个人信息保护技术方案-加密脱敏权限分模块

个人信息保护技术方案——加密/脱敏/权限分模块

标签：个人信息保护|数据加密|数据脱敏|权限管理|合规技术方案|数据安全

日期：2026年9月20日

一句话简介：面向技术团队、安全团队与合规人员的个人信息保护技术方案，按加密、脱敏、权限三个模块分别给出

技术选型、算法对比、配置模板、实施步骤、完整案例、避坑指南与验证方法。

关键词：个人信息保护、字段级加密、信封加密、密钥管理服务、静态脱敏、动态脱敏、数据掩码、RBAC、ABAC、

最小权限、职责分离、数据分类分级、审计日志、合规检查

适用人群：安全工程师、开发工程师、运维工程师、数据工程师、合规专员、技术管理者、审计人员

文档类型：报告方案类

目录

1.背景

2.目标

3.总体框架

4.加密模块

5.脱敏模块

6.权限模块

7.三模块协同与数据全生命周期覆盖

8.实施步骤与集成

9.验证与审计

10.运营与持续改进

11.结论与建议

12.附录：模板、清单与速查表

1.背景

1.1合规要求

《个人信息保护法》要求处理个人信息应当具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小

的方式。收集个人信息应当限于实现处理目的的最小范围。处理个人信息应当采取相应的加密、去标识化等安全技术

措施。《数据安全法》要求建立数据分类分级保护制度，采取技术措施和其他必要措施保障数据安全。《网络安全

法》要求采取技术措施和其他必要措施，确保网络安全、稳定运行，有效应对网络安全事件，防止网络数据泄露或者

被窃取、篡改。《密码法》要求使用密码技术保护网络与信息安全。

法律法规对个人信息处理提出明确要求：合法、正当、必要、诚信原则；最小范围收集；加密、去标识化等安全技术

措施；分类分级保护；访问控制与审计；泄露通知与应急处置。技术方案需要将这些要求转化为可执行、可验证、可

审计的控制措施。

1.2风险现状

影响级

风险类型典型表现可能后果

别

数据库明文存储身份证号、手机号、银行卡数据泄露、合规处罚、声誉损

存储泄露极高

号失

传输泄露接口未加密，敏感字段明文传输中间人窃取、会话劫持极高

展示泄露后台页面完整显示手机号、证件号内部人员越权查看、批量导出高

权限失控开发、测试、运维共用高权限账号误操作、内部窃取、审计困难高

密钥管理缺

密钥硬编码在代码或配置文件中密钥泄露、加密形同虚设极高

失

脱敏不彻底前端掩码但接口返回明文绕过前端直接获取明文高

日志泄露日志记录完整敏感信息日志被窃取、内部人员查看中高

备份泄露备份文件未加密备份被窃取、恢复后泄露高

测试数据泄

测试环境使用真实数据测试人员接触真实个人信息高

露

导出失控导出文件未脱敏、未管控批量泄露、无法追溯高

权限膨胀权限只增不减，离职未回收账号滥用、越权访问高

审计缺失无访问日志或日志可修改无法追溯、无法取证中高

1.3技术方案的必要性

仅依靠管理制度无法完全防止个人信息泄露。制度规定“应当做什么”，技术方案确保“实际做到了什么”。技术方案将合

规要求转化为可执行、可验证、可审计的控制措施。加密解决“存不住、传不透”的问题，脱敏解决“看不多、拿不走”的

问题，权限解决“谁能用、用到什么程度”的问题。三个模块相互配合，形成覆盖数据全生命周期的防护体系。

1.4方案适用范围

本方案适用于以下场景：

自建业务系统处理个人信息。

数据平台存储、分析个人信息。

客服、运营、风控等系统展示个人信息。

开发测试环境使用个人信息。

数据导出、共享、委托处理。

云上部署与本地部署混合环境。

微服务架构与单体架构。

不适用于：完全公开信息、经匿名化处理无法识别特定自然人的信息、法律法规另有规定的信息。

2.目标

2.1总体目标

建立覆盖个人信息采集、传输、存储、使用、共享、销毁全流程的技术防护体系，实现敏感字段加密存储、敏感展示

脱敏处理、敏感操作权限管控，满足法律法规与行业标准要求，确保个人信息处理合法、正当、必要，确保数据安全

事件可发现、可追溯、可处置。

2.2分项目标

模

目标可验证指标验证方式

块

加敏感字段加密存储，传输通道敏感字段密文存储率100%，传输加密覆盖率数据库检查、抓包

密加密，密钥集中管理100%，密钥集中管理率100%检查、配置检查

脱非必要场景不展示明文，必要敏感展示脱敏覆盖率100%，接口返回脱敏合角色测试、接口检

敏场景按规则脱敏规率100%，日志脱敏覆盖率100%查、日志检查

权最小权限、职责分离、权限可高权限账号数量可控，权限变更可追溯，越权限测试、审计日

限审计、生命周期可管理权访问为0，闲置权限清理率100%志、权限审查

2.3阶段性目标

阶段时间目标验收标准

第一阶段1-2周完成数据分类分级与现状调研数据分类清单完成，风险清单完成

第二阶段3-4周完成加密方案设计与试点试点系统敏感字段密文存储，密钥集中管理

第三阶段5-6周完成脱敏方案设计与试点试点系统按角色脱敏，接口不返回明文

第四阶段7-8周完成权限方案设计与试点试点系统最小权限，审批流生效，审计日志完整

第五阶段9-10周全面实施与集成全部系统覆盖，CI/CD集成，监控告警生效

第六阶段11-12周验证、审计、优化审计报告通过，问题闭环

3.总体框架

3.1三层防护模型

控制目

层级主要技术覆盖场景核心指标

标

加密对称加密、非对称加密、信封加密文存储率、

保密性存储、传输、备份、密钥

层密、传输层安全、密钥管理加密覆盖率

控制目

层级主要技术覆盖场景核心指标

标

脱敏最小化静态脱敏、动态脱敏、掩码、哈开发测试、数据分析、页面展脱敏覆盖率、

层展示希、泛化、随机化示、接口返回、日志、导出接口合规率

权限访问控RBAC、ABAC、最小权限、职责分登录、查询、导出、修改、删越权率、权限

层制离、审批流、生命周期管理除、授权回收率

3.2模块关系

加密是基础，确保数据即使被非法获取也无法直接读取。脱敏是展示控制，确保合法用户在非必要场景看不到完整敏

感信息。权限是访问控制，确保只有授权主体才能执行操作。三个模块按数据分类分级结果统一配置，避免各自为

政。

加密与脱敏的关系：加密解决存储与传输的保密性，脱敏解决使用与展示的最小化。加密后的数据在授权解密后仍需

脱敏展示。

脱敏与权限的关系：权限决定“能不能看”，脱敏决定“能看多少”。两者配合实现最小化展示。

加密与权限的关系：权限决定“能不能解密”，加密决定“解密后能拿到什么”。密钥访问本身需要权限控制。

3.3数据分类分级

脱敏

级别定义示例字段加密要求权限要求审计要求

要求

L1不要

可公开产品名称、公开公告不要求一般控制一般日志

公开求

L2内部使按需

员工工号、部门名称建议加密角色控制操作日志

内部用脱敏

L3个人信必须

手机号、邮箱、姓名、地址必须加密最小权限+审批完整审计

敏感息脱敏

强加密

L4敏感个身份证号、银行卡号、生物识严格最小权限+双人完整审计

+独立密

高敏人信息别信息、健康信息、行踪轨迹脱敏审批+限时授权+实时告警

钥

字段示例统一使用占位符：手机号“xxx”、身份证号“xxx”、银行卡号“【银行卡号】”、地址“示例省示例市示例区示例

路1号”、邮箱“【邮箱】”。

3.4数据生命周期与技术措施映射

生命周期

主要风险加密措施脱敏措施权限措施

阶段

超范围采集、未授采集权限控制、告知

采集传输加密前端不缓存明文

权采集同意记录

生命周期

主要风险加密措施脱敏措施权限措施

阶段

传输中不额外脱

传输中间人窃取TLS、消息级加密接口鉴权

敏

数据库泄露、备份字段级加密、透明加密、存储明文但访问

存储数据库账号最小权限

泄露备份加密时脱敏

越权查看、批量导动态脱敏、导出

使用解密权限控制查询权限、导出审批

出脱敏

共享第三方泄露传输加密、接口加密共享前脱敏共享审批、范围控制

销毁残留数据密钥销毁数据删除销毁审批、记录

4.加密模块

4.1加密对象

对象类型具体内容加密方式密钥要求

数据库字段手机号、身份证号、银行卡号字段级加密按字段或租户隔离

数据库文件整库文件透明数据加密数据库托管

对象存储文件、图片、附件服务端加密密钥管理服务托管

文件系统配置文件、日志文件文件加密操作系统或应用层

传输数据接口请求、响应TLS、消息级加密证书管理

消息队列消息体消息级加密密钥管理服务

备份数据数据库备份、文件备份备份加密独立备份密钥

密钥主密钥、数据密钥信封加密硬件安全模块或密钥管理服务

4.2加密算法选型

算法类密钥长

推荐算法适用场景注意事项禁用算法

型度

对称加字段加密、文使用随机初始向量，DES、3DES、

AES-256-GCM256位

密件加密禁止重复使用RC4、AES-ECB

非对称2048位密钥交换、数

RSA-2048以上不直接加密大量数据RSA-1024以下

加密以上字签名

非对称256位以密钥交换、签

ECC性能优于RSA弱曲线

加密上名

算法类密钥长

推荐算法适用场景注意事项禁用算法

型度

哈希算完整性校验、

SHA-256、SHA-3不适用不用于密码存储MD5、SHA-1

法去标识化

密码哈Argon2、

可调用户密码存储加盐，调整工作因子明文、简单哈希

希bcrypt、scrypt

传输协禁用弱套件，启用前SSL、TLS1.0、TLS

TLS1.2以上不适用网络传输

议向保密1.1

消息认

HMAC-SHA256256位完整性校验密钥独立无认证加密

证

4.3加密模式对比

模式安全性性能并行性适用场景风险

ECB低高支持不推荐用于敏感数据相同明文产生相同密文

CBC中中解密支持传统场景需要随机IV，易受填充攻击

CTR中高高支持流式加密需要唯一计数器

GCM高高支持推荐用于字段加密需要唯一IV

CCM高中支持物联网需要唯一Nonce

4.4密钥管理

密钥管理是加密方案的核心。密钥泄露意味着加密失效。

管理环节要求实施方式检查方法

生成使用密码学安全随机数密钥管理服务或硬件安全模块检查随机源

存储密钥与数据分离密钥管理服务，禁止硬编码扫描代码与配置

使用最小权限，按需授权短期凭证，访问审计检查授权记录

轮换定期轮换，泄露后立即轮换自动轮换策略检查轮换记录

销毁安全销毁，保留审计记录密钥管理服务销毁接口检查销毁记录

备份加密备份，异地存储密钥备份策略检查备份记录

审计记录所有密钥操作审计日志检查日志完整性

4.5信封加密

信封加密使用主密钥加密数据密钥，使用数据密钥加密业务数据。主密钥存储在密钥管理服务中，数据密钥随数据存

储。轮换时只需重新加密数据密钥，无需重新加密全部业务数据。

层级密钥类型存储位置轮换频率作用

第一层主密钥密钥管理服务或硬件安全模块每年或按合规要求加密数据密钥

第二层数据密钥随数据存储，密文形式每季度或按需加密业务数据

第三层业务数据数据库、文件、对象存储不适用被加密对象

信封加密的优势：主密钥不离开密钥管理服务；数据密钥轮换成本低；支持大规模数据加密；密钥层级清晰，便于审

计。

4.6传输加密

所有对外接口启用TLS1.2以上。

禁用SSL、TLS1.0、TLS1.1。

禁用弱加密套件，如RC4、3DES、CBC模式下的弱套件。

启用前向保密，使用ECDHE密钥交换。

内部服务间通信同样加密，不信任内网。

证书定期轮换，监控过期。

配置HSTS，强制HTTPS。

禁用不安全的重定向。

配置项推荐值说明

协议版本TLS1.2、TLS1.3禁用低版本

加密套件ECDHE+AESGCM、ECDHE+CHACHA20优先前向保密

证书受信任CA签发定期轮换

HSTS启用强制HTTPS

OCSP装订启用提升性能与隐私

4.7存储加密

存储类型加密方式说明适用级别

数据库字段字段级加密应用层加密后写入，读取时解密L3、L4

数据库文件透明数据加密数据库引擎层加密L2以上

对象存储服务端加密使用密钥管理服务托管密钥L2以上

存储类型加密方式说明适用级别

文件系统文件加密操作系统或应用层加密L3、L4

备份备份加密备份工具加密L2以上

日志日志脱敏或加密敏感字段脱敏L3、L4

4.8字段级加密实施细节

字段级加密适用于L3、L4敏感字段。实施要点：

在应用层加密，数据库只存密文。

每个字段使用独立数据密钥或按租户隔离密钥。

加密后字段长度增加，预留足够存储空间。一般预留原文长度的1.5倍以上。

加密字段无法直接用于查询、排序、模糊匹配。如需查询，使用索引令牌或哈希列。

加密字段的检索方案：精确查询使用哈希列，范围查询使用分桶或单独设计。

加密字段的索引：使用哈希值建立索引，不索引密文。

加密字段的排序：使用单独的排序字段或应用层排序。

加密字段的统计：使用脱敏后的数据或单独统计表。

查询类型实现方案说明

精确查询哈希列对明文哈希后存储，查询时哈希比对

前缀查询分词哈希或单独设计复杂场景需单独设计

范围查询分桶或数值转换日期、金额可分桶

模糊查询不推荐或使用搜索引擎加密后无法模糊匹配

排序单独排序字段使用脱敏后的值排序

4.9实施步骤

1.识别敏感字段，完成数据分类分级。

2.选择加密算法与密钥管理方案。

3.部署密钥管理服务，生成主密钥。

4.在应用层实现加密与解密组件。

5.设计密文存储结构，预留字段长度。

6.设计查询方案，建立哈希列或索引令牌。

7.对存量数据执行加密迁移。

8.对增量数据在写入时加密。

9.配置传输加密，启用TLS。

10.配置备份加密。

11.建立密钥轮换与销毁流程。

12.执行验证与审计。

4.10存量数据迁移方案

步骤动作注意事项

1新增密文列保留原明文列

2分批读取明文控制批次大小

3加密后写入密文列校验加密结果

4校验密文解密结果抽样比对

5切换应用读写至密文列灰度切换

6停止写入明文列确认无写入

7备份明文列加密备份

8删除明文列确认可回滚

9验证功能与性能全量测试

4.11完整案例：示例公司用户表加密改造

背景：示例公司用户表存储手机号、邮箱、身份证号，原为明文存储。合规审计要求对敏感字段加密。系统为Java微

服务架构，数据库为关系型数据库，日均读写约10万次。

数据：用户表约50万行，敏感字段为手机号、邮箱、身份证号。手机号用于登录与通知，邮箱用于通知，身份证号用

于实名认证。

操作步骤：

1.识别字段：手机号、邮箱定为L3，身份证号定为L4。

2.选型：使用AES-256-GCM加密，密钥由密钥管理服务托管。

3.部署密钥管理服务，生成主密钥与数据密钥。

4.开发加密组件：写入时加密，读取时解密。

5.新增密文列，保留原明文列用于迁移。

6.设计查询方案：手机号增加哈希列用于登录查询。

7.分批迁移存量数据，每批1万行，加密后写入密文列。

8.迁移完成后，校验密文解密结果与原文一致。

9.切换应用读写至密文列，灰度发布，观察一周。

10.停止写入明文列，备份后删除明文列。

11.配置TLS，确保传输加密。

12.配置备份加密。

13.建立密钥轮换流程，每季度轮换数据密钥。

14.执行验证：查询数据库确认敏感字段为密文，应用功能正常。

结果：敏感字段全部密文存储，密钥集中管理，传输加密启用，查询性能下降约5%，通过索引优化与缓存弥补，合规

审计通过。

4.12常见错误与正确做法

错误做法风险正确做法

密钥硬编码在代码中密钥泄露使用密钥管理服务

所有字段使用同一密钥一处泄露影响全部按字段或租户隔离密钥

使用ECB模式相同明文产生相同密文使用GCM等安全模式

加密后不预留长度数据截断预留足够存储空间

忽略密钥轮换长期使用同一密钥定期轮换，泄露后立即轮换

加密字段直接模糊查询查询失败或性能差使用哈希列或索引令牌

使用弱随机数生成密钥密钥可预测使用密码学安全随机数

备份未加密备份泄露备份加密

日志打印明文日志泄露日志脱敏

测试环境使用生产密钥密钥泄露环境隔离密钥

4.13零基础操作引导：配置字段级加密

在哪里配置：在应用配置文件中添加加密配置。

怎么配置：打开配置文件，添加加密算法、密钥管理服务地址、密钥标识。

示例配置片段：

encryption:

algorithm:AES-256-GCM

key-service:【密钥管理服务地址】

key-id:【密钥标识】

fields:

-user.phone

-user.email

-user.id_card

hash-fields:

-user.phone_hash

按保存键确认。重启应用后生效。

结果长什么样：应用写入数据库时，敏感字段显示为密文；读取时自动解密。

报错了怎么办：提示“密钥不存在”时，检查密钥标识与密钥管理服务配置；提示“解密失败”时，检查密钥是否轮换、密

文是否完整；提示“字段长度不足”时，扩展字段长度。

4.14加密模块避坑指南

1.不要使用ECB模式加密敏感数据。

2.不要在所有环境使用同一密钥。

3.不要将密钥与数据存储在同一位置。

4.不要忽略密钥轮换。

5.不要使用弱随机数生成密钥。

6.不要在日志中打印密钥或明文。

7.不要在测试环境使用生产密钥。

8.不要加密后不验证解密结果。

9.不要忽略加密对性能的影响。

10.不要忘记备份密钥。

5.脱敏模块

5.1脱敏场景

场景脱敏需求脱敏方式适用级别

开发测试使用仿真数据，不接触真实个人信息静态脱敏L3、L4

数据分析保留统计特征，隐藏个体标识静态脱敏、泛化L3、L4

页面展示用户查看自己的信息可完整，查看他人信息需脱敏动态脱敏L3、L4

接口返回非必要不返回明文，按角色返回脱敏结果动态脱敏L3、L4

日志记录不记录完整敏感信息日志脱敏L3、L4

数据导出导出文件按规则脱敏静态脱敏L3、L4

数据共享共享给第三方前脱敏静态脱敏L3、L4

屏幕展示防止截屏泄露水印、掩码L4

打印防止纸质泄露掩码、水印L4

5.2脱敏方法

可逆

方法说明适用场景优点缺点

性

静态脱对数据集进行永久性脱敏，生成脱不可开发测试、数据分需维护副

彻底、安全

敏敏副本逆析本

动态脱查询时根据策略实时脱敏，原始数不可页面展示、接口返原始数据不需性能支

敏据不变逆回变撑

可逆

方法说明适用场景优点缺点

性

不可手机号、身份证号

掩码保留部分字符，其余替换简单直观损失信息

逆展示

不可需维护映

替换使用虚拟值替换真实值测试数据仿真度高

逆射

不可去标识化、关联分需防彩虹

哈希单向哈希，不可逆可关联

逆析表

不可年龄分段、地址到保留统计特

泛化降低数据精度精度降低

逆城市征

不可可能不一

随机化随机生成替代值测试数据无真实信息

逆致

需密钥管

加密可逆加密，授权后解密可逆需要还原的场景可还原

理

假名化使用假名替代标识可逆关联分析保留关联需映射表

差分隐不可

添加噪声统计分析隐私保护强精度降低

私逆

5.3脱敏算法

字段类型脱敏算法示例（脱敏后）说明

手机号掩码：保留前3后4xxxxxx常见展示方式

身份证号掩码：保留前1后1x*******x严格脱敏

银行卡号掩码：保留后4【银行卡号】支付场景

邮箱掩码：保留首字符与域名【邮箱】通知场景

姓名掩码：保留姓张**展示场景

地址泛化：保留到区示例省示例市示例区统计场景

年龄泛化：分段30-40岁统计场景

日期泛化：保留年月【年月】统计场景

设备号哈希【哈希值】关联分析

用户标识假名化【假名】关联分析

5.4脱敏规则

脱敏规则应基于角色、场景、字段级别动态匹配。

角色字段级别脱敏规则审批要求

普通用户L3查看本人完整，查看他人脱敏无

客服L3手机号保留前3后4，身份证号不展示无

主管L3手机号完整，身份证号掩码无

数据分析师L3哈希或泛化，不展示明文无

管理员L4需审批后查看完整，操作留痕双人审批

开发测试L3/L4仅使用静态脱敏后的数据无

审计员L3/L4查看脱敏数据与日志无

第三方L3/L4共享前静态脱敏共享审批

5.5动态脱敏实施细节

动态脱敏在查询时实时处理，原始数据不变。实施要点：

在应用层或数据访问层实现拦截。

按角色、场景、字段匹配规则。

支持多种脱敏算法组合。

记录脱敏日志，谁在何时查看