2022年12月15日に開催された、「ITセキュリティフォーラム2022 Winter 法的リスクから見るデータ保護および証拠保全の重要性」のイベントよりキヤノンITソリューションズ株式会社の太田高明氏の講演のレポートをお届けする。
キヤノンITソリューションズ株式会社
サイバーセキュリティ技術開発本部
技術部
太田高明氏
企業にとって、個人情報や機密情報などの重要なデータを保護する情報漏えい対策は、健全なビジネスのために欠かすことのできない施策の1つである。特に昨今は、ビジネスや業務のデジタル化によって多種多様なデータを扱うようになり、データ保護も複雑化している。自社に最適で包括的な施策を選択することも、重要な要素である。
データ保護施策において、高い効果を期待できる技術が「データ暗号化」である。いずれかのファイルを盗まれたとしても、暗号化されていれば犯罪者が内容を盗み見ることは難しい。ただし、暗号化の技術やツールを正しく運用しなければ強固な安全性を保つことはできず、むしろ従業員の利便性を大きく損ねて安全性を低下させてしまう恐れもある。
キヤノンITソリューションズ サイバーセキュリティ技術開発本部 技術部の太田高明氏は、暗号化運用における「鍵管理」の重要性を説き、利便性と安全性を両立させるソリューションについて解説した。
強力かつ包括的なデータ保護がビジネスを守る
警視庁が2022年9月、『令和4年上半期におけるサイバー空間をめぐる脅威の情勢等について』において、ランサムウェアの被害は依然として多く、社会経済に大きな影響を及ぼしていると警告している。被害件数は2021年上半期の2倍近くに上り、対策が不十分になりがちな中小企業の被害が過半数を占めた。さらに半数超の被害組織が、調査や復旧に1,000万円以上を要したとのことだ。
また情報処理推進機構（IPA）による2020年の調査『企業における営業秘密管理に関する実態調査2020』では、「中途退職者による情報漏えい」が非常に多いことがわかった。同機構の『情報セキュリティ10大脅威 2022』においても「内部不正による情報漏えい」を第5位にランクインするなど、身近に潜む情報漏えいリスクへの備えが必要であることを示唆している。
一方で、2022年4月に施行された『令和2年改正個人情報保護法』では、個人情報の漏えいが発生した場合、個人情報保護委員会への報告および本人への通知が義務化された。ただし同法では、報告義務が発生するケースにおいても、対象となる個人データに「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合においては、報告が不要とされている。
高度な暗号化とは、データベースやファイルの“暗号化データ”とその“暗号鍵”を分離するとともに、暗号鍵事態の漏えいを防止する適切な措置が講じられていること。そして第三者が暗号鍵を利用できないように設計されていることなどが挙げられる。
「セキュリティ対策においては、不要なデータを消去することも重要な施策の1つです。米国国立標準技術研究所のガイドライン（NIST SP800-88 rev.1）では、“強力な暗号を利用している場合、対象データの抹消処理は暗号鍵のデータ抹消処理に置き換えられる”としています。いわゆる暗号化消去（Cryptographic Erase：CE）によって、他の技術よりも高速かつ確実にデータを消去できるのです」（太田氏）
クラウドも他社製品も暗号鍵管理を一元化
では、既存のデータベースやファイルシステムのデータを保護するにはどうすればよいだろうか。もちろん、当該データをビジネスで利活用しながら、保護も強化したいというニーズは高い。また昨今は、マルチクラウド環境での暗号鍵の統合管理が重要な課題の1つだ。複数の部門で複数の暗号化製品を導入しており、暗号鍵管理に悩む情報システム担当者も多いことだろう。
キヤノンITソリューションズの提供する統合データセキュリティプラットフォーム「CipherTrust Data Security Platform」は、こうしたデータ暗号化にまつわるさまざまな課題を解決するソリューションである。決済代行事業者やクレジットカードを発行する小売事業者、自治体、医療機関など、データの安全性を重視するさまざまな企業に用いられている。
CipherTrust Data Security Platformは、おおまかに鍵管理ツールと暗号化ツールで構成されている。鍵管理ツールは「鍵管理サーバー」「クラウド暗号化サービスの鍵管理」「他社暗号化製品の鍵管理」の2種、暗号化ツールは「透過暗号」と「トークナイゼーション」の2種が用意されており、組み合わせて導入することが可能だ。
中核となる鍵管理サーバー「CipherTrust Manager」は、鍵生成やローテーション、廃棄、インポートなどの暗号鍵のライフサイクル管理を簡素化するためのシステムだ。物理アプライアンスと仮想アプライアンスが用意されており、パブリッククラウド上に展開することも可能だが、冗長構成が必須とされている。マルチテナントに対応し、グループ組織などで安全に共同利用することも可能である。
Microsoft AzureやMicrosoft 365、salesforce.com、Amazon Web Services、Google Cloud Platformなどの各種クラウドサービス（IaaS/PaaS/SaaS）が提供する暗号化機能の鍵のほか、他社の暗号化製品の暗号鍵のライフサイクル管理も、このアプライアンスへ一元化できる。すでに暗号鍵ツールを導入している企業にとっても非常に有用だ。
「CipherTrust Transparent Encryption」は、サーバー上のファイルやデータベースを自動（透過）的に暗号化する製品である。鍵管理サーバーを設置し、サーバーにエージェントをインストールするだけで利用でき、クライアントソフトウェアなどは必要ない。WindowsサーバーやLinuxサーバーに対応し、各種商用データベースを幅広くサポートしている。オプションの「CipherTrust Live Data Transformation」を用いれば、既存のデータをバックグラウンドで暗号化することができ、ダウンタイムゼロのメンテナンスを可能とする。
特に重要な領域から1か月でスモールスタートも
キヤノンITソリューションズは、CipherTrust Data Security Platformの提供だけでなく、データ暗号化の安定運用に向けた構築支援サービスを提供している。太田氏によれば、スモールスタートであれば1か月程度での運用スタートも可能とのことで、特に重要な業務やデータから強力な暗号化を実装していくのもよいだろう。
また同社はメーカーである米THALESと密に連携し、日本語によるテクニカルサポートを実施している。また、ニーズに応じて24・365のサポートサービスやオンサイトサービスなども提供可能だ。無償の評価版も提供しているため、しっかり評価して導入を決めたいところである。
「情報セキュリティ対策は、企業の信頼構築に欠かせない施策です。CipherTrust Data Security Platformは、あらゆる環境に保管されているデータを保護できます。暗号化と鍵管理のほか、アクセスコントロールやマスキングなど柔軟なアクションを設定でき、各国・地域の法規制やガイドラインにも幅広く対応する総合的なセキュリティソリューションとして強くおすすめします」（太田氏）
