内部脅威を暗号化で防ぐ

ポータブルHDDとUSBメモリのより効果的な暗号化の見極め方

まずはどの程度のセキュリティが必要なのかを見極めた上で、ハードウェアとソフトウェアの暗号化製品の中から適切なものを選ぶといい。

公開 2011年02月09日 08時03分

更新 2012年09月04日 16時10分

著者

David Jacobs

[TechTarget]

印刷する

　WikiLeaks騒動のニュースを見て、従業員の携帯端末に保存されているデータのセキュリティ強化を検討している企業も多いことだろう。当初の報道によれば、WikiLeaksの情報を入手したのは23歳の兵士で、大量の政府機密文書をポータブルメディアデバイスにダウンロードしたとされる。これが大々的に報道され、実害をもたらしたことを受けて、ポータブルHDDのセキュリティとUSBメモリの暗号化についてセキュリティコンサルタントに助言を求めるCIOもいるかもしれない。

WikiLeaksの教訓──サービス提供中止リスクを回避するための戦略

USBメモリ経由の情報流出を防ぐには

【Q＆A】USBメモリの深刻なリスクとは？

マルウェア対策用USBメモリ携行の勧め

これだけは知っておきたい「USBウイルス」対応術

USBメモリの不正使用防止──Windows Vista編

　まずは製品選定前に、自社にはどのような対策が必要なのか、ニーズを見極めておく必要がある。そのためには以下6項目の基本事項を押さえておくとよいだろう。

どのようなデータがメディアデバイスに保存され、社外に持ち出されているのか。そのデータが外部に漏れた場合、どんなことになるのか
データをポータブルメディアデバイスに移さなければならない合理的な理由はあるか。クレジットカード番号、社会保障番号、個人を特定可能な医療情報などは、従業員が時間外労働のため自宅に持ち帰ることがあってはならない
従業員がうっかり紛失したり、意図的に盗んだりする不安はないか。不正をはたらく従業員は、暗号化されていようといまいと方法を見つけるだろう
データの行き先はどこか。例えば従業員がデータを自宅に持ち帰り、保護されていない自宅のコンピュータに移して作業をしていないか
従業員が自宅にノートPCを持ち帰る場合、HDDは暗号化されているか。駐車してある車の中にノートPCが見えれば、従業員のポケットの中のUSBメモリよりも盗まれる可能性は高い
USBポートは管理・監視されているか。本稿で紹介する通り、ポートを完全に無効化したり、デバイスに書き込めるファイルに制限を掛けたり、USBポートのトラフィックを記録したりできる製品が市販されている

　以上の問いに答えてUSBメモリなどの暗号化製品を購入すると決めたら、次は多様なハードウェアとソフトウェアの暗号化製品の中から適切なものを選べばいい。

ハードウェア暗号化

　ハードウェア暗号化のためには、暗号化専用に設計されたデバイスが必要になる。市販されている製品には、Systematic Development GroupのUSBメモリ暗号化製品「LOK-IT」、Apricornの「Aegis Padlock」ポータブルHDDなどがある。いずれの製品も、デバイスの外側のパッドに暗証番号を入力して使用する。正しい暗証番号を入力するまでは、コンピュータのOSにそのデバイスが認識されることもなければ、データが転送されることもない。暗証番号を確認すると、暗号化と暗号解除が全てデバイス内部で実行される。ホストコンピュータのソフトウェアは介在しないため、こうした製品はどんなOSを搭載したコンピュータからでも利用できる。

　いずれの製品も、暗証番号を推定して繰り返し入力する行為に耐えられるようになっている。誤った暗証番号を10回入力すると、LOK-ITは再フォーマットが必要になり、データは全て失われる。Aegis Padlockは6回誤ると電源を入れ直す必要が生じ、100回誤ると完全なリセットが必要になってHDD上の全データが消去される。

ソフトウェアの暗号化

　ソフトウェアの暗号化製品は、ホストコンピュータ上で実行されるソフトウェアを使ってポータブルデバイス上のデータの暗号化と暗号解除を行う。どのようなUSBメモリでもポータブルHDDでも暗号化できる。

　Windows 7にアップグレードした顧客なら、ポータブルHDDやUSBメモリの暗号化製品を選ぶのは簡単かもしれない。Windows 7に組み込まれている「BitLocker Drive Encryption」（もともとはWindows Vistaの機能だった）はPCのディスクボリュームの暗号化に対応している。Windows 7ではさらに、「BitLocker to Go」を使ったポータブルデバイスの暗号化もサポートしている。

Active Directoryで今すぐ始められるクライアントPC管理

Windows 7のセキュリティを強化する5つの対策

　Windows 7を使っていない場合、ベンダーがサポートしている製品や無料のソフトウェア暗号化製品多数の中から選ぶことになる。具体的にはENC Security Systemsの「EncryptStick」、MagicLab Softwareの「StorageCrypt」、TrueCrypt Foundationの無料ソフト「TrueCrypt」などがある。この3製品ともWindows XP以降のWindowsに対応している。EncryptStickとTrueCryptはMac OS Xに、TrueCryptはLinuxにも対応している。

　EncryptStickは無料の機能限定版と、有料のフル機能版がある。StorageCryptは有料製品を購入する前に、期限付きのトライアル版を無料でダウンロードできる。

潜在的リスクを想定したセキュリティニーズの評価

　製品を選ぶ前に、ハードウェアとソフトウェアの暗号化に関連したメリットを検討することが重要だ。ハードウェア暗号化製品のベンダーなら、ソフトウェア製品はハッキングされる恐れがあるため自分たちの製品の方が安全だと言うだろう。しかし一般的に、値段はハードウェア製品の方が高い。顧客は余分なコストを負担してもハードウェア暗号化製品を買う価値があるかどうか決める前に、ソフトウェアの暗号化がどのような状況で脆弱になるのかを理解する必要がある。

　ハードウェア暗号化のためには、ポータブルデバイス上にプロセッサが必要になる。多くのデバイスがそのような設計になっているのは、たとえ外部のケースを開けられたとしても、データにはアクセスできないようにするためた。その結果、暗号化対応のUSBメモリやポータブルHDDは、一般的なデバイスよりも値段が高くなる。

　ハードウェア暗号化製品と同様、ソフトウェア暗号化製品も暗証番号やパスワードを推定して繰り返し入力されれば破られる可能性はある。中にはタイムアウトを設定したり、一定回数を試みた後には入力を受け付けなくなる製品もあるが、このプロセスはソフトウェアで処理されるため、手慣れた攻撃者ならソフトウェアを改ざんして制限を回避できてしまうかもしれない。

　ソフトウェア製品の中には、暗証番号を確認してデバイス上で暗号化と暗号解除を行うものもある。その場合でも、実際の実行作業は接続されたコンピュータで行われるため、攻撃者に改ざんされる可能性は依然としてある。

　企業のIT管理者はポータブル暗号化デバイスをどのように使うか、データ流出に関連したリスクをどの程度容認できるかを見極めなければならない。例えば最高レベルのセキュリティを必要とする政府機関などの場合、デバイスはFederal Information Processing Standard（FIPS）規格に準拠したものでなければならない。それほど厳格なセキュリティが必要ない企業であれば、ソフトウェアの暗号化でそれほどコストを掛けずに十分なセキュリティ対策を提供できるだろう。

本稿筆者のデービッド・B・ジェイコブズ氏はThe Jacobs Groupに勤務し、ネットワーキング業界で20年以上の経験を持つ。最先端のソフトウェア開発プロジェクト管理、フォーチュン500企業やソフトウェア新興企業のコンサルティングを手掛けてきた。

印刷する