加密选型：静态与传输加密的选型要点
导语：数据安全不是"加不加密"的是非题，而是"静态加密、传输加密、密钥谁来管"的系统题。本文聚焦加密选型要点，帮助政企在合规与性能间找到平衡点。
一、为什么要关注
数据在"静止"（落盘）和"流动"（传输）两种状态面临不同风险。仅做传输加密，盘被拔走即裸奔；仅做静态加密，内网嗅探仍可截获。加密还要消耗算力、可能影响性能。选型失误，要么留漏洞，要么拖慢业务。
二、核心原理
静态加密保护存储介质失窃/丢弃场景下的数据机密性；传输加密保护网络链路上的窃听与中间人。其原理是——两者防护不同威胁面，应互补而非二选一。加密算法（如 AES）强度足够，真正的薄弱点常在密钥管理（见本专题"密钥管理选型"）。
三、落地做法/步骤
- 定必加密范围：涉密、个人敏感、财务类数据强制静态加密。
- 选传输机制：内部用 TLS/IPsec，跨站点复制强制加密通道。
- 测性能影响：POC 中对比加密开/关的吞吐与延迟，设可接受阈值。
- 用硬件加速：选用支持加解密卸载的硬件，降低 CPU 压力。
- 管密钥分离：加密开启但密钥与数据同地同管，等于没管（见下篇）。
四、与群晖NAS/信创云盘的对应能力
群晖NAS提供卷/共享级静态加密与传输加密（SMB 加密、HTTPS、VPN 复制）。信创云盘（软件定义）可在软件层统一加密策略，并支持与硬件加密模块对接。横向扩展下，加密应在集群调度层统一开启，避免部分节点漏加密形成短板。
五、常见误区
- 误区一：只做传输不落盘加密。介质失窃即泄露。
- 误区二：密钥与数据同存。攻击者拿到盘也拿到钥匙。
- 误区三：全量强加密不顾性能。非敏感数据可分级。
- 误区四：忽略合规要求。行业对加密有明确规定，需对照。
六、小结与行动建议
加密选型要"静态+传输双覆盖、敏感分级、密钥分离"。建议以合规要求为底线，性能实测为上限，制定分级加密策略。横向扩展架构下统一策略，杜绝节点间不一致。密钥如何管，请看本专题下一篇。