nyckelhanteringslösning (KMS). Vid överföring används oftast TLS/SSL.

Nyckelhantering är central: nycklar bör lagras separat från data, med strikt tillgångskontroll, rotation och loggning. En masternyckel eller nyckelhanteringslösning används för att skydda data‑nycklarna. God praxis inkluderar tydliga åtkomstprinciper, minimerad behörighet och regelbunden nyckelrotation.

Databaskryptering skyddar inte meta‑data, användarkonton eller applikationslogik om nycklarna är komprometterade eller felkonfigurerade. Den kan också påverka prestanda och göra sökningar, indexering och återställningar mer komplexa om inte rätt planer finns. Backups bör krypteras och nycklarna följer hanteringsregler.

Från policy- och efterlevnadssynpunkt används databaskryptering ofta tillsammans med regelverk som GDPR, HIPAA och PCI DSS. Valet av lösning beror på dataflöden, krav på sökbarhet och prestanda samt på om obehöriga ska hindras från att läsa lagrad information vid ett intrång.