内部脅威を暗号化で防ぐ
ポータブルHDDとUSBメモリのより効果的な暗号化の見極め方
まずはどの程度のセキュリティが必要なのかを見極めた上で、ハードウェアとソフトウェアの暗号化製品の中から適切なものを選ぶといい。
WikiLeaks騒動のニュースを見て、従業員の携帯端末に保存されているデータのセキュリティ強化を検討している企業も多いことだろう。当初の報道によれば、WikiLeaksの情報を入手したのは23歳の兵士で、大量の政府機密文書をポータブルメディアデバイスにダウンロードしたとされる。これが大々的に報道され、実害をもたらしたことを受けて、ポータブルHDDのセキュリティとUSBメモリの暗号化についてセキュリティコンサルタントに助言を求めるCIOもいるかもしれない。
まずは製品選定前に、自社にはどのような対策が必要なのか、ニーズを見極めておく必要がある。そのためには以下6項目の基本事項を押さえておくとよいだろう。
- どのようなデータがメディアデバイスに保存され、社外に持ち出されているのか。そのデータが外部に漏れた場合、どんなことになるのか
- データをポータブルメディアデバイスに移さなければならない合理的な理由はあるか。クレジットカード番号、社会保障番号、個人を特定可能な医療情報などは、従業員が時間外労働のため自宅に持ち帰ることがあってはならない
- 従業員がうっかり紛失したり、意図的に盗んだりする不安はないか。不正をはたらく従業員は、暗号化されていようといまいと方法を見つけるだろう
- データの行き先はどこか。例えば従業員がデータを自宅に持ち帰り、保護されていない自宅のコンピュータに移して作業をしていないか
- 従業員が自宅にノートPCを持ち帰る場合、HDDは暗号化されているか。駐車してある車の中にノートPCが見えれば、従業員のポケットの中のUSBメモリよりも盗まれる可能性は高い
- USBポートは管理・監視されているか。本稿で紹介する通り、ポートを完全に無効化したり、デバイスに書き込めるファイルに制限を掛けたり、USBポートのトラフィックを記録したりできる製品が市販されている
以上の問いに答えてUSBメモリなどの暗号化製品を購入すると決めたら、次は多様なハードウェアとソフトウェアの暗号化製品の中から適切なものを選べばいい。
ハードウェア暗号化
ハードウェア暗号化のためには、暗号化専用に設計されたデバイスが必要になる。市販されている製品には、Systematic Development GroupのUSBメモリ暗号化製品「LOK-IT」、Apricornの「Aegis Padlock」ポータブルHDDなどがある。いずれの製品も、デバイスの外側のパッドに暗証番号を入力して使用する。正しい暗証番号を入力するまでは、コンピュータのOSにそのデバイスが認識されることもなければ、データが転送されることもない。暗証番号を確認すると、暗号化と暗号解除が全てデバイス内部で実行される。ホストコンピュータのソフトウェアは介在しないため、こうした製品はどんなOSを搭載したコンピュータからでも利用できる。
いずれの製品も、暗証番号を推定して繰り返し入力する行為に耐えられるようになっている。誤った暗証番号を10回入力すると、LOK-ITは再フォーマットが必要になり、データは全て失われる。Aegis Padlockは6回誤ると電源を入れ直す必要が生じ、100回誤ると完全なリセットが必要になってHDD上の全データが消去される。
ソフトウェアの暗号化
ソフトウェアの暗号化製品は、ホストコンピュータ上で実行されるソフトウェアを使ってポータブルデバイス上のデータの暗号化と暗号解除を行う。どのようなUSBメモリでもポータブルHDDでも暗号化できる。
Windows 7にアップグレードした顧客なら、ポータブルHDDやUSBメモリの暗号化製品を選ぶのは簡単かもしれない。Windows 7に組み込まれている「BitLocker Drive Encryption」（もともとはWindows Vistaの機能だった）はPCのディスクボリュームの暗号化に対応している。Windows 7ではさらに、「BitLocker to Go」を使ったポータブルデバイスの暗号化もサポートしている。
Windows 7を使っていない場合、ベンダーがサポートしている製品や無料のソフトウェア暗号化製品多数の中から選ぶことになる。具体的にはENC Security Systemsの「EncryptStick」、MagicLab Softwareの「StorageCrypt」、TrueCrypt Foundationの無料ソフト「TrueCrypt」などがある。この3製品ともWindows XP以降のWindowsに対応している。EncryptStickとTrueCryptはMac OS Xに、TrueCryptはLinuxにも対応している。
EncryptStickは無料の機能限定版と、有料のフル機能版がある。StorageCryptは有料製品を購入する前に、期限付きのトライアル版を無料でダウンロードできる。
潜在的リスクを想定したセキュリティニーズの評価
製品を選ぶ前に、ハードウェアとソフトウェアの暗号化に関連したメリットを検討することが重要だ。ハードウェア暗号化製品のベンダーなら、ソフトウェア製品はハッキングされる恐れがあるため自分たちの製品の方が安全だと言うだろう。しかし一般的に、値段はハードウェア製品の方が高い。顧客は余分なコストを負担してもハードウェア暗号化製品を買う価値があるかどうか決める前に、ソフトウェアの暗号化がどのような状況で脆弱になるのかを理解する必要がある。
ハードウェア暗号化のためには、ポータブルデバイス上にプロセッサが必要になる。多くのデバイスがそのような設計になっているのは、たとえ外部のケースを開けられたとしても、データにはアクセスできないようにするためた。その結果、暗号化対応のUSBメモリやポータブルHDDは、一般的なデバイスよりも値段が高くなる。
ハードウェア暗号化製品と同様、ソフトウェア暗号化製品も暗証番号やパスワードを推定して繰り返し入力されれば破られる可能性はある。中にはタイムアウトを設定したり、一定回数を試みた後には入力を受け付けなくなる製品もあるが、このプロセスはソフトウェアで処理されるため、手慣れた攻撃者ならソフトウェアを改ざんして制限を回避できてしまうかもしれない。
ソフトウェア製品の中には、暗証番号を確認してデバイス上で暗号化と暗号解除を行うものもある。その場合でも、実際の実行作業は接続されたコンピュータで行われるため、攻撃者に改ざんされる可能性は依然としてある。
企業のIT管理者はポータブル暗号化デバイスをどのように使うか、データ流出に関連したリスクをどの程度容認できるかを見極めなければならない。例えば最高レベルのセキュリティを必要とする政府機関などの場合、デバイスはFederal Information Processing Standard（FIPS）規格に準拠したものでなければならない。それほど厳格なセキュリティが必要ない企業であれば、ソフトウェアの暗号化でそれほどコストを掛けずに十分なセキュリティ対策を提供できるだろう。
本稿筆者のデービッド・B・ジェイコブズ氏はThe Jacobs Groupに勤務し、ネットワーキング業界で20年以上の経験を持つ。最先端のソフトウェア開発プロジェクト管理、フォーチュン500企業やソフトウェア新興企業のコンサルティングを手掛けてきた。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
比較資料
[セコムトラストシステムズ株式会社] 「自社に合うEDR」はどれか分かる？ 比較・検討時の見極めポイントを解説 -
製品資料
[アルプス システム インテグレーション株式会社] まだ社内で眠らせたまま？ AI活用の糧となる「データ資産」を有効利用するには -
市場調査・トレンド
[AvePoint Japan株式会社] “SCS評価制度”対応の第一歩、自社環境と要求事項とのギャップを把握する方法 -
製品資料
[株式会社BREXA Technology] 情報整理の自動化でインシデントの初動対応を効率化、AIエージェント活用のコツ -
製品レビュー
[ヴィーム・ソフトウェア株式会社] SCS評価制度を導入するだけで十分？ 組織の防御力を高める活用方法とは
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
2
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
3
「WSUS」終了の時限爆弾 “本命”移行先ツールとMicrosoft提唱の新管理手法
-
4
VMware離れの決め手は“機能”以外だった 情シス109人が選んだ新基準と死角は
-
5
Claude Codeでは「エージェントを作るな、スキルを作れ」 Anthropicが示すAI構築術
-
6
パッチなしで「今すぐサーバを落とせ」 Kiteworks異例警告の波紋
-
7
「データストレージの活用方法」に関するアンケート
-
8
「企業におけるAIの運用」に関するアンケート
-
9
「IBM i（AS/400）はクローズドなシステム」という誤解 DXに寄与する一歩
-
10
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
ホワイトペーパーランキング PR
-
1
「Google Workspace」活用事例34選、先進の生成AIによる組織変革の全貌
-
2
Linuxのスキルを証明する“激推し”の認定資格はこれだ
-
3
バックアップは“取っているから大丈夫”なのか？ ランサムウェア時代の備え方
-
4
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
5
月1000枚の紙を削減 9年動けなかった組織が、業務改革のその先に得たもの
-
6
「改正物流効率化法対策」徹底解説 総物流費を抑制するサプライチェーン戦略
-
7
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
8
ソフトウェア開発の属人化と手戻りをどう防ぐ？ 速さと品質を両立させる方法
-
9
AI活用を停滞させる「2：6：2の壁」を乗り越えるためのポイントとは？
-
10
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー