物流WMS等保三级到底哪些数据要加密加密范围判定与落地测评现场问加密范围怎么定的答不上来某物流企业 WMS 系统做等保三级测评测评员问了两个问题项目组当场卡壳你们的加密范围是怎么划定的哪些表加密了、依据是什么 WMS 和承运商、关务系统的数据交换传输和落库怎么保护的很多人做等保整改第一反应是把所有数据库都加密一遍。但测评问的不是你有没有加密而是**你的加密范围有没有依据、边界清不清楚**。范围划得乱七八糟比不加密更难看。加密范围判定的逻辑不是全部是重要数据等保三级数据保密性要求的是重要数据加密存储不是全库加密。判定的通用逻辑是三步第一步盘点数据 → 按类型归类客户/货值/订单/配置 第二步定敏感级 → 哪些是个人信息、商业敏感、可溯责数据 第三步划加密范围 → 敏感数据落库加密其余按需要落在这个逻辑上WMS 里优先加密的是这几类数据类别具体内容为什么加密收货人个人信息姓名、手机号、地址个人信息保护要求货值与结算货值、运费、结算单商业敏感可溯责报关/EDI报文报关数据、EDI 交换报文海关数据安全要求合同与供应商合同价、供应商信息商业机密不急着加密的是库存流水、操作日志这类体量大、敏感度低的表——加密它们只会拖累查询性能却换不来合规收益。数据交换安全WMS 的另一半WMS 加密不能只盯落库数据交换是物流系统特有的风险面——WMS 要跟一堆外部系统打交道交换对象交换方式要保护什么承运商/TMSEDI 报文、API报文完整性、防篡改关务/报关系统报关数据接口传输加密、签名上游 ERP订单/库存接口数据机密性仓储设备WCS/RF 手持机指令与回执可信数据交换安全的落点传输加密WMS 与外部系统间走国密加密通道报文加密传输避免明文在链路上被截获签名验签EDI 报文、报关数据加签名接收方验签保证是谁发的、有没有被改文件摆渡管控WMS 导出的报表、对账文件加密后再传输别裸奔落地范围划定后怎么动库加密范围定了落库就按范围逐表启用透明加密在线执行、不停机、不锁表-- 收货人信息表启用透明加密SM4在线不停机 EXEC tde_enable_table_encryption database_name wms_core, table_name t_receiver_info, encryption_algorithm SM4_256, key_id tde_wms_receiver_key, rotation_interval_days 90, mode online;加密密钥统一由密钥管理平台管90 天自动轮换根密钥进硬件密码机永不导出。这样测评要加密范围依据时能直接给出哪几张表、什么依据、用什么密钥、多久轮换——一张表讲清楚。踩坑加密范围判定的三个误区误区一全库加密性能背锅。把库存流水这种高吞吐低敏感的表也加密查询性能下降明显等保没加分运维先叫苦。范围要按敏感级划不是多多益善。误区二只加密传输不加密落库。数据交换通道加密了但落库还是明文——数据保密性这一项照样不达标。传输和存储是两块都要覆盖。误区三漏了备份文件。核心表加密了但备份文件明文散落在存储里——拖库绕不过数据库拖备份文件一拖一个准。备份要纳入加密范围恢复演练在解密端执行。验收四条能向测评证明验收项怎么验加密范围有依据给出数据分类分级表加密范围与之对应核心敏感表加密无授权直查收货人/结算表输出密文交换报文防篡改修改一条 EDI 报文验签失败备份文件不可读直接打开备份文件内容为密文WMS 等保三级的加密关键不是加密了多少而是**加密范围划得清、落得实、讲得明**。按数据敏感级划范围、传输存储都覆盖、备份别漏——这套逻辑同样适用于其他业务系统。安当 TDE 数据库透明加密、KSP 密钥管理、HSM 密码机可支持物流 WMS 等保三级的加密整改落地。文章作者安当加密技术负责人