本发明涉及一种用于保护存储在存储设备中的数据的主机系统和方法。主机系统包括：经配置以与存储设备进行通信的接口；与接口进行通信的控制器，其中控制器可操作以：发送产生密钥的请求到存储设备，请求包括密钥的参考名称，其中，在存储设备中产生密钥独立于其参考名称，密钥仅可在存储设备内部存取；发送到所述存储设备以存储适用于使用密钥的一个或多个策略，一个或多个策略涉及授予给经授权实体以请求存储设备使用密钥来加密和/或解密存储设备中的数据的不同许可；其中，基于一个或多个策略可授予或可拒绝发送到存储设备的请求，所述请求包括参考名称以使用密钥分别加密和/或解密存储设备中写入或读取的数据。