SQL Server 備份加密實戰指南：從密碼保護到第三方工具的多層防禦

備份檔案的隱形風險

SQL Server 原生備份（.bak）以明文儲存資料頁，任何文字編輯器即可開啟閱覽資料表內容、預存程式碼、甚至硬編碼的帳號密碼。若備份檔外洩，等同於整庫資料外洩。

原生防護手段與局限

1. 備份密碼

BACKUP DATABASE Northwind TO DISK='C:\Northwind.bak'
WITH MEDIAPASSWORD = 'Backup2006';

• 還原時需輸入密碼，但檔案內容仍為明文，文字編輯器可直接讀取。
• 不支援 GUI 操作，僅限 T-SQL，維護不便。

2. 預存程序加密

CREATE PROCEDURE dbo.TestEncryption
WITH ENCRYPTION
AS SELECT * FROM Products;

• 備份檔中程式碼呈現混淆狀態，但 WITH ENCRYPTION 非真加密，免費工具可秒破解。

3. 資料欄位加密

• SQL Server 2000 無原生功能，需第三方工具（NetLib Encryptionizer、XP_CRYPT）。
• SQL Server 2005+ 內建 ENCRYPTBYKEY/DECRYPTBYKEY，資料入庫即加密，備份自帶密文。

系統層面防護

1. 檔案系統權限鎖定

• 備份目錄僅授權最小權限帳號讀寫，搭配 EFS/BitLocker 磁碟加密。
• 屬纏深防禦一環，無法替代備份檔本身加密。

2. 直接備份至磁帶

• 減少磁碟檔案暴露窗口，但還原速度慢、無法支援時間點恢復、磁帶管理成本高。

終極方案：第三方備份加密工具

唯有在備份生成瞬間即以工業級演算法加密整個 .bak 檔，才能確保「檔案落地即密文」。主流產品比較：

三者皆支援排程、差異/記錄備份鏈加密、金鑰輪換、審計日誌，符合 PCI-DSS、HIPAA、GDPR 合規要求。

實作檢核清單

1. 盤點哪些資料庫含敏感資料/程式碼。
2. 啟用資料欄位加密（Always Encrypted / TDE / 第三方）。
3. 部署第三方備份工具，強制 AES-256 加密、異地備份。
4. 備份目錄設定 NTFS 最小權限 + BitLocker 磁碟加密。
5. 定期演練還原測試，驗證金鑰備份與輪換流程。

結語

備份加密不是可選項，而是資安底線。結合原生 TDE/Always Encrypted 與第三方備份加密工具，構建「資料入庫加密、備份落地加密、傳輸傳輸加密」三重防護，才能讓企業在資安稽核與駭客攻擊雙重壓力下安枕無憂。