열 수준 암호화 엔터프라이즈
열 수준 암호화 엔터프라이즈(KMF)를 핵심 관리 프레임워크 사용하여 인스턴스에서 필드와 첨부 파일의 암호화 및 암호 해독 방법을 사용자 지정하고 관리할 수 있습니다. 을 사용하려면 열 수준 암호화 엔터프라이즈구독이 필요합니다.
열 수준 암호화 엔터프라이즈 는 주요 관리 기능을 전제 열 수준 암호화 엔터프라이즈 로 하고 사용합니다 핵심 관리 프레임워크 . 열 수준 암호화 엔터프라이즈 애플리케이션 수준 필드 암호화를 위한 키 보호 및 키 수명주기 관리를 제공합니다. 모든 키는 궁극적으로 FIPS(연방 정보 처리 표준) 140-2-L3 HSM(하드웨어 보안 모듈)에 뿌리를 둔 키 래핑 계층으로 보호됩니다.
열 수준 암호화 엔터프라이즈 를 사용하면 NIST 800-57 관행에 따라 지원되는 필드를 암호화하고 해독하는 방법을 관리할 수 있습니다. 또한 적절한 키 보호 및 관리를 위한 통합을 포함하여 최신 버전의 필드 수준 암호화를 사용합니다.
특히 암호화 열 수준 암호화 엔터프라이즈 모듈을 KMF 사용하여 서버 측 암호화를 더 잘 제어할 수 있습니다. KMF 는 키 계층 구조 및 봉투 암호화를 사용하여 적절한 데이터 암호화 키 보호를 검증합니다. 인스턴스는 사용자가 구성하는 암호화 모듈을 통해 데이터를 암호화합니다. 각 모듈에 대한 액세스 정책을 생성한 다음, 암호화 사양 및 액세스 정책을 구성하고 키 수명주기 관리 통제를 제어할 수 있습니다.
열 수준 암호화 엔터프라이즈 는 다음을 기반으로 모듈 액세스 정책을 지원합니다.
- 범위
- 역할
- 스크립트
- 자원 교환
- 시스템 사용자
암호화 용어
| 용어 | 설명 |
|---|---|
|
|
키 관리 지원 기본은 열 수준 암호화 엔터프라이즈 키 관리 프레임워크(KMF)입니다. 다음과 같은 역량을 확보합니다.
자세한 내용은 키 관리 프레임워크 참조 문서를 참조하십시오. |
|
|
고객 공급 키 지원 가장 큰 이점 열 수준 암호화 엔터프라이즈 중 하나는 암호화를 위해 고유한 키를 사용할 수 있다는 것입니다. 관리자는 에서 암호화Now Platform®를 위해 제공된 키 또는 자체 고객 제공 키(CSK)를 사용할 ServiceNow 수 있습니다. 또한 키 수명주기를 관리하고 키를 해지, 회전 및 비활성화할 시기를 결정할 수 있습니다. 고객이 제공한 키를 활성화하고 암호화 모듈을 만든 후 토큰 및 공용 임시 키를 다운로드합니다. 토큰과 공개 키를 사용하여 키를 래핑한 다음 인스턴스에 업로드합니다. 고객이 제공한 키를 사용하려면 및 필드 암호화 엔터프라이즈에서 고객 제공 키 사용문서를 참조하십시오키 유형을 선택하도록 필드 암호화 설정 구성. |
|
|
필드 암호화와 첨부 파일 암호화 모두 지원 필드 암호화와 첨부 파일 암호화는 모두 암호화 모듈을 사용하고 암호화된 필드 구성을 통해 정책에 액세스합니다. 암호화된 필드 구성 양식은 열 또는 첨부 파일 암호화의 암호화 유형을 선택하는 데 사용됩니다. 자세한 내용 및 지원되는 필드 유형은 다음을 참조하십시오 암호화된 필드 구성 설정 . |
|
|
비결정적 암호화 지원 열 수준 암호화 엔터프라이즈 는 보안 강화를 위해 비결정적 암호화를 지원합니다. 시스템이 동일한 데이터를 두 번 이상 암호화하는 경우 암호문은 매번 다릅니다. 비결정적 암호화는 CBC(암호 블록 체인)를 사용한 AES(Advanced Encryption Standard) 암호화에서 사용할 수 있습니다. 암호화 사양의 알고리즘 정의 단계에서 동등 유지 옵션을 통해 이 기능을 사용하도록 설정할 수 있습니다. 암호화 모듈에 대한 암호화 사양을 생성하고 암호화 및 키를 생성하기 위한 알고리즘을 정의합니다. 암호화 작업에 사용되는 메커니즘을 정의하고 비결정적 암호화를 활성화하는 방법에 대한 자세한 내용은 을 참조하십시오 암호화 모듈 생성 . |
|
|
자원 교환 열 수준 암호화 엔터프라이즈 암호화 API를 사용하여 KMF 기밀성, 무결성, 인증 및 부인 방지를 제공하는 안전한 방식으로 인스턴스 간 키를 키합니다. 자원 교환 는 KMF 안전한 방식으로 인스턴스 간에 자원을 교환할 수 있는 기능을 제공하는 기능입니다. 자세한 내용은 키 관리 프레임워크 자원 교환 문서를 참조하십시오. |
열 수준 암호화 엔터프라이즈 는 온 프레미스 고객을 지원합니다. 도메인 분리를 지원하지 않습니다.
추가 암호화된 필드 지원
의 표준 버전 열 수준 암호화 엔터프라이즈 은 암호화된 열 5개로 제한됩니다. 열 수준 암호화 엔터프라이즈 는 암호화된 열을 무제한으로 지원합니다.
지원되는 필드 정보
- 첨부 파일
- 날짜
- 날짜/시간
- 이메일
- HTML
- 필기장
- 저널 입력
- 저널 목록
- 전화
- 문자열 텍스트
- 번역된 필드
- 번역된 HTML
- 번역된 텍스트
- URL
첨부 파일 암호화
- 기본적으로 첨부 파일 암호화
-
을 사용하는 열 수준 암호화 엔터프라이즈 고객은 활성 암호화된 필드 구성(EFC) 유형 Attachment이 있는 테이블에서 기본적으로 암호화된 첨부 파일을 가지고 있습니다.
EFC 구성에서 정의한 이 기본 암호화는 관리자가 이러한 테이블에 대해 업로드할 때 첨부 파일을 암호화해야 한다고 수동으로 선언할 필요가 없음을 의미합니다.
- 관리자는 사용자가 암호화되지 않은 파일을 첨부하지 못하도록 허용할 수 있습니다.
- 자세한 내용은 사용자가 암호화되지 않은 파일을 첨부하지 못하도록 방지 문서를 참조하십시오.
- 기본 암호화 옵트아웃
EFC 구성에 따라 첨부 파일을 기본적으로 암호화하지 않으려면 지원에 ServiceNow 문의하여 이 옵션을 옵트아웃할 수 있습니다.
이 기능을 옵트아웃하려면 지원과 함께 ServiceNow 지원 케이스를 생성하고 케이스 기록에 대한 설명에 다음 설명을 포함합니다.
"본인[고객 이름]은 첨부 파일에 권장되는 보안 베스트 프랙티스를 해제해 달라고 요청 ServiceNow 하고 있으며 [고객 회사]가 애플리케이션에서 ServiceNow 암호화되지 않은 첨부 파일 구성 및 사용과 관련된 추가 위험을 감수한다는 것을 이해합니다."
API 지원
열 수준 암호화 엔터프라이즈 는 암호화된 필드에 암호화된 데이터를 삽입할 수 있도록 setDisplayValue() 및 setValue() API를 업데이트합니다. 또한 getDisplayValue() 및 getValue()가 일반 텍스트 값을 반환할 수 있습니다.
다음 스크립트는 인시던트 짧은 설명이 암호화된 경우 이러한 API 변경을 보여줍니다.
var gr = new GlideRecord('incident'); //creates a new incident
gr.setValue('short_description','test123'); //sets the value to test123
var sys_ID = gr.insert(); //inserts the record in the Incident table.
gs.info(gr.getValue('short_description')); //displays the unencrypted value
getValue()를 사용하여 암호화된 텍스트를 가져올 때 스크립트는 더 이상 암호문을 반환하지 않습니다. 스크립트는 사용자가 암호화 모듈에 액세스할 수 있다고 가정하여 일반 텍스트를 반환합니다. getValue()는 암호화 모듈에 액세스할 수 없는 사용자를 위해 암호 텍스트를 반환합니다.