ITmedia ビジネスオンライン

頻発する企業の情報漏えい事故に有効な「データ中心型セキュリティ」、その実現手法とは？

99％の情報セキュリティ事故はデータに関連して発生している。ビジネスにおけるデータの重要性の高まりに伴い、企業のデータ保有のリスクも確実に増している。情報漏えい事故で企業が負担すべき損害賠償額は平均1件あたり3億円以上で、その額は経営的に決して無視できるものではない。だが、データの活用が広がりを見せる中で、その管理徹底が困難さを増しているのも事実である。この状況の抜本的な改善策として、日本ヒューレット・パッカードが訴えるのが「データ中心型セキュリティ」である。

» 2016年11月10日 10時00分公開

[PR／ITmedia]

新しいITインフラの活用がもたらすリスクと法制度への順守の必要性

　ビジネス上のあらゆるデータが接続されつつある今、経営のかじ取りや新たな戦略を立てる上で、データの活用は無視できない存在である。さらに、IoT（モノのインターネット）への近年の関心の盛り上がりも、激化するビジネス競争を勝ち抜く新たな策として、データ活用に着手する企業が相次いでいることの表れとも言えるだろう。こうした企業では、蓄積した個人情報などのセンシティブな情報を分析することすら許可されず、うまく活用されていないといった実情もある。

　一方、その結果として、企業が所有するデータは急速に増大し、サイバー攻撃の手口が巧妙さを増し続けていることも相まって“センシティブなデータを所有すること”のリスクが高まっている。その代表例が、しばしば大々的に報じられる顧客データの漏えい事故だ。その主な原因は不正アクセスや管理ミスであるが、発生を防げなかった企業は社会的な信用が損なわれるばかりか、1件あたり平均して3億3700万円以上もの損害賠償額にもなっている。

　これまで企業はさまざまなサイバー攻撃に対して、企業ネットワークへの入り口や出口へゲートウェイ側で対策を行い、近年ではよりエンドポイント側への対策や教育も行ってきた。しかし、そういった対策にもかかわらず、セキュリティ事故は今なお後を絶たないのが実情である。

　また、企業はコンプライアンスや新しい法制度への順守を目的に、コストと人材を投じて各種のセキュリティ対策を推し進めていかなければならない。欧州のデータ保護が新しい局面を迎え、一般データ保護法（GDPR）として統一化へ進む中、欧州以外の各国政府も個人情報保護などの観点から、関連法制を整備し、対策の指針を盛り込むことで、企業に厳しい順守を求め始めている。 GDPRの中では高い制裁金や規定時間以内の情報漏えい時の報告や暗号化による保護などが規定されている。コンプライアンス順守のための監査費用は企業に重たい負担となっているのが実情である。

従来からのデータ保護の限界点

　情報セキュリティに関連して、システムやデータの管理手法が複雑さを増しており、それにかかる費用も増大していることだ。従来であれば、業務データはデータベース（DB）に格納され、そこでの対策を徹底することで安全性を担保することができるとされ、ストレージ暗号化、DB暗号化、ファイルシステム暗号化などさまざまなITスタックにおいて個別のセキュリティを適用してきた。

HPE ソフトウェア事業統括プリセールス本部エンタープライズ・セキュリティ・プロダクツ部セキュリティソリューションコンサルタントの池川史憲氏

　実際には、各スタック上で個別にセキュリティをかけていても、個別のITスタックが稼働している間や、別のITスタックへ移動するまでの間データは丸裸で利用可能となる。例えば、ファイルシステム暗号化をかけていたとしても、PCが起動中であれば通常通りデータを操作して持ち出したり、マルウェアの感染によりデータを持ち出されてしまったりという状況は容易に発生し得る。手を打つことはできず、せいぜい法的な事後対応を行うしかない。

　さらに深刻なのが「いったん社外のクラウド上へデータが持ち出された場合にはクラウド上ではそのデータは無防備となり、クラウドベンダーが情報を漏えいした場合には何も対策はない」と指摘するのは、日本ヒューレット・パッカード（HPE）のソフトウェア事業統括プリセールス本部エンタープライズ・セキュリティ・プロダクツ部でセキュリティソリューションコンサルタントを務める池川史憲氏だ。

　「従来の暗号化では、粒度が大きいため、1つのデータを読むために全体を復号してから利用しなければなりません。また、暗号文そのものは一見意味のないデータに見えるため既存のアプリケーション上で利用することができなくなり、既存のデータベースの構造も変える必要が出てきます」（池川氏）

　では、こうした状況の中で、企業はデータ所有にまつわるリスク低減にどう対策を講じるべきなのか。その解として、HPEが強く訴えるのが、データを中心に据えた対策を意味する「データセキュリティ」だ。

　従来のように、ポイントごとにデータを暗号化するようなポイントソリューションでは、今や複雑化するサイバー攻撃の前ではぜい弱極まりない上に、全体のパフォーマンスは低下する。そこでフィールドレベルでのデータ1つ1つを暗号化して認証をかけることで、本当に必要な部分のデータだけを復号することで、データに最も近い部分でセキュリティをかけることができる。また、暗号化したデータそのものが元のデータと同じレベルの利便性を持ち続けることが、データ中心型のセキュリティの大きな特徴である。

データの「無害化」で価値そのものを喪失

　HPEでは、データセキュリティの実現に向けた製品群を包括的に提供。そこで基本とするアプローチは、「暗号化」などの技術によって、データを第三者が理解できない形に変換し、データの価値そのものを無くすことである。つまりデータの「無害化」である。これにより、たとえデータが外部に持ち出されても解読不能となるため、社内外に影響を及ぼさない仕組みを整備できるというわけだ。

　「サイバー攻撃の急増の背景には、不正入手したデータを売買する裏の市場の存在があります。しかし、重要な資産を保護してダメージを最小化するという観点で、市場のエコシステムを破壊することに貢献します」（池川氏）

データ中心型セキュリティとは？

　また、組織の保存されたデータに対する暗号化のコントロールを自動化するという点においては、セキュアなアプライアンスでデータ暗号鍵の生成、保存、処理、制御、および鍵へのアクセスの監査を行う包括的な鍵管理ソリューション「HPE Enterprise Secure Key Manager（ESKM）」である。暗号化自体は広く普及した技術であり、今や無料のツールも数多く存在する。ただし、このような暗号化ツールの課題として指摘されてきたのが、管理の煩雑さから、一般的に鍵が暗号化先の機器に一緒に保管されてしまい、データと暗号化鍵が同じ場所にあることによるぜい弱性を払拭できないことである。

　対して、ESKMは鍵の管理を自動的に担うことで、鍵をセキュリティの高いハードウェアで分割して管理できる。また、クラウドを含めた多様なデータの保管先とも連携可能であり、鍵をローカルの環境で管理することも可能となる。

　また、セキュリティーソリューション「HPE SecureData」と組み合わせて利用する、より安全なデータの保管先としてHPEが提供しているハードウェア製品が「HPE Atalla HSM」である。同製品は米国のセキュリティ基準の最高水準を満たしたものであり、クレジット業界やEMV標準においてデファクト・スタンダードになっている。

　いくつかのコンプライアンスの規格（P2PEなど）では、暗号化鍵をHSMを利用して重点的に管理する必要があり、そのためにこのAtalla HSM内にマスターとなる鍵を保管することができる。これはタンパリアクティブなハードウェアレベルのセキュリティにより暗号鍵を管理することで、データキャプチャの時点からバックエンドまでを暗号化することを保障するために利用が可能である。中間の業者ではいっさい復号を行わないことにより、その間のシステム監査費用につながるものとして注目されはじめている。

従来の課題を解消したHPEの「トークナイゼーション」

　暗号化と同様、トークナイゼーションも実のところ従来からある技術であった。しかし、HPEのセキュアステートレストークナイゼーション製品群では、独自の技術的なアプローチによって、このトークンと呼ばれる擬似のカード番号を生成・管理するためのトークンボルトと呼ばれるDBをいっさい不要にし、大量データの高速な生成処理により高速化した。その結果、従来のように大規模なシステムが不要となり、データが増加しても高速にトークンの生成が可能となった。

　HPEが提案してきたものは、繰り返し述べてきたように、フィールドレベルでデータ自体を暗号化して、無害化することである。「IoTのように機器から収集したデータに対してもデータが入手された時点から仮名化や匿名化を行えば、本当に生データが必要な業務以外はデータが仮名化された状態で保存、転送、利用ができるようになります。」と池川氏は力を込める。

　こうした環境を実現すべく、HPEが製品ラインアップに取り込んでいる技術の1つが、暗号鍵により復号を行う暗号化と異なり、乱数データへの「置換」を行う「トークナイゼーション」である。

　トークナイゼーションは、データを別の類似の数値に置き換え、保存・利用を可能にする技術である。例えば、クレジットカードの場合、元のカード番号と数学的に全く関係のない値を自動採番して置き換えるため、トークンが流出しても解読が不可能となり、PCIDSSの監査対象から監査範囲を削減するために有効な手法と言える。

セキュアステートレストークナイゼーション

　従来の暗号化では、データがまったく異なる形に変換されるため、暗号化された状態で社内システムや既存のアプリケーションにそのままデータを流して利用することほぼ不可能だ。対して、トークナイゼーションや「HPE HyperFPE」では、元データと極めて類似したデータを生成でき、既存システムでの利用も可能となる。

　クレジットカード業界のセキュリティ基準「PCI DSS」でも、トークナイゼーションは、同技術を取り入れた決済システムなどは部分的に監査対象からの除外が認められている。PCI DSSの監査ではコンサルタントなどとの契約が多くのケースで必要とされ、コストの高さから中堅・中小企業では対応が困難であった。2020年の東京オリンピックを控え、訪日外国人の利便性向上にクレジットカードでの決済環境の整備が強く求められるようになってきており、トークナイゼーションは要請に応えるために現実的な手段と言える。

　HPEは、元のデータ形式を保ちつつ、データの部分的な暗号化すらも可能な「フォーマットプリザービングエンクリプション（FPE）」技術の実用化にもいち早く取り組んでいる。特に従来のFPEでは既存アプリケーションやシステムなどを変更しないと利用することができないため、暗号化により利便性は落ちるとされていた。また、利便性を求めたFPEではパフォーマンスが落ちると言われていたが、HPEはこのパフォーマンスを改善し、日本固有のニーズにも対応していくことに取り組んだ。既にIoTやクラウドへ持ち出すデータ、ビッグデータへの適用などあらゆる分野において実績を上げている。

　センシティブなデータを蓄積することに起因するリスクにどう対応していくのかは、企業の永続的な課題と言える。しかし、セキュリティ投資に対する費用対効果を最大化するためにも、自社に向いたセキュリティ対策についてHPEにぜひ一度、相談してみてはどうだろうか。

イベントのご案内

トークン化セキュリティによるプライバシーデータ保護と利活用

開催日時：2017年3月7日（火） 15：00‐18：00（14：30 受付開始）
会場：大手町サンケイプラザ311・312会議室

プログラム
【Session 1】
　プライバシーデータ保護と利活用に関するグローバル動向
【Session 2】
　EU一般データ保護規則対応の実務
【Session 3】
　HPE Data Security- トークン化セキュリティソリューションのご紹介
【パネルディスカッション】
　「プライバシーデータ活用に関する勘所」

＞詳細・お申込みはこちら