鍵階層

鍵階層では、データを守る鍵がツリーの上位に並ぶ。頂点にマスター鍵（ルート鍵）、その下に鍵暗号化鍵、末端にデータ鍵がある。ルート鍵は保護された場所、たいていはHSMやTPMから出してはならず、下の各層は一つ上の層でラップされる。

この構造のおかげで、データを再暗号化せずに鍵を更新できる。一方で複雑さは増し、層が増えるたびに間違えどころも増える。暗号方式の選択は議論の的になりがちだが、よく描かれた鍵の設計図のほうが価値が高いことも多い。