データベース暗号化製品の現状

　まず、現在提供されているデータベース暗号化製品について整理しておこう。主要なデータベース暗号化製品を見ると、データベース管理システム（DBMS）の標準機能、有償オプション、サードパーティー製品に大きく分けることができる。DBMSの標準機能や有償オプションとして提供されるデータベース暗号化は、当然ながら対象のDBMSのみで利用可能である。一方のサードパーティー製品には、複数ベンダーのDBMSで利用できる製品が多い。

　DBMSの標準機能としてデータベース暗号化機能を搭載するのは、日本オラクルの「Oracle Database」や日本マイクロソフトの「Microsoft SQL Server」、日本アイ・ビー・エム（日本IBM）の「IBM DB2」などだ。日本オラクルは、データベース暗号化に加えてネットワーク暗号化や認証機能などを備えた有償オプション「Oracle Advanced Security」も販売する。

　サードパーティー製のデータベース暗号化製品の提供形式はソフトウェアとアプライアンスがある。アプライアンス製品の場合、暗号鍵の生成や管理用に対タンパ性を備える専用ハードウェア「HSM（Hardware Security Module）」を用意することが多い。ソフトウェアとして提供される製品には、医療業界で導入が進むソフトベンチャーの「eCipherGate」、1データベースサーバ当たり30万円程度からと低価格がウリのワールドスカイの「D'Amo」などがある。アプライアンスとして提供される製品は、日本セーフネットの「SafeNet DataSecure」やタレスジャパンの「Thales nShield」などだ。

※訂正履歴：掲載当初、サードパーティ製品としてEMCジャパンの「RSA Database Security Manager」を紹介していましたが、販売が終了しており後継製品もないため、削除いたしました。本稿は修正済みです。（2012/5/30 19:55）

データベース製品機能の機能向上のトレンド

　従来のデータベース暗号化製品には、システムのパフォーマンスが低下したり、莫大な導入コストが掛かるといった課題があった。だが最近のデータベース暗号化製品はこうした課題を解決すべく機能強化が進んでいる。以下、主要な機能強化のトレンドを見ていこう。

トレンド1：専用ハードウェア処理で高速化

　データベース暗号化の課題として指摘されることが多いのが、データベースのデータ検索時に発生する遅延である。例えば表（テーブル）全体をスキャンするフルテーブルスキャンを実行するとき、「検索キーが暗号化されたカラムにヒットする場合、暗号化されたデータベースにレコードが100万件あれば、100万件のレコードを全て復号しながら検索するため、ハードウェアに大きな負荷が掛かる」

※訂正履歴：遅延が発生する条件を明確にするため、文中に「例えば表（テーブル）全体をスキャンするフルテーブルスキャンを実行するとき」「検索キーが暗号化されたカラムにヒットする場合」という説明を加えました。本稿は修正済みです。（2012/5/31 12:20）

　最近は、データベースの暗号化や復号処理を専用ハードウェアで実行することで、パフォーマンス低下を防ぐ製品が増えている。例えばAESについては、暗号化や復号処理をハードウェアで直接実行するプロセッサ向け命令セット「AES-NI」を利用することで、処理を高速化する製品がある。またHSMなどの暗号化や復号専用のハードウェアを用意することで、データベースサーバへの負荷軽減を図った製品も提供されている。

トレンド2：オンライン暗号化でシステム停止を防ぐ

　製品導入に伴うシステム停止も課題の1つだ。特にオンライントランザクションシステムなど常時稼働が不可欠なシステムの場合、導入から暗号化終了までシステムを停止しなければならない従来型データベース暗号化製品の場合、導入が難しい場合が多かった。

　現在のデータベース暗号化製品は、データベースサーバに対する通常の処理を受け付けつつ、同時並行で暗号化や暗号鍵の更新などを実行する製品が主流になっている。さらに、初期設定においてもシステム停止を伴わないのが一般的だ。

※訂正履歴：掲載当初、「初期設定時には一時的にデータベースサーバへのアクセスを停止させる必要はあるものの、トータルの停止時間は1分程度で済む」としていましたが、最近のデータベース暗号化製品の多くは無停止での導入が可能であるため、「さらに、初期設定においてもシステム停止を伴わないのが一般的だ」に修正いたしました。本稿は修正済みです。（2012/5/31 12:20）

トレンド3：アプリケーションの修正なしで導入可能

　従来のデータベース暗号化製品はアプリケーションに暗号化機能を盛り込むため、アプリケーションのコード修正が必要な場合が多かった。最近のほとんどのデータベース暗号化製品は、暗号化処理をデータベースサーバや専用サーバで実行することでアプリケーションの改修を不要にした「透過的暗号化」を採用しており、導入時のハードルは下がっている。

　厳密にはデータベース暗号化ではないが、データの一部を乱数化して意味のない数列（トークン）に変換する「トークナイゼーション製品」もある。例えば、PCI DSSにおいてはトークン化されたデータは機密情報扱いではなくなるため、PCI DSS準拠を進める企業にとってはセキュリティ対策コストを抑制することができる。データ自体を変化させるために復号処理の必要がなく、システムの改修や負荷も最小限に抑えることができる。

今後の方向性：クラウド／オンプレミスDBの統合暗号化へ

　「Microsoft SQL Azure Database」や「Amazon Relational Database Service（Amazon RDS）」など、DBMSをクラウドサービスとして提供する動きが加速している。「クラウドデータベースとオンプレミスのデータベースの混在環境において、データをどのようにして統合的に保護するかが今後の課題となる」と高岡氏は指摘する。

　クラウドデータベースの暗号化機能の提供状況は、「クラウドサービス事業者に依存」するのが現状だ。技術開発という観点では、NTTが2012年2月、暗号鍵をクラウドで管理し、復号をクラウドで安全に実行する「クラウド鍵管理型暗号方式」という暗号方式を発表するなど、クラウド環境での暗号化技術は急速に充実しつつある。今後は、クラウドとオンプレミスのDBMSの暗号鍵管理を統合管理する製品やサービスが充実するだろうと高岡氏は見る。