2025年9月2日，ICO发布了有关加密的指南最终版。
来源：https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/a-guide-to-data-security/encryption/
一览
- 英国 GDPR 规定，您必须实施适当的技术和组织措施来安全地处理个人信息。
- 加密是适当措施的一个示例，具体取决于处理活动的性质和风险。
- 加密广泛可用，具有一系列解决方案和相对较低的实施成本。您应该将这一点作为整体信息安全方法的一部分。
- 当您存储或传输个人信息时，您应该使用加密并确保您选择的解决方案符合当前标准。
- 您应该制定一个加密策略，说明您使用加密的方式和原因。
- 您还应该对员工进行加密的使用和重要性培训。
- 您应该了解加密的残余风险，并采取措施解决这些风险。
清单
☐ 我们了解加密可以成为确保我们安全处理个人信息的适当技术措施。
☐ 我们制定了适当的政策来管理我们如何使用加密。
☐ 我们对员工进行加密的使用和重要性教育。
☐ 我们评估我们处理活动的性质、范围、背景和目的，并实施加密，作为我们保护我们持有或披露的个人信息的总体方法的一部分。
☐ 我们了解实施加密后仍然存在的残余风险，并采取措施减轻这些风险。
☐ 我们确保我们的加密解决方案符合适当的行业标准，例如 FIPS 197 和 FIPS 140-3。
☐ 当我们决定实施加密时，我们会选择正确的算法、密钥大小和软件。
☐ 我们适当地管理我们的加密密钥。
☐ 随着时间的推移，我们会不断审查我们的加密解决方案，以考虑新的技术发展。
☐ 如果需要，我们有能力在未来更新我们的加密解决方案。
简而言之
什么是加密？
加密是一个使用密钥对数据进行编码的过程，确保只有有权访问密钥的人才能读取数据。它提供了适当的保护措施，防止任何未经授权或非法处理个人信息的情况。
请记住，您必须采取适当的技术和组织措施来保护您持有的个人信息。加密是一种有效的技术措施，可以帮助您实现这一目标。
我们已经看到许多个人信息丢失、被盗或被未经授权访问的事件。其中许多案例涉及信息保护不足或存储信息的设备被放置在不适当的地方，或两者兼而有之。
如果您未实施适当的技术和组织措施（例如加密），则可能会根据我们的监管行动政策采取监管措施。
法律对加密有何规定？
英国 GDPR 的安全原则规定，您必须安全地处理个人信息，保护其免受未经授权或非法的处理以及意外丢失、破坏或损坏。
为此，您必须实施适当的技术和组织措施，同时考虑：
- 最先进的技术;
- 实施措施的成本;和
- 您的处理对人们的权利和自由构成的风险。
法律不要求您使用加密。但它确实将其作为管理风险的适当措施的一个例子。
加密广泛可用且相对容易实施，有许多低成本且易于部署的解决方案。我们已经看到许多个人信息丢失的情况，这可能会对人们造成真正的伤害。
因此，您应该使用加密来保护您存储或传输的个人信息。
同时，加密并不是解决所有信息安全风险的单一解决方案。作为纵深防御方法的一部分，您应该考虑哪些其他安全措施可能适合与它一起使用。
请记住，加密个人信息算作一项处理活动。这是因为您在加密个人信息时会“改编或更改”个人信息。从您的角度来看，此过程的结果（加密数据集和解密数据集的密钥）仍然是个人信息。
加密和数据存储
加密您存储的个人信息可提供有效的保护，尤其是在任何存储设备丢失或被盗的情况下。
您应该在PC、笔记本电脑、智能手机、平板电脑等设备和USB记忆棒等可移动媒体上启用存储加密。有不同的方法可以解决这个问题，包括全盘加密或单个文件加密。其中哪一个合适取决于您的情况和业务需求。两者的混合可能是合适的。
即使您实施了存储加密，也可能存在剩余风险。在数据安全的整体方法中，您应该考虑这些因素。例如，如果加密设备无人看管并解锁，那么攻击者仍然可以访问它所持有的信息。
加密和数据传输
在个人信息跨设备或网络移动时对其进行加密也提供了有效的保护（例如，防止攻击者的拦截）。这也称为传输中的加密。
当您传输个人信息时，您应该使用HTTPS 等加密通信协议。默认情况下，许多在线服务都提供此级别的保护。确保您没有使用任何过时的版本。例如，您不得再使用任何版本的SSL，因为它们存在众所周知的漏洞。相反，请查找TLS，最好是1.3 版。
如果您正在运营自己的在线服务（例如网站或应用程序）并且这涉及处理个人信息，那么您应该在其所有页面上使用HTTPS。这可以保护个人信息，例如登录凭据和付款信息。
您没有令人信服的理由不在整个在线服务中使用HTTPS。此外，如果网站不使用HTTPS，大多数浏览器现在会通知其用户该网站不安全。
即使您确实实施了传输中的加密，也可能仍然存在残余风险。您应该在整体数据安全方法中考虑这些因素。例如，与通信相关的某些数据可能仍会暴露，例如元数据或DNS查询。
我们如何实现加密？
为了正确实施加密，您应该考虑几件事。
首先，您应该选择正确的算法和密钥大小。您对算法的选择很重要。随着时间的推移，漏洞可能会被发现，或者计算能力可能会提高。这意味着，如果您选择旧的，它可能无法提供任何真正的保护。您还应该选择足够大的密钥大小，以使任何攻击都不太可能成功。
除非您具备技术能力，否则您应该使用可信且经过验证的算法，而不是开发自己的算法。经过认证的产品可以提供一定程度的保证。
其次，您应该选择合适的软件。这是关于您的加密软件是否遵循良好的软件开发实践并经过独立测试。您只能选择以这种方式审查过的软件。
第三，应适当管理加密密钥。例如，将其与加密数据一起存储与一开始就不加密数据一样好。同时，如果您丢失了它，那么您可能无法再访问数据。
最后，您必须考虑使用加密的审查期。法律的安全要求规定，在适当的情况下，您可以测试和评估您实施的安全措施的有效性。
我们应该注意什么？
在评估特定解决方案是否合适时，必须同时考虑最新技术和实施成本。
对于加密，您可以考虑特定解决方案是否是：
- 广泛使用或广泛使用;
- 符合公认的行业标准，如FIPS 140-3或FIPS 197（高级加密标准或AES）;或
- 认证或认可（例如由非华裔合约的认可辅助产品计划（CAPS））。
许多类型的加密都已成熟并广泛部署，您通常可以相对轻松地以很少的成本或免费实现它们。
PS. 进一步了解完整的指南，请见：
https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/encryption/