一口に暗号化製品といっても、保護対象や手法によって幾つかに分類される。データやファイルの保護に焦点を当てた場合、主要な製品分野は次の3つとなる。

• データベース暗号化
• ファイル暗号化
• HDD暗号化

　各暗号化製品の導入効果や注意点を見ていこう。

データベース暗号化製品

　データベース暗号化は、データベースのオブジェクト全体や表単位、カラム（列）単位でデータベースを暗号化する。カラム単位の暗号化はデータベース全体を暗号化するよりも処理速度を向上させることができ、米SafeNetの「DataSecure」などがカラム単位の暗号化機能を備える。

導入効果：データベース全体や列単位を保護

　データベースのオブジェクト全体や表単位で暗号化することで、データベースが丸ごと盗まれた場合の情報漏えいを防ぐことができる。保護すべきカラムが明確な場合は、カラム単位の暗号化によってリスクを軽減しつつ処理速度への影響を抑えることができる。

　ただしガートナーの石橋氏によると、オブジェクト全体や表単位のデータベース暗号化であっても暗号化／復号処理の高速化が進んでおり、処理速度の遅延は「実用上ほぼ気にならないレベル」になっているという。

注意点：復号済みデータは保護対象外

　1つ目は、暗号化されたデータベースから一度復号して取り出したデータは暗号化されないことだ。「この点を見落として導入してしまう企業も少なくない」（石橋氏）

　2つ目は、SQLインジェクションなど、正規ユーザーになりすましてデータを抽出する攻撃手法には効果がないことだ。不正なSQLのブロックなど別の対策を併用する必要がある。

ファイル暗号化製品

　ファイル暗号化は個人情報保護法の施行を機に導入が進んだ。暗号化の中では最も広く普及している技術の1つであり、個人向けの無料ツールから高機能ツールまで、その種類は幅広い。

導入効果：攻撃者の注目の的、「ファイル」盗難時の情報漏えいを防ぐ

　最近の攻撃者はデータをむやみに盗み出すのではなく、ExcelファイルやWordファイルなど、価値あるデータが抽出されているファイルを選んで盗む傾向があると石橋氏は指摘する。「データを解析するのに時間をかけるより、重要なデータがまとまったファイルを盗んだ方が攻撃者にとって効率的だからだ」

　ファイル暗号化製品でファイルサーバ内のファイルや電子メールの添付ファイルなどを暗号化しておけば、ファイルが攻撃者の手に渡った場合でも内容が確認されるのを防ぐことができる。

注意点：復号にクライアントソフトが必要

　ファイル暗号化製品は、復号用のクライアントソフトウェアが必要になるケースが一般的だ。暗号化したファイルを取引先に送る場合、クライアントソフトウェアのインストールについても通知しておく必要がある。

　またメールで暗号化済みのファイルを送信した際、送り先の企業にあるメールフィルタリングソフトなどが暗号化済みファイルをマルウェアと誤検知するなどのトラブルが発生するケースがあると石橋氏は指摘する。

HDD暗号化製品

　HDD暗号化は、OSやデータを含むHDD全体を丸ごと暗号化する技術だ。クライアントPCの電源を入れると、HDD暗号化製品がIDやパスワードなどの入力を求める。認証が通るとデータが復号され、OSを起動することができるという仕組みだ。

導入効果：ノートPCの盗難・紛失時の情報漏えい防止に最適

　主に持ち出しノートPCの紛失・盗難時の情報漏えい対策に役立つ。復号に必要なツールはHDDの中に導入するため、ネットワーク接続がない状態でも利用できる。

注意点：パスワードリセットの機能制限に注意

　データベース暗号化と同様、いったん復号してしまったHDDのデータは暗号化されていない。また石橋氏は、製品によってパスワードリセットの方法が異なることについても注意すべきだと指摘する。1端末当たり1万5000円程度の高価格帯の製品は、パスワードを忘れたときにチャレンジ＆レスポンス方式でパスワードをリセットする機能を備える。安価な製品はそうした機能を備えないため、海外出張時にパスワードを忘れるとOSを起動できなくなる可能性がある。

最新トレンド：企業向けDRMや補完技術の普及が進む

　ファイル暗号化の1つで今後重要性が高まると考えられるのが「企業向けDRM（Digital Rights Management）」である。IRM（Information Rights Management）やRMS（Rights Management Service）などとも呼ばれるこの技術は、Microsoft WordやExcel、PowerPoint、PDFといったファイルをロール（役割）ベースやグループ単位で保護する。一般的なファイル暗号化がファイルと利用可能者を1対1でひも付けるのに対して、企業向けDRMは部署単位やプロジェクト単位でファイルの利用可能者を指定できる。韓国のFasoo.comなど独立系ベンダー各社が製品を販売しており、選択肢は多い。

　企業向けDRMは、ガートナーが新技術などへの期待値と現実をまとめた「ハイプサイクル」において「幻滅期」（興味が失われる一方で、初期導入者と生存ベンダーが改善を繰り返して満足度を高める時期）に位置する（図）。今後は製品の機能拡張や使いやすさの改善が進んでいくだろう。

　厳密には暗号化ではないが、最近はクレジットカードのデータの一部を意味のなさないデータに置換する「トークン化」という技術を暗号化製品と組み合わせて導入する企業が増えている。決済処理などの多くはカード番号が丸ごと必要になるわけではない。トークン化技術を利用すれば、カード番号の一部をランダムに生成した数字に置き換えて、通常の処理はその数字を使って実行し、実際のカード番号が必要であれば暗号化されたカード番号を復号するといったことが可能になる。EMCジャパンの「RSA Data Protection Manager」はトークン化製品の1つだ。

　この他、データ型やデータ形式などを維持しながらデータを隠す「データマスキング」という技術もある。これは、テストデータを開発委託先に渡すときの漏えいリスクを防ぐ効果がある。いずれも暗号化とは違うが、補完技術になる。

　今後は暗号化製品同士の融合や組み合わせが進むだろうと石橋氏は指摘する。英Sophosによる独Utimaco Safewareの買収など、ウイルス対策ベンダーがHDD暗号化製品ベンダーの買収を活発化させていることも、この動きを加速する原動力になるといえる。

暗号化製品導入の注意点：導入目的の明確化と組み合わせが肝

　暗号化製品の特徴をそれぞれ見てきたが、では実際に導入するとき、どういった点に留意すればよいのか。ポイントは、次の3つに集約される。

• “何となく”入れない
• 守りたいものを明確にする
• 組み合わせで考える

　まず、どの製品についてもいえることだが、「何となく入れてみた」ではコストの無駄で、最大限の効果も引き出せない。導入目的を明確にすることがまず必要になる。

　次に、守りたいものをはっきりさせることだ。守るべき対象によって、選ぶべき製品分野が見えてくる。セキュリティ強度を上げるためにむやみに暗号化を適用しても、パフォーマンスや利便性を無駄に低下させる危険性がある。「このデータを失ったら企業として存続できないといったように、本当に守らなければならないデータは必ずある。それを洗い出し、確実に保護する体制を構築すべきだ」（石橋氏）

　最後は、組み合わせで考えることだ。暗号化製品は何か1つ導入すれば大丈夫というものではない。適材適所に必要な機能を実装することで効果を発揮する。そのためには、「自社のニーズに合った機能を見極め、それに特化した専用製品を選択するとよい」と石橋氏は強調する。

　企業はバリューチェーンでつながっている。そのうち1社のセキュリティ対策が甘ければ、情報漏えいの被害が発生してしまうリスクがある。暗号化製品を戦略的に取り入れるのが必要な時代になったといえよう。