数据加密是供应链保密管理中非常实用的技术手段，它能在数据传输和存储的过程中提供一道基础的防护屏障。即便数据被非法获取，加密后的数据在没有解密密钥的情况下仍然无法被读取。

但在实务中我发现，很多企业虽然要求供应商对数据进行加密，但对加密的具体技术要求和管理落地没有做明确的说明。供应商执行的时候就会打折扣，用了简单的加密方式或者只在传输环节加密但存储环节没有做，给保密管理留下了漏洞。

数据加密的技术要求可以从传输加密和存储加密两个维度来分别设定。

传输加密指的是数据在从一个端点传输到另一个端点的过程中进行加密保护。企业与供应商之间传输数据时，应当使用TLS加密协议。文件传输过程中如果使用了可公开访问的云端服务，文件本身要做额外的加密处理，不能仅依赖传输通道的加密。加密算法方面，推荐使用AES加密，AES加密是目前全球公认的较为健壮的加密标准。

存储加密指的是数据在服务器、数据库、云存储设备上存储时进行的加密保护。供应商在存储企业数据的服务器上应当开启全盘加密或者数据库透明加密。存储在可移动介质上的数据同样需要加密。备份数据也要纳入加密范围，有些供应商在数据库上加密了，但备份磁带或者备份文件没有加密，这同样是安全缺口。

加密密钥的管理是数据加密体系中的核心。密钥如果管理不好，加密就失去了意义。供应商在使用加密保护企业数据时，加密密钥应当由供应商的指定管理人员保管，密钥的访问和使用需要双人审批。密钥应当定期轮换，轮换周期建议不超过一年。密钥的备份数据应当异地保存并加密保护。

有些企业的数据保密要求较高，会要求供应商使用由企业提供的加密密钥进行数据处理。供应商只持有用于日常操作的解密权限，数据的主密钥掌握在企业手中。这种方式在技术上没有问题，但对供应商的管理流程响应要求较高，适合高保密等级的供应商合作项目。

除了加密技术要求之外，加密管理的落地措施同样重要。供应商是否真正启用了加密措施，可以要求供应商提供加密系统配置的截图或者日志记录。定期检查供应商加密措施的落实情况，看加密配置是否处于启用状态。

加密强度的检查也是管理落地的重要内容。有些供应商虽然启用了加密，但使用了已经不推荐使用的加密算法或者密钥长度。比如有的供应商还在使用SHA加密或者加密算法，这些算法的安全性经过多年实践验证已经不足以应对当前的攻击能力。在加密要求中明确使用AES加密，密钥长度不少于256位。

还有一个重要的点是加密状态下的备份数据管理。供应商备份数据时，加密后的备份数据管理的安全性不能被忽略。加密后的备份文件同样需要严格的物理或者逻辑访问控制。备份文件的密钥不能跟主存储的密钥放在同一个地方。

对于供应商使用云服务的情况，加密的管理稍微需要多注意一些。云服务商通常提供了存储加密选项，有的默认启用。但企业需要确认加密密钥是由云服务商管理还是由客户管理。对核心数据来说，客户管理密钥的方式要比云服务商管理密钥的方式安全等级更高。大多数主流云服务商都支持客户管理加密密钥的功能。

加密技术的落地执行需要供应商有一定的技术能力配合完成。对于管理能力相对不足的中小型供应商，企业可以提供加密技术指南或者推荐加密工具，帮助供应商以合理成本完成加密部署。加密是双方共同的安全保障，共同把事情做好比单方面要求更有效率。