暗号化かトークン化か──金融データ保護上のメリットとデメリット

金融機関が処理するデータの暗号化とトークン化は、それぞれにメリットとデメリットがあり、技術投資を行う前に慎重な検討が必要だ。

公開 2010年03月02日 07時30分

更新 2012年09月04日 17時24分

著者

Dave Shackleford

[TechTarget]

印刷する

　金融サービス業界のセキュリティとコンプライアンス問題をめぐり、「暗号化（データ保存と移動時の両方について）かトークン化か」という論議が盛んになっている。PCI DSS（PCIデータセキュリティ基準）やFFIEC（米国連邦金融機関検査協議会）といった情報セキュリティ診断要件（暗号化およびデータ保護について膨大な項目がある）順守のプレッシャーがかかる中、組織はカード所有者などの重要な情報を守るため、最善の方法を求めている。「エンド・ツー・エンド」の暗号化とトークン化は解決策として有望だが、それぞれに明らかなメリットとデメリットがあり、技術投資を行う前に慎重な検討が必要だ。

　まずは暗号化について取り上げよう。エンド・ツー・エンドの暗号化とは、保存されたデータを暗号化し、暗号化したまま移動して、最終地点に到達した時点で暗号を解除（復号）することをいう。エンド・ツー・エンドの暗号化は、信頼できるアルゴリズムを使って適切に行えば、最高レベルのデータ機密性を確保できる公算が大きい。

　例えば、カード決済処理会社が使う決済カードの暗証番号は、3DESなどの強力なアルゴリズムを使い、専用のハードウェアセキュリティモジュール（HSM）内部で暗号化と復号を行う場合が多い。こうしたモジュールは大抵の場合、物理的に鍵が掛けられ、管理義務を持つ関係者にしかアクセスできないようになっている。このような場合、データが流出する可能性はある程度低くなる。別のやり方として、クレジットカードのデータをPOS端末で3DES、AESなどのアルゴリズムを使って暗号化し、最終的にそのデータを取得する銀行に到達するまで暗号を解除しない方法もある。もう1つのメリットとして、暗号化ソリューションの方が以前から存在しているため、既存のPOS、ネットワーク、データベースソリューション、および決済アプリケーションと統合されるケースも多いかもしれない。

　しかし残念ながら、エンド・ツー・エンドの暗号化導入は容易ではない。第一に、「エンド・ツー・エンド」の真の意味にまつわる混乱がある。決済データを移動する過程で別々のOSと別々のアプリケーションを経由して複数段階で処理される場合、復号と再暗号化のサイクルが繰り返される可能性があるが、こうした過程の中にあるデータは最も脆弱になり、エンド・ツー・エンド暗号のメリットは大きく損なわれる。さらに、データあるいはその一部が業務上の理由から必要になるケースもある。よくあるのは、定期的な支払いや還付決済（返金）のために決済カードのデータを保持する場合だ。加えて、集中暗号化キーストアの管理は複雑でコストがかさむ。こうしたケースでは、トークン化技術を利用する方が現実的なこともある。

　トークン化技術とは、最初の認証や処理の後に、決済カードのデータや財務会計記録を特定の値、つまりトークンに置き換えることをいう。この技術は、暗号化に内在する導入と管理上の複雑さを解決する策としてもてはやされることもあり、実際にトークン化のソリューションは比較的柔軟性が高く、導入もシンプルになる。トークン化では多くの場合、最初に決済するときや利用するときを除き、決済データそのものを実際に移動させることはしない。トークンは無期限に保存できるので、決済用途や別の場所に保存されている実際のデータに後日アクセスするために、この値を保持して活用できる。大抵の場合、トークン化技術はデータ処理企業に外部委託して処理させる。これにより、幾つかの点でセキュリティ管理の業務負担を軽減できることもある。

　ただし、この外部委託はもろ刃の剣にもなりかねない。大手金融機関の多くは間違いなく、この種のセキュリティ管理を外部委託することに二の足を踏むだろう。いずれにしても、特定のポリシーやトークン化では対応できない技術要件、およびすべての決済データをその環境内において「トークン化」することの難しさが足かせとなり、外部委託は不可能かもしれない。大手の場合、単純にデータベースやストレージ環境全体を暗号化することにより、決済データや管理者がその存在を知らないデータさえ保護できることもある。トークン化はデータそのものを明示的に変えることで成り立っており、暗号によるコントロールをなくした場合、過失によるデータの流出や盗難につながることもある。こうした理由から、トークン化は現在のところ、要件が柔軟で、データの保存場所や利用方法、トークンの管理者、トークン処理・保存アプリケーションといったデータの管理について融通が利く、規模の小さな組織に適しているようだ。

　将来的にどちらの技術を取るか、業界として選択することはないだろう。メリットとデメリットはあっても、暗号化とトークン化が共存するチャンスは大いにある。社内でトークン化アプリケーションを導入した場合は、セキュリティ確保のためにトークン化サーバとストレージエリアを暗号化することも必要になる。また、トークン化ではアプリケーションと重要な決済データの使用事例を100％カバーすることはできないため、暗号化が必要になる可能性は高い。結局、単純なソリューションなど存在しないのだ。いずれの技術とも、社内でやるにしても外部委託するにしても、管理とメンテナンスが求められる。

本稿筆者のデイブ・シャックルフォード氏は、Sword and Shield Enterprise Securityのリスク・コンプライアンス担当ディレクター兼セキュリティ評価担当ディレクター代理。SANS公認インストラクターでもある。ConfiguresoftのCSO、Center for Internet SecurityのCTOを歴任し、Fortune 500社数社でセキュリティアーキテクト、アナリスト、マネジャーを務めた経歴を持つ。これらの役職に加え、コンプライアンスおよびセキュリティ、ネットワークアーキテクチャ、エンジニアリングについて数百社のコンサルティングを手掛けてきた。

印刷する