暗号化すべきデータかどうかを見極める

SMBのための暗号化プランニング

SMBにも効果的な暗号化が求められるようになっている。暗号化ツールは適切に導入すればメリットはあるが、使い方を誤ればリスクも大きい。

公開 2007年09月28日 05時00分

更新 2012年09月06日 13時28分

著者

Mike Rothman

[TechTarget]

印刷する Googleで優先するソースとして追加

　暗号化はカエサルの時代からあり、当時はローマの将軍の間で通信の秘密を守るのに単純な暗号が使われていた。その後多くが変化したが、すべてが変わったわけではない。

　暗号化はデータ保護に欠かせない存在だ。多くの組織、特に大企業ではいまも暗号を使って重要データを保護している。インターネットを使っている何億もの人々が自覚なしに暗号を使っているという事実を、カエサルは誇りに思うに違いない。

　問題は、暗号化が常に必要かどうかということだ。まず自問してみるといい。自分が何をしようとしているのか、自社の事業内容は何なのか。よく知られているところでは医療や金融機関は長年、暗号化を利用している。米HIPAA法（Health Insurance Portability and Accountability Act：医療保険の相互運用性と説明責任に関する法律）、包括的な金融制度改革法（Gramm-Leach-Bliley Act）といった法律は、これを義務付けるものだ。暗号化は適切に使えば確かに個人情報を守ることができ、こうした法律の精神に沿ったものになる。

　しかし新しい規制も導入されている。クレジットカード決済を受け付けるなら、Payment Card Industry Data Security Standard（PCI DSS：PCIデータセキュリティ基準）について知っておく必要がある。これは決済情報と顧客の個人情報の保護を義務付けるもので、一歩先を行って非常に多くの場面で暗号化の利用を義務付けている。

　では、SMBはいつどこで暗号化を適用すべきだろうか。

　適切な場面を選び不要な場面を避ければ、かなりの時間と予算が節約できる。核心となる概念は何千年も前からあったにしても、実装面ではいまでも多少課題が残る。残念ながら、暗号化ツールの多くは、SMBが効果的に利用するには、まだあまりに複雑だ。

　さらに悪いことに、使い方を誤れば相当なリスクもある。会社のデータを大量に暗号化した後で手違いがあり、暗号鍵を紛失または盗まれるようなことがあれば、経営が立ち行かなくなる。鍵がなければデータも開けない。単純なことだ。もちろん、鍵を取り戻してデータ損失を免れる手段は存在するが、この心配をしておく必要があることに変わりはない。

初歩の初歩

　自社あるいは契約しているサービス提供業者がまだ未対応の場合、やっておくべきことが2つある。

電子商取引のためのSSL

　自社が実行した電子商取引を保護するためのデジタル認証をeコマースサーバにロードしておく必要がある。SMBではショッピングカートのプロバイダーやWebホスティング企業にこれを任せているところが多い。

SSL（またはIPsec）によるVPN

　リモートユーザーとの通信セッションを保護する機能は何年も前から組み込まれている。さらに、MicrosoftとAppleはVPN（Virtual Private Network）クライアントをOSに組み込んでいる。つまりこれは既に存在しており、利用しさえすればいいのだ。

極めて重要

　自社のビジネスプロセスやコンプライアンス条件によっては、Whole Disk Encryption（Full Disk Encryption）という技術に目を向ける必要があるかもしれない。これは従業員がノートPCに保存して持ち歩く重要なデータを守るのに非常に便利だ。Microsoft（Vista搭載のBitLocker）、AppleともこれをOSで提供している。サードパーティー製品も多数存在する。

グレーゾーン

　以下に挙げる技術の暗号化は簡単ではないため、慎重を期すことが必要だ。

スマートフォン

　スマートフォン（BlackBerry、Treoなど）のデータを暗号化できる製品は存在するが、恐らくもっと簡単な方法があるはずだ。こうした端末は、間違ったパスワードを何度も入力すると情報が消去されるポリシーを採用している。例えばわたしのBlackberryは認証を10回間違えるとデータが吹き飛ぶので、なくした場合でもブルートフォース攻撃からは守られる。

電子メールの暗号化

　重要なメールは暗号化することも可能だが、これをやると大概はメリットよりも問題の方が大きくなる。この技術は複雑であり、前もってメールをやりとりしたい相手との間で多数の作業を済ませておく必要がある。

データベースの暗号化

　PCIでは決済情報暗号化の必要性を規定しているが、現実には（今のところ）補償的コントロールという抜け穴で別の防御策を講じることが認められており、データの暗号化を免れることが可能だ。ただ、これでいくと決めた場合、複雑になり高くつくことは知っておいた方がいい。

バックアップテープの暗号化

　情報流出がバックアップテープの紛失に起因しているケースはかなり多い。SMBはオンラインバックアップのオプションに目を向けた方がいい。テープを社外に保存する場合、忘れずに暗号化し、鍵をなくせばバックアップもなくなると肝に銘じておくことだ。

　暗号化は、日常的に使っていながら大抵はそのことを知らないというたぐいの技術だ。しかし新しい規制が登場している現在、自社にとってどんなところでこの技術が役に立つかを知っておくことには意味がある。まだ複雑で高くつくという点において、状況をよく見極めることが必要だ。

本稿筆者のマイク・ロスマン氏は、アトランタにある業界調査企業、Security Inciteの社長兼主任アナリストを務めており、著書に「The Pragmatic CSO: 12 Steps to Being a Security Master」がある。

印刷する

この記事の著者

Mike Rothman

SMBのための暗号化プランニング

初歩の初歩

電子商取引のためのSSL

SSL（またはIPsec）によるVPN

極めて重要

グレーゾーン

スマートフォン

電子メールの暗号化

データベースの暗号化

バックアップテープの暗号化

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

SMBのための暗号化プランニング

初歩の初歩

電子商取引のためのSSL

SSL（またはIPsec）によるVPN

極めて重要

グレーゾーン

スマートフォン

電子メールの暗号化

データベースの暗号化

バックアップテープの暗号化

この記事の著者

関連記事

VoIPトラフィックを暗号化する――その理由と方法

カード会員情報のセキュリティ基準「PCI DSS」への対応

日立の提言「情報は持たなければ漏えいしない」

米国大手企業が次々採用するEV SSL証明書の全貌

日立製作所が7万台の導入を目指すシンクライアントの実力と効果

24時間365日のセキュリティ監視・管理を高レベルで実現

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓