導入効果：OS起動前の認証で盗難・紛失時のリスクを軽減

　HDD暗号化製品は、OSなどのシステム領域も含めてHDDを丸ごと暗号化する。HDDだけではなく、ソリッドステートドライブ（SSD）でも利用できる。端末の電源投入時、OSが起動する前に専用の認証画面を表示（写真）。認証が通ればHDDを復号し、OSを起動させる。端末の電源をオフにしておくという条件はあるが、端末が盗難・紛失に遭った場合に情報漏えいを防ぐ効果がある。

写真：HDD暗号化製品の認証画面（写真は日本セーフネットの「SafeNet ProtectDrive」）

　一部のHDD暗号化製品は、クライアントPCに加えてサーバでも利用できる。「工事現場など、物理的なセキュリティが十分でない場所にサーバを置く場合のセキュリティ対策としてのニーズがある」（日本セーフネットのエンタープライズ事業部第1営業部で部長を務める伊地田 隆広氏）という。

特徴：エンドユーザーに意識させることなく暗号化

　HDD暗号化製品の特徴は、エンドユーザーの負担を増やさずにセキュリティを強化できる点だ。ファイル単位の暗号化が可能な「ファイル暗号化製品」の場合、暗号化するファイルをエンドユーザーが明示的に指定する必要がある。HDD暗号化製品は、暗号化や復号の処理が自動で実行されるため、エンドユーザーが暗号化について意識する必要がない。

　ただし、OS起動後にエンドユーザーが開いたファイルは暗号化されていない点に注意が必要だ。メールに添付したり、USBメモリなどの外部記憶媒体に移動するファイルを暗号化するには、ファイル暗号化製品が必要になる。詳細は後述するが、こうした点を補うべく、HDD暗号化製品にファイル暗号化機能を加える動きがある。

製品の仕組み：プリブートプログラムと常駐エージェントで構成

　HDD暗号化製品は、端末起動時のユーザー認証を実行するプリブートプログラムと、OS起動後に暗号化や復号処理を実行するエージェントで構成される。複数台の端末の暗号化状況を一元管理するなどの機能を持つ管理サーバを用意する製品もある。

　HDD暗号化製品をインストールした直後のOS再起動時に、HDD全体の暗号化が実行される。この処理に必要な時間はHDDの容量や端末のスペックによって異なるが、数時間程度かかる場合もある。暗号化はエージェントがバックエンドで処理するため、暗号化処理中であってもファイルの作成や編集といった通常の作業は可能だ。暗号化処理の途中でOSをシャットダウンしたり端末の電源をオフにした場合は、OSの再起動後に処理を再開する。

　HDD製品のインストールが完了すると、HDDの先頭にあるマスターブートレコード（MBR）が書き換わり、OS起動前にプリブートプログラムが起動するようになる。プリブートプログラムはIDやパスワードによる認証画面を表示。認証をパスすると、プリブートプログラムはOSの起動に必要なデータを復号し、OSを起動させる。

　OSの起動後は、エージェントがファイルに対する操作を常時監視。HDDへのデータの書き込み時には暗号化処理、読み込み時には復号処理を自動実行する。

機能強化のトレンド

　HDD暗号化製品ベンダー各社は製品価値を向上すべく、製品機能の強化を続けている。以下、「処理速度向上」「安全性強化」「利便性向上」という3つの観点から機能強化のトレンドを見ていく。

処理速度向上：専用命令セットの活用

　HDD暗号化製品はファイルを開いたり保存するたびに暗号化や復号の処理をするため、パフォーマンスに対する影響は免れない。ベンダー各社は、暗号化や復号処理の工夫で処理速度向上を図る。

　一般的な暗号化方式である「AES」については、米Intelが用意するプロセッサ向け命令セット「AES-NI」を利用するという方法がある。暗号化や復号に必要な処理の一部をハードウェアで直接実行することで、処理を高速化する。マカフィーの「McAfee Endpoint Encryption for Devices」やチェック・ポイント・ソフトウェア・テクノロジーズの「Check Point Full Disk Encryption」、シマンテックの「PGP Whole Disk Encryption」などは、AES-NI対応のプロセサを検知すると、自動的にAES-NIを利用して暗号化／復号処理を実行する。

　こうした暗号化／復号処理の工夫やクライアントPCの性能向上により、パフォーマンスの低下はごくわずかに抑えられるという。「エンドユーザーが体感するほどのパフォーマンス低下はない」（チェック・ポイント・ソフトウェア・テクノロジーズのシステム・エンジニアリング本部でマネージャーを務める小高克明氏）

安全性強化：認証強化やファイル暗号化の統合が活発化

　上述の通り、HDD暗号化製品は端末起動時の認証が通ってしまうと、OSやファイルを自由に利用できてしまう。安全性を高めるため、ベンダー各社は認証機能の強化やファイル暗号化機能の追加といった対策を採る。

　認証面の強化策として、ID／パスワードに加えて他の認証手段を併用する2要素認証が利用可能な製品が増えている。キヤノンITソリューションズの「CompuSec」は、2要素認証の手段としてUSBトークンやICカードを利用可能なエディションを用意。日本セーフネットの「SafeNet ProtectDrive」は、同社のUSBトークンを有償オプションとして提供する。

　ファイル暗号化機能は、HDD暗号化では難しいファイルのやりとりにおける安全性確保に役立つ。ファイル暗号化機能を標準で備える製品には、ウインマジック・ジャパンの「SecureDoc」やキヤノンITソリューションズのCompuSec、シマンテックの「PGP Whole Disk Encryption」などがある。

利便性向上：パスワードリセット機能の充実が進む

　HDD暗号化製品を使って十分なセキュリティを確保するには、最低でもパスワードを10文字以上にすることをベンダー各社は推奨する。だがエンドユーザーにとって、長くて複雑なパスワードを覚えておくのは難しい。

　パスワードを忘れてしまった場合に備え、主要なHDD暗号化製品は、パスワードを再設定することができる「パスワードリセット機能」を備える。パスワードリセットを実行する人が正規のエンドユーザーであることを認証するため、エンドユーザーと管理者との間で特定の情報をやりとりする「チャレンジ＆レスポンス方式」という手法を利用する製品が多い。

　管理者に問い合わせることなくパスワードのリセットが可能な製品もある。HDD暗号化製品のインストール時に、そのエンドユーザーだけが分かる秘密の質問とその答えの組み合わせを幾つか登録しておく。認証時に質問に対する答えを正確に入力できればパスワードをリセットすることができる。

　TechTargetジャパンでは、今後HDD暗号化製品の選び方を解説した記事を掲載する予定だ。