製品選定のポイント

　HDD暗号化製品の基本的な機能は、各製品ともそれほど変わらない。ベンダー各社は、補完機能の追加による安全性強化や対応プラットフォームの拡充などで差異化を図る。HDD暗号化製品の選定時に注目すべきポイントとして、以下の6つが挙げられる。

1. 製品の導入・管理方法
2. 多要素認証の可否
3. ファイル暗号化機能の有無
4. パスワードリセットの方法
5. 初期暗号化にかかる時間
6. OSや技術の対応状況

　以下、各選定ポイントについて詳しく見ていこう。

選定ポイント（1）：製品の導入・管理方法

　HDD暗号化製品はスタンドアロンで導入できるタイプと、管理サーバの構築・運用が必要なタイプがある。大量の端末にHDD暗号化製品導入する大企業の場合は、管理サーバを利用するタイプの方が管理負荷を軽減できる。小規模企業など、端末数が少なかったり専任管理者が設けられない場合は、スタンドアロンで導入可能な製品が適するだろう。

　スタンドアロンで利用する際の管理性に配慮した製品もある。日本セーフネットの「SafeNet ProtectDrive」は、パスワードの長さなどのポリシーを製品のインストーラに含めて配布できる。インストーラを実行すると、製品のインストール時にポリシーを自動設定する。

選定ポイント（2）：多要素認証の可否

　HDD暗号化製品は、端末起動時の認証が通ると、OSやファイルを自由に利用できてしまう。パスワードをなるべく長く複雑にするのは基本だが、より安全性を高めるには複数の認証手段を組み合わせた多要素認証が可能な製品を選択すべきだ。

　市販製品には、端末起動時にID／パスワードに加え、USBトークンやICカードなどを使った認証が可能な製品がある。ただし、USBトークンやICカードの価格はHDD暗号化製品の価格には含まれないのが一般的だ。

選定ポイント（3）：ファイル暗号化機能の有無

　OSが起動した後の安全性を高めるには、ファイル暗号化機能を備えたHDD暗号化製品を選択するのも1つの手だ。HDD暗号化製品の多くは、標準機能や有償オプションとして暗号化機能を用意する。

　ファイル暗号化機能を備えたHDD暗号化製品の場合、HDD暗号化とファイル暗号化のIDやパスワードなどをユーザー単位でまとめて管理できるという利点がある。

選定ポイント（4）：パスワードリセットの方法

　エンドユーザーがパスワードを忘れてしまった場合に備え、主要なHDD暗号化製品はパスワードを再設定することができる「パスワードリセット機能」を備える。製品選定に当たっては、利用可能なリセット方法に注目したい。

　多くの製品は、エンドユーザーと管理者との間で特定の情報をやりとりして正規のエンドユーザーであることを認証する「チャレンジ＆レスポンス方式」という手法を利用する。この手法の場合、IDやパスワードを保管する管理サーバの運用が必要となるのが一般的である。

　エンドユーザーだけが分かる秘密の質問に回答させることで認証する製品もある。この手法の場合、管理サーバを運用する必要はないが、管理者によるエンドユーザーの認証プロセスを設けることができないことに注意が必要だ。

選定ポイント（5）：初期暗号化にかかる時間

　HDD暗号化製品は、製品のインストール直後にHDD全体を暗号化（初期暗号化）する。初期暗号化中であってもファイルの作成や編集といった通常の作業は可能だ。そのため、エンドユーザーが自ら製品をインストールする場合、初期暗号化にかかる時間は大きな問題にはならない。

　ただし、「クライアントPCのキッティング時にHDD暗号化製品のインストールを完了させておく必要がある場合、初期暗号化の時間はなるべく短い方がよい」（シマンテックでシニアシステムエンジニアを務める寺田大地氏）はずだ。キッティングにかかる時間を見積もるためにも、初期暗号化にかかる時間を把握しておくべきだろう。

選定ポイント（6）：OSや技術の対応状況

　導入可能なOSの種類やバージョンについても確認が必要だ。複数のOSに対応していれば、単一の管理コンソールで管理できるなど運用管理の負荷軽減に効果を発揮する。

　市販のクライアントPCの中には、データ転送の高速化などを理由にRAID 0（ストライピング）などのRAID構成を取る製品がある。こうしたマシンを利用する際は、RAID対応のHDD暗号化製品が必要だ。ただし、RAID対応のHDD暗号化製品であっても、対応するRAIDのレベルは製品によって異なるので注意したい。

　また、物理セクタを従来の512バイトから4Kバイトへ拡張したHDD規格「Advanced Format」への対応状況も確認すべきだ（Advanced Formatについては「Windows 8で発生するアプリケーション互換性問題」も参照）。Advanced Formatに未対応のHDD暗号化製品の場合、「Advanced Format採用のHDDを搭載したマシンにはインストールできなかったり、インストールにかかる時間が極端に長くなる」（チェック・ポイント・ソフトウェア・テクノロジーズのシステム・エンジニアリング本部マネージャーを務める小高克明氏）。

導入・運用時の注意点

　HDD暗号化製品はOSなどのシステム領域を含めてHDDを丸ごと暗号化するため、クライアントPCに与える影響は小さくない。HDD暗号化製品の導入や運用に当たって注意すべき点を以下にまとめた。

注意点（1）：バックアップを小まめに取得

　HDD暗号化製品は、バグによってプリブートプログラムが正常に機能しなくなり、OSを起動できなくなる場合がある。HDDのデータを小まめにバックアップしておくことが不可欠だ。さらに「バックアップ先のデータをどう保護するかも検討すべき」（シマンテックの寺田氏）だろう。

注意点（2）：イメージで導入すると暗号鍵が同じに

　複数台のクライアントPCに対するキッティングを効率化するため、OSやアプリケーション、設定などをまとめたキッティング用イメージファイルを利用する場合もあるだろう。HDD暗号化製品をインストール済みのイメージファイルを作成することは可能だが、同じイメージファイルを適用したクライアントPCは暗号鍵が同じになってしまう点に注意すべきだ。

注意点（3）：導入前にはチェックディスクやデフラグを

　HDDに物理的な損傷があったり、ファイルの断片化（フラグメント）が発生している場合、インストールや起動に失敗したり、暗号化に時間がかかったりする。HDD暗号化製品の導入前に、チェックディスクやデフラグを済ませておくべきだ。

　TechTargetジャパンでは、今後HDD暗号化製品の比較記事を掲載する予定だ。