内部脅威を暗号化で防ぐ
ポータブルHDDとUSBメモリのより効果的な暗号化の見極め方
まずはどの程度のセキュリティが必要なのかを見極めた上で、ハードウェアとソフトウェアの暗号化製品の中から適切なものを選ぶといい。
WikiLeaks騒動のニュースを見て、従業員の携帯端末に保存されているデータのセキュリティ強化を検討している企業も多いことだろう。当初の報道によれば、WikiLeaksの情報を入手したのは23歳の兵士で、大量の政府機密文書をポータブルメディアデバイスにダウンロードしたとされる。これが大々的に報道され、実害をもたらしたことを受けて、ポータブルHDDのセキュリティとUSBメモリの暗号化についてセキュリティコンサルタントに助言を求めるCIOもいるかもしれない。
まずは製品選定前に、自社にはどのような対策が必要なのか、ニーズを見極めておく必要がある。そのためには以下6項目の基本事項を押さえておくとよいだろう。
- どのようなデータがメディアデバイスに保存され、社外に持ち出されているのか。そのデータが外部に漏れた場合、どんなことになるのか
- データをポータブルメディアデバイスに移さなければならない合理的な理由はあるか。クレジットカード番号、社会保障番号、個人を特定可能な医療情報などは、従業員が時間外労働のため自宅に持ち帰ることがあってはならない
- 従業員がうっかり紛失したり、意図的に盗んだりする不安はないか。不正をはたらく従業員は、暗号化されていようといまいと方法を見つけるだろう
- データの行き先はどこか。例えば従業員がデータを自宅に持ち帰り、保護されていない自宅のコンピュータに移して作業をしていないか
- 従業員が自宅にノートPCを持ち帰る場合、HDDは暗号化されているか。駐車してある車の中にノートPCが見えれば、従業員のポケットの中のUSBメモリよりも盗まれる可能性は高い
- USBポートは管理・監視されているか。本稿で紹介する通り、ポートを完全に無効化したり、デバイスに書き込めるファイルに制限を掛けたり、USBポートのトラフィックを記録したりできる製品が市販されている
以上の問いに答えてUSBメモリなどの暗号化製品を購入すると決めたら、次は多様なハードウェアとソフトウェアの暗号化製品の中から適切なものを選べばいい。
ハードウェア暗号化
ハードウェア暗号化のためには、暗号化専用に設計されたデバイスが必要になる。市販されている製品には、Systematic Development GroupのUSBメモリ暗号化製品「LOK-IT」、Apricornの「Aegis Padlock」ポータブルHDDなどがある。いずれの製品も、デバイスの外側のパッドに暗証番号を入力して使用する。正しい暗証番号を入力するまでは、コンピュータのOSにそのデバイスが認識されることもなければ、データが転送されることもない。暗証番号を確認すると、暗号化と暗号解除が全てデバイス内部で実行される。ホストコンピュータのソフトウェアは介在しないため、こうした製品はどんなOSを搭載したコンピュータからでも利用できる。
いずれの製品も、暗証番号を推定して繰り返し入力する行為に耐えられるようになっている。誤った暗証番号を10回入力すると、LOK-ITは再フォーマットが必要になり、データは全て失われる。Aegis Padlockは6回誤ると電源を入れ直す必要が生じ、100回誤ると完全なリセットが必要になってHDD上の全データが消去される。
ソフトウェアの暗号化
ソフトウェアの暗号化製品は、ホストコンピュータ上で実行されるソフトウェアを使ってポータブルデバイス上のデータの暗号化と暗号解除を行う。どのようなUSBメモリでもポータブルHDDでも暗号化できる。
Windows 7にアップグレードした顧客なら、ポータブルHDDやUSBメモリの暗号化製品を選ぶのは簡単かもしれない。Windows 7に組み込まれている「BitLocker Drive Encryption」（もともとはWindows Vistaの機能だった）はPCのディスクボリュームの暗号化に対応している。Windows 7ではさらに、「BitLocker to Go」を使ったポータブルデバイスの暗号化もサポートしている。
Windows 7を使っていない場合、ベンダーがサポートしている製品や無料のソフトウェア暗号化製品多数の中から選ぶことになる。具体的にはENC Security Systemsの「EncryptStick」、MagicLab Softwareの「StorageCrypt」、TrueCrypt Foundationの無料ソフト「TrueCrypt」などがある。この3製品ともWindows XP以降のWindowsに対応している。EncryptStickとTrueCryptはMac OS Xに、TrueCryptはLinuxにも対応している。
EncryptStickは無料の機能限定版と、有料のフル機能版がある。StorageCryptは有料製品を購入する前に、期限付きのトライアル版を無料でダウンロードできる。
潜在的リスクを想定したセキュリティニーズの評価
製品を選ぶ前に、ハードウェアとソフトウェアの暗号化に関連したメリットを検討することが重要だ。ハードウェア暗号化製品のベンダーなら、ソフトウェア製品はハッキングされる恐れがあるため自分たちの製品の方が安全だと言うだろう。しかし一般的に、値段はハードウェア製品の方が高い。顧客は余分なコストを負担してもハードウェア暗号化製品を買う価値があるかどうか決める前に、ソフトウェアの暗号化がどのような状況で脆弱になるのかを理解する必要がある。
ハードウェア暗号化のためには、ポータブルデバイス上にプロセッサが必要になる。多くのデバイスがそのような設計になっているのは、たとえ外部のケースを開けられたとしても、データにはアクセスできないようにするためた。その結果、暗号化対応のUSBメモリやポータブルHDDは、一般的なデバイスよりも値段が高くなる。
ハードウェア暗号化製品と同様、ソフトウェア暗号化製品も暗証番号やパスワードを推定して繰り返し入力されれば破られる可能性はある。中にはタイムアウトを設定したり、一定回数を試みた後には入力を受け付けなくなる製品もあるが、このプロセスはソフトウェアで処理されるため、手慣れた攻撃者ならソフトウェアを改ざんして制限を回避できてしまうかもしれない。
ソフトウェア製品の中には、暗証番号を確認してデバイス上で暗号化と暗号解除を行うものもある。その場合でも、実際の実行作業は接続されたコンピュータで行われるため、攻撃者に改ざんされる可能性は依然としてある。
企業のIT管理者はポータブル暗号化デバイスをどのように使うか、データ流出に関連したリスクをどの程度容認できるかを見極めなければならない。例えば最高レベルのセキュリティを必要とする政府機関などの場合、デバイスはFederal Information Processing Standard（FIPS）規格に準拠したものでなければならない。それほど厳格なセキュリティが必要ない企業であれば、ソフトウェアの暗号化でそれほどコストを掛けずに十分なセキュリティ対策を提供できるだろう。
本稿筆者のデービッド・B・ジェイコブズ氏はThe Jacobs Groupに勤務し、ネットワーキング業界で20年以上の経験を持つ。最先端のソフトウェア開発プロジェクト管理、フォーチュン500企業やソフトウェア新興企業のコンサルティングを手掛けてきた。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社インターネットイニシアティブ] 人材不足と属人化が深刻に 「攻められない情シス」を変革する一手とは？ -
製品資料
[株式会社イトーキ] 会議室が「空いてるのに使えない」問題の解決策とは？ -
事例
[株式会社イトーキ] 製造現場を取り巻く経営課題 「持続的な現場力」を強化する方法とは？ -
製品資料
[株式会社イトーキ] 社員の力を引き出す、「ABW（Activity Based Working）」を実現する秘訣とは？ -
製品資料
[株式会社BREXA Technology] 「インシデント初動対応」が遅れる3つの構造的要因とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Active Directory」復旧で“詰む”企業が続出 ランサムウェアに備える4対策
-
2
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
3
なぜノートPCの更新が「4年→6年」に？ AIインフラ急拡大の余波
-
4
企業が「Microsoft Azure」を選ばざるを得ない理由
-
5
「RAGは終わった」は本当か――ロングコンテキストが変えたこと、変えられないこと
-
6
複雑化するフォント管理に終止符を Monotypeが提唱する安全な運用方法
-
7
なぜMicrosoftは「Rust」を標準言語に？ AIで進むC/C++書き換えの課題
-
8
従業員1600人、端末2000台のID管理を一元化 急成長タイミーの選択
-
9
“RAG is dead”は本当？ AIエージェントが切り拓く「次世代RAG」と検索の未来
-
10
「セキュリティ運用と侵入後の初動防御」に関するアンケート
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
AIが苦手な「汚いデータ」になっていない？ AI投資を無駄にしないための注意点
-
3
急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要？
-
4
法人向け光回線のプランはどう選ぶ？ 機能面／保守体制／コストを一覧で比較
-
5
三井ホームに学ぶ「無線LAN環境」構築 快適なオフィスと高度なIT運用の両立法
-
6
SNMPより詳細で、パケット解析より簡単な「トラフィック可視化・分析」の方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
「RPA導入の成果が出ない」を防ぐ、成果につながる自動化対象業務の選び方
-
9
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
10
サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー