暗号化すべきデータかどうかを見極める
SMBのための暗号化プランニング
SMBにも効果的な暗号化が求められるようになっている。暗号化ツールは適切に導入すればメリットはあるが、使い方を誤ればリスクも大きい。
暗号化はカエサルの時代からあり、当時はローマの将軍の間で通信の秘密を守るのに単純な暗号が使われていた。その後多くが変化したが、すべてが変わったわけではない。
暗号化はデータ保護に欠かせない存在だ。多くの組織、特に大企業ではいまも暗号を使って重要データを保護している。インターネットを使っている何億もの人々が自覚なしに暗号を使っているという事実を、カエサルは誇りに思うに違いない。
問題は、暗号化が常に必要かどうかということだ。まず自問してみるといい。自分が何をしようとしているのか、自社の事業内容は何なのか。よく知られているところでは医療や金融機関は長年、暗号化を利用している。米HIPAA法（Health Insurance Portability and Accountability Act：医療保険の相互運用性と説明責任に関する法律）、包括的な金融制度改革法（Gramm-Leach-Bliley Act）といった法律は、これを義務付けるものだ。暗号化は適切に使えば確かに個人情報を守ることができ、こうした法律の精神に沿ったものになる。
しかし新しい規制も導入されている。クレジットカード決済を受け付けるなら、Payment Card Industry Data Security Standard（PCI DSS：PCIデータセキュリティ基準）について知っておく必要がある。これは決済情報と顧客の個人情報の保護を義務付けるもので、一歩先を行って非常に多くの場面で暗号化の利用を義務付けている。
では、SMBはいつどこで暗号化を適用すべきだろうか。
適切な場面を選び不要な場面を避ければ、かなりの時間と予算が節約できる。核心となる概念は何千年も前からあったにしても、実装面ではいまでも多少課題が残る。残念ながら、暗号化ツールの多くは、SMBが効果的に利用するには、まだあまりに複雑だ。
さらに悪いことに、使い方を誤れば相当なリスクもある。会社のデータを大量に暗号化した後で手違いがあり、暗号鍵を紛失または盗まれるようなことがあれば、経営が立ち行かなくなる。鍵がなければデータも開けない。単純なことだ。もちろん、鍵を取り戻してデータ損失を免れる手段は存在するが、この心配をしておく必要があることに変わりはない。
初歩の初歩
自社あるいは契約しているサービス提供業者がまだ未対応の場合、やっておくべきことが2つある。
電子商取引のためのSSL
自社が実行した電子商取引を保護するためのデジタル認証をeコマースサーバにロードしておく必要がある。SMBではショッピングカートのプロバイダーやWebホスティング企業にこれを任せているところが多い。
SSL（またはIPsec）によるVPN
リモートユーザーとの通信セッションを保護する機能は何年も前から組み込まれている。さらに、MicrosoftとAppleはVPN（Virtual Private Network）クライアントをOSに組み込んでいる。つまりこれは既に存在しており、利用しさえすればいいのだ。
極めて重要
自社のビジネスプロセスやコンプライアンス条件によっては、Whole Disk Encryption（Full Disk Encryption）という技術に目を向ける必要があるかもしれない。これは従業員がノートPCに保存して持ち歩く重要なデータを守るのに非常に便利だ。Microsoft（Vista搭載のBitLocker）、AppleともこれをOSで提供している。サードパーティー製品も多数存在する。
グレーゾーン
以下に挙げる技術の暗号化は簡単ではないため、慎重を期すことが必要だ。
スマートフォン
スマートフォン（BlackBerry、Treoなど）のデータを暗号化できる製品は存在するが、恐らくもっと簡単な方法があるはずだ。こうした端末は、間違ったパスワードを何度も入力すると情報が消去されるポリシーを採用している。例えばわたしのBlackberryは認証を10回間違えるとデータが吹き飛ぶので、なくした場合でもブルートフォース攻撃からは守られる。
電子メールの暗号化
重要なメールは暗号化することも可能だが、これをやると大概はメリットよりも問題の方が大きくなる。この技術は複雑であり、前もってメールをやりとりしたい相手との間で多数の作業を済ませておく必要がある。
データベースの暗号化
PCIでは決済情報暗号化の必要性を規定しているが、現実には（今のところ）補償的コントロールという抜け穴で別の防御策を講じることが認められており、データの暗号化を免れることが可能だ。ただ、これでいくと決めた場合、複雑になり高くつくことは知っておいた方がいい。
バックアップテープの暗号化
情報流出がバックアップテープの紛失に起因しているケースはかなり多い。SMBはオンラインバックアップのオプションに目を向けた方がいい。テープを社外に保存する場合、忘れずに暗号化し、鍵をなくせばバックアップもなくなると肝に銘じておくことだ。
暗号化は、日常的に使っていながら大抵はそのことを知らないというたぐいの技術だ。しかし新しい規制が登場している現在、自社にとってどんなところでこの技術が役に立つかを知っておくことには意味がある。まだ複雑で高くつくという点において、状況をよく見極めることが必要だ。
本稿筆者のマイク・ロスマン氏は、アトランタにある業界調査企業、Security Inciteの社長兼主任アナリストを務めており、著書に「The Pragmatic CSO: 12 Steps to Being a Security Master」がある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？ 使い方や導入の流れは？ -
製品資料
[株式会社みらい翻訳] 音声翻訳活用の課題を解決、“本当に使える”ツールの特徴とは？ -
製品レビュー
[Wrike Japan 株式会社] 400店舗を支えるWalmart Canada、散在する情報やアナログな管理をどう変えた？ -
事例
[Wrike Japan 株式会社] 年間100件超のDXプロジェクトを統合管理、JERAはどのように実現した？ -
事例
[Wrike Japan 株式会社] グローバルなクリエイティブ業務を合理化、エスティーローダーに学ぶ実践のコツ
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
全社標準Copilotに絶望？ MS Copilotで問い合わせ6割減できた企業は何が違った
-
2
身代金支払いは逆効果 情シスのためのランサムウェア対策ガイド2026
-
3
自社を守る「SCS評価制度」活用法 7割の企業が取引先起点の情報漏えいに直面
-
4
ランサムウェア、暗号化の89％は深夜 情シスが備える「夜間の空白」対策
-
5
多要素認証導入済みでもランサムウェア被害に 復旧費用は平均2億7000万円
-
6
「技術屋」で終わるか、部長へ昇格するか 今取りたい「IT×ビジネスの認定資格」5選
-
7
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
8
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
9
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
10
AIエージェントを暴走させない設定、済んでますか？ 対策5選を専門家が紹介
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
8
AI時代に成功するための「ナレッジマネジメント」ベストプラクティス
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー