暗号化すべきデータかどうかを見極める
SMBのための暗号化プランニング
SMBにも効果的な暗号化が求められるようになっている。暗号化ツールは適切に導入すればメリットはあるが、使い方を誤ればリスクも大きい。
暗号化はカエサルの時代からあり、当時はローマの将軍の間で通信の秘密を守るのに単純な暗号が使われていた。その後多くが変化したが、すべてが変わったわけではない。
暗号化はデータ保護に欠かせない存在だ。多くの組織、特に大企業ではいまも暗号を使って重要データを保護している。インターネットを使っている何億もの人々が自覚なしに暗号を使っているという事実を、カエサルは誇りに思うに違いない。
問題は、暗号化が常に必要かどうかということだ。まず自問してみるといい。自分が何をしようとしているのか、自社の事業内容は何なのか。よく知られているところでは医療や金融機関は長年、暗号化を利用している。米HIPAA法（Health Insurance Portability and Accountability Act：医療保険の相互運用性と説明責任に関する法律）、包括的な金融制度改革法（Gramm-Leach-Bliley Act）といった法律は、これを義務付けるものだ。暗号化は適切に使えば確かに個人情報を守ることができ、こうした法律の精神に沿ったものになる。
しかし新しい規制も導入されている。クレジットカード決済を受け付けるなら、Payment Card Industry Data Security Standard（PCI DSS：PCIデータセキュリティ基準）について知っておく必要がある。これは決済情報と顧客の個人情報の保護を義務付けるもので、一歩先を行って非常に多くの場面で暗号化の利用を義務付けている。
では、SMBはいつどこで暗号化を適用すべきだろうか。
適切な場面を選び不要な場面を避ければ、かなりの時間と予算が節約できる。核心となる概念は何千年も前からあったにしても、実装面ではいまでも多少課題が残る。残念ながら、暗号化ツールの多くは、SMBが効果的に利用するには、まだあまりに複雑だ。
さらに悪いことに、使い方を誤れば相当なリスクもある。会社のデータを大量に暗号化した後で手違いがあり、暗号鍵を紛失または盗まれるようなことがあれば、経営が立ち行かなくなる。鍵がなければデータも開けない。単純なことだ。もちろん、鍵を取り戻してデータ損失を免れる手段は存在するが、この心配をしておく必要があることに変わりはない。
初歩の初歩
自社あるいは契約しているサービス提供業者がまだ未対応の場合、やっておくべきことが2つある。
電子商取引のためのSSL
自社が実行した電子商取引を保護するためのデジタル認証をeコマースサーバにロードしておく必要がある。SMBではショッピングカートのプロバイダーやWebホスティング企業にこれを任せているところが多い。
SSL（またはIPsec）によるVPN
リモートユーザーとの通信セッションを保護する機能は何年も前から組み込まれている。さらに、MicrosoftとAppleはVPN（Virtual Private Network）クライアントをOSに組み込んでいる。つまりこれは既に存在しており、利用しさえすればいいのだ。
極めて重要
自社のビジネスプロセスやコンプライアンス条件によっては、Whole Disk Encryption（Full Disk Encryption）という技術に目を向ける必要があるかもしれない。これは従業員がノートPCに保存して持ち歩く重要なデータを守るのに非常に便利だ。Microsoft（Vista搭載のBitLocker）、AppleともこれをOSで提供している。サードパーティー製品も多数存在する。
グレーゾーン
以下に挙げる技術の暗号化は簡単ではないため、慎重を期すことが必要だ。
スマートフォン
スマートフォン（BlackBerry、Treoなど）のデータを暗号化できる製品は存在するが、恐らくもっと簡単な方法があるはずだ。こうした端末は、間違ったパスワードを何度も入力すると情報が消去されるポリシーを採用している。例えばわたしのBlackberryは認証を10回間違えるとデータが吹き飛ぶので、なくした場合でもブルートフォース攻撃からは守られる。
電子メールの暗号化
重要なメールは暗号化することも可能だが、これをやると大概はメリットよりも問題の方が大きくなる。この技術は複雑であり、前もってメールをやりとりしたい相手との間で多数の作業を済ませておく必要がある。
データベースの暗号化
PCIでは決済情報暗号化の必要性を規定しているが、現実には（今のところ）補償的コントロールという抜け穴で別の防御策を講じることが認められており、データの暗号化を免れることが可能だ。ただ、これでいくと決めた場合、複雑になり高くつくことは知っておいた方がいい。
バックアップテープの暗号化
情報流出がバックアップテープの紛失に起因しているケースはかなり多い。SMBはオンラインバックアップのオプションに目を向けた方がいい。テープを社外に保存する場合、忘れずに暗号化し、鍵をなくせばバックアップもなくなると肝に銘じておくことだ。
暗号化は、日常的に使っていながら大抵はそのことを知らないというたぐいの技術だ。しかし新しい規制が登場している現在、自社にとってどんなところでこの技術が役に立つかを知っておくことには意味がある。まだ複雑で高くつくという点において、状況をよく見極めることが必要だ。
本稿筆者のマイク・ロスマン氏は、アトランタにある業界調査企業、Security Inciteの社長兼主任アナリストを務めており、著書に「The Pragmatic CSO: 12 Steps to Being a Security Master」がある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[株式会社ラクス] どうすれば「変革を楽しむ組織」になれるのか？ 事例に学ぶ、未来への一歩 -
製品レビュー
[デル・テクノロジーズ株式会社] 変化するサイバー脅威に備える、これからのストレージの選び方 -
事例
[サイボウズ株式会社] 受注約1.5倍と年間2万3000時間超の業務時間を削減、日機装に学ぶDX実践術 -
製品レビュー
[サイボウズ株式会社] 人材不足にどう挑む？ ものづくり太郎が語る、製造現場でのAI活用成功の鍵 -
市場調査・トレンド
[グーグル・クラウド・ジャパン合同会社] 金融機関はAIエージェント導入でどう変わる？ 7つの変化から19の事例まで解説
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
2
RAGで「データをAIに送る」運用が限界を迎えている理由
-
3
いまIBM iエンジニアが直面する「5つの技術的課題」とその解決策
-
4
セキュリティ担当者“試練の1週間” 「PHP」脆弱性と認証局の失態が同時発生
-
5
PHPはそもそも必要か？ 脆弱性で問われる自社サイト安全性と保守負担のバランス
-
6
SAPの負荷増に苦しむZeissが「リアルタイム分析」「安定運用」を両立させた道
-
7
「Kubernetesプラットフォーム」に関するアンケート
-
8
なぜ「Claude Code」拡張は消しても危ないのか？ Cursorで不正版配信
-
9
なぜストレージ不足は長引くのか？ 77％が「12〜18カ月続く」と予測
-
10
【基本情報技術者試験】データ消失リスクを防ぐ3つの「バックアップ手法」を比較
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
侵入から横展開まで27秒の脅威にどう立ち向かう？ 防御のカギがEDRの理由
-
3
有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは
-
4
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
5
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
6
なぜAIは組織で定着しないのか？ 全社展開を阻む「3つの壁」と突破のヒント
-
7
パスワードレスへの移行で失敗しないためには？ 導入・運用上の注意点を解説
-
8
自社のセキュリティ対策は大丈夫？ 自己診断リストで対策の優先順位が分かる
-
9
ランサムウェア攻撃“究極の対策”はこれだ
-
10
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー