写真：KeySecureの筐体。ProtectVは、オンプレミス環境に設置したKeySecureで暗号鍵を管理する

　前述したKeySecureをオンプレミス環境に設置。暗号鍵の管理と復号処理をKeySecureで実行する仕組みを取り、クラウド事業者であっても暗号化されたデータを復号できないようにできる。KeySecureは、暗号鍵の生成や管理用の対タンパ性ハードウェア製品「HSM（Hardware Security Module）」。

　オンプレミスで暗号鍵が管理できることで、「『デジタルシュレッディング（デジタルデータの廃棄）』を徹底できる」のもメリットだ。クラウド事業者に、クラウド環境にあるデータの全削除を要求したとする。そのデータが本当に削除されたかどうかを、ユーザー企業が確認するのは難しい。ただし、手元で暗号鍵を管理していれば、暗号鍵を破棄するだけでデータを復号不可能にでき、データを実質的に破棄できる。

製品の特徴2：仮想マシンや管理サーバへのアクセスを制御

　ProtectVは、仮想マシンに対する操作をポリシーで制御する機能を持つ。どのユーザーがいつ仮想マシンを起動できるかといったポリシーを設定できる。ProtectV Managerに対しても、ロールベースのアクセス制御機能を搭載。全機能の利用が可能な「Admin」、ユーザーやロール関連の設定といった操作が可能な「User」、システムの監視や設定の閲覧のみに限定した「Observer」といったロールを用意する。これら以外のロールを作成することも可能だ（画面2）。

画面2：ProtectV Managerにおけるロールの作成例。アクセス制御を実現するロールは、標準で用意する3種類に加え、ユーザー企業のニーズに応じて作成することが可能

事例：Amazonクラウドの大規模ユーザーからの要望で開発

　国内では2012年11月に正式販売を開始したProtectV。欧米では、β版を含めて2011年から導入が進みつつあり、「オンラインゲームの開発や映画制作など、競合企業への情報漏えいを懸念する企業からの引き合いがある」という。

　ProtectV開発の発端となったのは、米国におけるAmazon Web Servicesの大規模ユーザーである金融関連企業の声だったという。「システム環境の大部分をパブリッククラウドに移行したい」と考えたその企業は、セキュリティ対策として暗号化の利用を検討した。だが暗号鍵をクラウドに保管することを懸念し、暗号鍵管理製品に強みを持つ米SafeNetに解決策を依頼。ProtectVの開発に至ったという。その後、同様のニーズが世界的にあると判断したSafeNetは、2012年8月にProtectVの一般販売に踏み切った。

今後の方向性：クラウド鍵管理や二要素認証が可能に

　日本セーフネットは、2013年2月をメドに、KeySecureを仮想アプライアンスとして提供する予定だ。これにより、ProtectVをクラウド環境のみで利用可能になる。「当然ながら、オンプレミスの暗号鍵管理よりもセキュリティレベルは下がる」ものの、ハードウェアの設置や管理の手間を省くことができる。その他、同時期には電子証明書を利用した2要素認証も実現するという。

　ProtectVは、HDD暗号化製品と同様、一度プリブート認証をパスすると、全てのデータが復号可能になることも課題となる。こうした課題については、ProtectVの機能拡張ではなく、別売の「SafeNet DataSecure」との併用を提案する方針だ。DataSecureは、データベースのカラム単位での暗号化やファイル暗号化などが可能な暗号化製品である。

　その他、現状は「暗号化適用前と比べ、約10～20％程度の遅延が発生する」ことも課題となる。遅延の程度はクラウド環境のサーバスペックやネットワーク環境にも依存するため、製品単体での解決は難しいものの、今後のバージョンアップでの改善が期待される。

製品価格と想定ユーザー企業

　価格は個別見積もりだが、仮想マシンが25インスタンス、暗号化対象のストレージ容量が25Tバイト分で、KeySecureを含む標準構成の場合、250万～300万円程度。

　ProtectVの主要なターゲットは、ERPなどの基幹系システムをクラウドへ移行するといった「クラウドを本気で使う企業」だという。「Amazonクラウドなど、主要なクラウドサービスを長期間利用する企業の中に、基幹系システムをクラウドへ移行させる動きがある。こうした企業に訴求していきたい」