技術分享

[產品介紹] HPE NonStop Comforte SecurDP

作者簡歷

作者現職凌群電腦NSK服務總處系統工程師，主要負責HPE Nonstop證券、期貨、銀行客戶交易系統維運服務、軟體產品整合服務，專長為HPE NonStop系統整合。

前言

在當今資訊安全日益受到重視的時代，企業對於資料保護與合規性的需求也隨之提升。隨著敏感資料在各種應用系統與平台中大量流通，如何確保這些資料在儲存、傳輸及處理過程中的安全，成為資訊管理者的首要課題。HPE Comforte SecurDPS是一套專為HPE NonStop系統設計的資料保護解決方案，能協助企業以高效且合規的方式，保護關鍵業務資料不被未授權存取或洩露。本產品結合了先進的代碼化（Tokenization）、格式保留加密（Format-Preserving Encryption, FPE）、檔案加密、存取控制以及完整的稽核機制，無縫整合於企業現有的業務流程之中。不論是金融、零售、醫療還是其他高度敏感資料產業，SecurDPS都能提供彈性且穩健的資料安全防護。

本文將為您詳細介紹SecurDPS的核心架構、主要功能，以及其在HPE NonStop環境下的應用方式，協助企業有效因應現代資訊安全挑戰。

SecurDPS Overview

SecurDPS是由Comforte推出的企業級資料保護解決方案，專為HPE NonStop系統設計。SecurDPS透過高效能的資料代碼化（Tokenization）、格式保留加密（FPE）、傳統檔案加密，以及細緻的存取控制和稽核機制，協助企業有效保護在NonStop環境下的敏感資料。

核心特色

一、高效能且安全的資料代碼化與加密

SecurDPS支援格式保留加密與代碼化技術，讓敏感資料即使在保護狀態下，仍可保持原有格式，方便系統相容與應用整合。

二、無縫整合與彈性部署

系統可透過SmartAPI、攔截技術（Intercept Technology）或Native Library方式，透明地整合至既有應用程式，無須大幅修改原有系統。

三、完整金鑰管理

具備企業級金鑰生命週期管理功能，確保加密金鑰的產生、分配、儲存與廢止均安全可控。

四、細緻存取控制與稽核

內建多層次權限控管、存取稽核日誌，以及即時監控機制，方便企業符合法規遵循與資訊安全政策。

五、多種部署模式支援

支援傳統On-Premises（本地端）、雲端以及混合式部署，彈性因應各種企業運算環境。

適用對象

SecurDPS適用於金融、零售、醫療、政府等需處理大量敏感資料並有合規需求的產業，協助企業防範資料外洩風險，並簡化法規遵循流程

資料加密方式

資料加密是保護敏感資訊免受未經授權存取的關鍵手段，它可以確保資料在傳輸或儲存過程中保持安全性和機密性，以下將概述SecurDPS支援的多種資料加密與保護方式：

一、格式保留加密（Format-Preserving Encryption, FPE）

此種加密方式可以在不改變原有資料格式的前提下進行加密，讓敏感資料在加密後依然符合應用系統或資料庫原本所要求的格式。例如信用卡號、身份證字號等長度或格式不會改變。
應用：適合需要維持原資料結構與相容性的情境。

二、高效能代碼化（Tokenization）

將敏感資料轉換成無意義的符號（Token），原資料不會直接存放於應用程式端。解碼（Detokenization）需經過授權並透過SecurDPS系統。
應用：大幅降低敏感資料洩漏風險，常用於PCI DSS等合規要求。

三、傳統檔案加密（Classic File Encryption）

以強式加密演算法（如AES）直接將檔案內容進行加密，只有取得授權金鑰的用戶才能存取明文資料。
應用：用於需要全面保護檔案內容的場景。

四、透明資料保護（Transparent Data Protection）

利用攔截技術（Intercept Technology），在應用與檔案系統間透明地對資料進行加密與解密，對應用程式來說無感。
應用：可無縫整合既有應用，不需改寫程式碼。

此外，SecurDPS還支援檔案搬移加密、欄位層級加密、SQL表格加密等進階應用，並結合完整金鑰管理（Key Management），確保整個加密解密流程安全可靠。

SecurDPS Architecture and Components

一、SecurDPS架構

這張圖是 SecurDPS for HPE NonStop 的核心架構圖，描述了系統中各元件（components）之間的互動關係與資料流。整個架構圍繞著SDATA MGR（Manager），透過多個Persistent Process（持續運作的程式），配合不同的設定檔與應用程式，達到資料保護與加密的目的。



二、Audit Collector (SDATA AUDITCOLLECTOR)

Audit Collector process的目的是收集來自SDATA Manager processes的稽核紀錄訊息，它以persistent process的形式運行，將紀錄儲存至Audit log，可供後續查詢、報表與審計。

三、File Encryption Proxy (SDATAFE PROXY)

作為SDATA MGR與Token Vault之間的橋樑，負責代碼（Token）的讀取與寫入，在讀取或寫入加密檔案時，SecurDPS for NonStop SDATA Manager會啟動一個檔案加密代理程序 (File Encryption Proxy)，此程序在檔案I/O路徑中增加了一個額外的層級，用於處理檔案資料的加密和解密。

四、Key Server (SDATAFE KEYSERVER)

SecurDPS for NonStop Key Server扮演著金鑰伺服器的角色，提供對系統中使用的所有加密金鑰的產生、管理、驗證與分配，它以persistent process的形式運作。The Key Server將金鑰保存在local Key Store中，並可使用外部Hardware Security Module (HSM)上的金鑰來提供額外的保護。

五、Random Data Generator (SRAND)

SRAND是一個高效能的secure random number generator process，它收集系統熵來在HPE NonStop上產生加密安全的隨機資料。SRAND提供隨機資料用於生成Token Vault，以及任何cryptographic keys。
《註：熵在資訊領域用來衡量資訊的不確定性或隨機性。例如，一個隨機生成的文字序列比一個有意義的句子具有更高的熵。熵的概念被廣泛應用於資訊壓縮、資料傳輸和密碼學等領域。》

六、Manager (SDATA MGR)

Manager是SecurDPS for NonStop解決方案的核心組件，它在每個CPU上持續運行，決定哪些檔案需要攔截，並根據被攔截的應用程式對這些檔案的I/O呼叫進行操作。它還會在記錄緩衝區中定位需要保護或揭露的敏感資料。Manager承載著標記引擎(tokenization engine)，在HPE NonStop系統上本地執行敏感資料的實際解/加密操作(de-/tokenization)。

敏感資料項目與tokens的關聯是由初始化時生成的隨機替換表 (random substitution table)決定的，並儲存在Token Vault中。在啟動時，Manager會將整個token vault完全載入其記憶體中。

由於不需要進行任何檔案存取即可執行標記化或去標記化操作，因此可以確保最佳性能。此外Manager還會授權對明文敏感資料的存取。根據應用程序處理的屬性，會檢查存取控制清單 (ACL)以決定是否允許請求的資料保護操作。

七、SecurDPS for NonStop Intercept Libraries (SDLIB,*SDDLL*)

SDLIB（Intercept Library）是應用程式端與SecurDPS整合的攔截程式函式庫，會攔截應用程式在讀取或寫入資料庫時所呼叫的系統調用，將需要保護的資料攔截並轉交給SecurDPS處理（如加密、解密、代碼化等），並將操作及必要時的I/O緩衝區傳送至SecurDPS for NonStop Manager。

The SecurDPS intercept library可以與user libraries或其他第三方 intercept libraries合併，並綁定至應用程式。針對native and non-native programs有多種不同的Intercept Library，需要將適當的appropriate library綁定至所有應該受NonStop SecurDPS控制的正在運行或批次處理的processes。

結語

隨著企業面臨的資訊安全威脅與法規要求日益嚴峻，選擇一套穩健且靈活的資料保護解決方案顯得格外重要。Comforte SecurDPS不僅能夠無縫整合至HPE NonStop系統，更能透過多元的加密技術與完善的金鑰管理機制，協助企業有效防堵敏感資料外洩風險，滿足各項國際合規標準。

參考資料

SecurDPS_Administrator_s_Guide_for_HPE_NonStop