内部脅威を暗号化で防ぐ
ポータブルHDDとUSBメモリのより効果的な暗号化の見極め方
まずはどの程度のセキュリティが必要なのかを見極めた上で、ハードウェアとソフトウェアの暗号化製品の中から適切なものを選ぶといい。
WikiLeaks騒動のニュースを見て、従業員の携帯端末に保存されているデータのセキュリティ強化を検討している企業も多いことだろう。当初の報道によれば、WikiLeaksの情報を入手したのは23歳の兵士で、大量の政府機密文書をポータブルメディアデバイスにダウンロードしたとされる。これが大々的に報道され、実害をもたらしたことを受けて、ポータブルHDDのセキュリティとUSBメモリの暗号化についてセキュリティコンサルタントに助言を求めるCIOもいるかもしれない。
まずは製品選定前に、自社にはどのような対策が必要なのか、ニーズを見極めておく必要がある。そのためには以下6項目の基本事項を押さえておくとよいだろう。
- どのようなデータがメディアデバイスに保存され、社外に持ち出されているのか。そのデータが外部に漏れた場合、どんなことになるのか
- データをポータブルメディアデバイスに移さなければならない合理的な理由はあるか。クレジットカード番号、社会保障番号、個人を特定可能な医療情報などは、従業員が時間外労働のため自宅に持ち帰ることがあってはならない
- 従業員がうっかり紛失したり、意図的に盗んだりする不安はないか。不正をはたらく従業員は、暗号化されていようといまいと方法を見つけるだろう
- データの行き先はどこか。例えば従業員がデータを自宅に持ち帰り、保護されていない自宅のコンピュータに移して作業をしていないか
- 従業員が自宅にノートPCを持ち帰る場合、HDDは暗号化されているか。駐車してある車の中にノートPCが見えれば、従業員のポケットの中のUSBメモリよりも盗まれる可能性は高い
- USBポートは管理・監視されているか。本稿で紹介する通り、ポートを完全に無効化したり、デバイスに書き込めるファイルに制限を掛けたり、USBポートのトラフィックを記録したりできる製品が市販されている
以上の問いに答えてUSBメモリなどの暗号化製品を購入すると決めたら、次は多様なハードウェアとソフトウェアの暗号化製品の中から適切なものを選べばいい。
ハードウェア暗号化
ハードウェア暗号化のためには、暗号化専用に設計されたデバイスが必要になる。市販されている製品には、Systematic Development GroupのUSBメモリ暗号化製品「LOK-IT」、Apricornの「Aegis Padlock」ポータブルHDDなどがある。いずれの製品も、デバイスの外側のパッドに暗証番号を入力して使用する。正しい暗証番号を入力するまでは、コンピュータのOSにそのデバイスが認識されることもなければ、データが転送されることもない。暗証番号を確認すると、暗号化と暗号解除が全てデバイス内部で実行される。ホストコンピュータのソフトウェアは介在しないため、こうした製品はどんなOSを搭載したコンピュータからでも利用できる。
いずれの製品も、暗証番号を推定して繰り返し入力する行為に耐えられるようになっている。誤った暗証番号を10回入力すると、LOK-ITは再フォーマットが必要になり、データは全て失われる。Aegis Padlockは6回誤ると電源を入れ直す必要が生じ、100回誤ると完全なリセットが必要になってHDD上の全データが消去される。
ソフトウェアの暗号化
ソフトウェアの暗号化製品は、ホストコンピュータ上で実行されるソフトウェアを使ってポータブルデバイス上のデータの暗号化と暗号解除を行う。どのようなUSBメモリでもポータブルHDDでも暗号化できる。
Windows 7にアップグレードした顧客なら、ポータブルHDDやUSBメモリの暗号化製品を選ぶのは簡単かもしれない。Windows 7に組み込まれている「BitLocker Drive Encryption」（もともとはWindows Vistaの機能だった）はPCのディスクボリュームの暗号化に対応している。Windows 7ではさらに、「BitLocker to Go」を使ったポータブルデバイスの暗号化もサポートしている。
Windows 7を使っていない場合、ベンダーがサポートしている製品や無料のソフトウェア暗号化製品多数の中から選ぶことになる。具体的にはENC Security Systemsの「EncryptStick」、MagicLab Softwareの「StorageCrypt」、TrueCrypt Foundationの無料ソフト「TrueCrypt」などがある。この3製品ともWindows XP以降のWindowsに対応している。EncryptStickとTrueCryptはMac OS Xに、TrueCryptはLinuxにも対応している。
EncryptStickは無料の機能限定版と、有料のフル機能版がある。StorageCryptは有料製品を購入する前に、期限付きのトライアル版を無料でダウンロードできる。
潜在的リスクを想定したセキュリティニーズの評価
製品を選ぶ前に、ハードウェアとソフトウェアの暗号化に関連したメリットを検討することが重要だ。ハードウェア暗号化製品のベンダーなら、ソフトウェア製品はハッキングされる恐れがあるため自分たちの製品の方が安全だと言うだろう。しかし一般的に、値段はハードウェア製品の方が高い。顧客は余分なコストを負担してもハードウェア暗号化製品を買う価値があるかどうか決める前に、ソフトウェアの暗号化がどのような状況で脆弱になるのかを理解する必要がある。
ハードウェア暗号化のためには、ポータブルデバイス上にプロセッサが必要になる。多くのデバイスがそのような設計になっているのは、たとえ外部のケースを開けられたとしても、データにはアクセスできないようにするためた。その結果、暗号化対応のUSBメモリやポータブルHDDは、一般的なデバイスよりも値段が高くなる。
ハードウェア暗号化製品と同様、ソフトウェア暗号化製品も暗証番号やパスワードを推定して繰り返し入力されれば破られる可能性はある。中にはタイムアウトを設定したり、一定回数を試みた後には入力を受け付けなくなる製品もあるが、このプロセスはソフトウェアで処理されるため、手慣れた攻撃者ならソフトウェアを改ざんして制限を回避できてしまうかもしれない。
ソフトウェア製品の中には、暗証番号を確認してデバイス上で暗号化と暗号解除を行うものもある。その場合でも、実際の実行作業は接続されたコンピュータで行われるため、攻撃者に改ざんされる可能性は依然としてある。
企業のIT管理者はポータブル暗号化デバイスをどのように使うか、データ流出に関連したリスクをどの程度容認できるかを見極めなければならない。例えば最高レベルのセキュリティを必要とする政府機関などの場合、デバイスはFederal Information Processing Standard（FIPS）規格に準拠したものでなければならない。それほど厳格なセキュリティが必要ない企業であれば、ソフトウェアの暗号化でそれほどコストを掛けずに十分なセキュリティ対策を提供できるだろう。
本稿筆者のデービッド・B・ジェイコブズ氏はThe Jacobs Groupに勤務し、ネットワーキング業界で20年以上の経験を持つ。最先端のソフトウェア開発プロジェクト管理、フォーチュン500企業やソフトウェア新興企業のコンサルティングを手掛けてきた。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
10
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー