ペンタセキュリティが毎月(年12回)掲載しているセキュリティコラムです。
当社のR&DセンターのTOSLabは、本コラムより、社会一般必要なICTセキュリティとその課題について提言することで
企業、そして社会のセキュリティ認識の向上およびセキュリティ文化の定着を支援致します。

【コラム】安全なインターネットの基準、WAF

―「今やWeb時代、その時代こそWebセキュリティが肝心!」― これでもかとあきれるほど耳にする言葉です。それにもかかわらず、その重要性があまり認識されていないのが実情です。そのため、何度も繰り返して言いますが、Webセキュリティは、重要です!

物事はすべてインターネット、つまりWebを介して行われているのに、どうしてWebセキュリティは疎かにされているのか、考えてみましょう。
残念なことに、その答えは既に出ています。「安全なインターネットとは何か」、に対する正確な概念がないためです。

 

「安全なインターネットとは何か」
世の中には、重要であっても、その重要性が十分認識されていないことがあります。ICTセキュリティこそ、その代表例でしょう。
世の中に広く浸透しているICTの時代、ICTセキュリティが重要であることは誰もが知っているはずです。
しかし重要であることを知りながらも、何を、どうすればいいか分からず、多くの場合疎かにされています。それが状況をより深刻にさせています。

世の中は一見カオスな世界のように見えますが、その中には、様々なシステムが複雑に絡み合っていて、どうにかして効率的且つ合理的に動いているのです。
問題と解答が飛び交う混迷した世界ですから、ICTセキュリティが本当に深刻な問題であるなら、解決策やセーフティネットが整っていたはずです。もちろん、そのソリューションはあります。調べてみましょう。

 

ICTセキュリティは個人にとっても集団にとっても、大きな懸念材料です。
「国際標準」は、それらを収集して洞察し、ほぼ完璧にまとめたものです。
代表例として挙げられるのが、イギリスのBSI(British Standards Institute)が制定したBS7799基盤のセキュリティ認証であり、フレームワークの「ISO27001」です。
また、経営に焦点を合わせた「情報セキュリティマネジメントシステム(ISMS;Information Security Management System)」も重要な標準規格です。
これらのフレームワークを参照し、それぞれの仕様に合わせて企業のセキュリティシステムを構築すれば、ある程度安全なICTセキュリティのポリシー確立や仕組構築が可能となります。

 

ある企業がISO27001を取得したということは、全体で11の評価項目で「安全」と認められたことです。それは、その企業がICTセキュリティに関わる全てのリスクを総合的に管理し、改善できる基本的な仕組が整っているという意味です。
ICTセキュリティは単なるシステムや技術ではなく、組織全体と個人それぞれが生活を営む「文化」であり、「環境」でもあるため、認証を取得したからといって、100%安全になったとは言えませんが、「代替的に」安全になったとは言えます。

 

では、安全なインターネットの基準となる国際標準はあるのでしょうか?

 

答えは、「あります」。

世界的なNGOオンライン信頼度監査機関である「OTA(Online Trust Alliance)」は、毎年、有名Webサイトを対象にセキュリティ性を点検し、安全なインターネット文化の確立に向け先駆けて取り組んでいるWebサイトを選定し、「オンライントラスト栄誉賞(OTHR;Online Trust Honor Roll)」を授与しています。
政府をはじめ、金融機関、SNSなど、様々な分野にわたって約1000の有名サイトが対象となります。
今年は、そのうち約46%がセキュリティ性の不足を理由に選定対象から外され、1位の「最も信頼できるWebサイト」には、「Twitter」が選定されました。

それでは、OTHRの選定基準は何でしょうか。

 

まず、着目すべきなのは、

今年から「WAF(Web Application Firewall、Webアプリケーションファイアウォール)の使用有無」が評価に関わる重要項目として追加されたことです。

 

それを受けて「安全」ランクを取得した企業は、去年の30%から今年は44%へと増えるなど、選定結果に大きな影響を与えました。やや遅きに失した感はありますが、その決定は当然なことです。
WAFはそもそもWebセキュリティの基本であり、核心であるWebアプリケーションセキュリティに特化して開発されたものです。
外部からの攻撃を事前に遮断し、マルウェアなどの有害物がサーバーへ侵入することを防ぎ、Webセキュリティ脆弱性が外部にさらされないようにするなど、Webセキュリティの全般にわたって最も重要な役割を行っています。
そのため、WAFは他のセキュリティ機器に比べ、Webサイト全体の安全性に与える影響力非常に大きなものがあります。また、OTAは、これからWAFの使用有無がOTHRの選定に大きな影響を及ぼすと述べました。この決定も当然でしょう。

 

「なら、WAFを買えば済むのか? いくら?」
このように簡単に決定できるものなら、売り手も買い手も楽でしょうが、企業における意思決定は企業の成長や発展、ひいては企業の死活にかかわる大事なことです。
何事も簡単には決定できません。またそうしてはいけません。特にコストが決め手となる新規スタートアップ企業にとっては、なおさらです。
世の中は、欲しいものであふれています。残念ながら、その全てを手に入れることはできません。
WAFも同じです。高い機器ではありませんが、安いとも言えません。いくら良いものであっても、すぐ買えるわけではありません。

そうなら、とりあえずクラウド型WAFサービスを試してみましょう。
簡単な操作だけで実際にWAFを導入したような効果が得られます。マウスを数回クリックするだけで、ICTセキュリティ事故の9割をも占めるWebハッキング攻撃を全て遮断できます。
最も頻繁に発生しているWebサイトハッキングをはじめ、Webからのデータ漏洩、不正アクセス、Webサイト改ざんなど、その全てを遮断します。

クラウド型のサービスで提供されるため、機器の保守コストもかからず、利用初期は一定期間無料で利用できます。その後、オンラインビジネスが軌道に乗れば、トラフィック量によって最適なプランを選択し、所定の使用料を払えばいい訳です。

 

ならば、クラウド型WAFの中でもどのサービスを選ぶべきでしょうか。

実際現場における最重要なWebセキュリティ作業は何でしょうか?
長年にわたる経験を基に、意見を述べさせていただきますと、管理者のモニタリングではないでしょうか。日に日に激変するWeb脆弱性のトレンド分析、実際に御社のWebサイトを狙う者たちの行動分析、日々溜まっていく攻撃と防御のログなど、完璧なWebセキュリティは持続的なモニタリングを通してのみ確保できます。

いくら早いスピードや優れた性能を持つWebセキュリティ機器を使用するとしても、モニタリング・ユーザーインターフェースに力を入れなければ無用の長物になってしまうのが事実です。
優れたWAFの性能で知名度の高い様々な製品を比べ、その中で最も直感的にわかるユーザーインターフェースを持つ製品を選ぶことを推奨します。何回も強調しましたが、Webセキュリティ作業の核心はモニタリングであるためです。

penta1.jpg

[クラウド型WAFサービス 「cloudbric」のダッシュボードUI]

そして重要なのは、当該クラウド型WAFサービスがどのハードウェア型WAFの技術をもとに作られたかを調べることです。
企業が成長するにつれWebサイトも成長していき、理由はともあれWebに関わる全ての設備を自ら運用する必要がある場合もでてきます。
その時になってから、クラウド型サービスではなく定番のハードウェア型WAFに移行しても遅くはありません。同一技術をもとに形のみ変えた製品ですので、システムの変更による非効率や業務の空白は発生しません。
ただし、クラウド型WAFサービスとハードウェア型WAFサービスが「同一技術」でなければ、順調な移行を期待できません。クラウド型サービスを利用しているうちに必要性を感じてハードウェア型を導入することになったら、当該クラウド型サービスの基盤となる製品を選択することを推奨します。そうすると、システム構成の変更も認識せず、スムーズにビジネスを引き続き継続できます。

要するに、いいWAFとは何でしょうか。

 

シグネチャ基盤ではなく論理演算基盤のものを勧奨します。
論理演算検知技術は、時代の要請によるものだからです。安全か危険かを基準に作成された対象リストをもとに検知する既存のシグネチャ基盤技術は、なんとか命脈を保ってきましたが、今やIoT時代。Webが爆発的に拡張していく本格的なWeb時代の到来です。
まず、トラフィック量が膨大していきますが、いつまでリストをいちいち参照しながら安全か危険かを探るつもりでしょうか。不可能なことは明らかです。これこそが論理演算基盤のWAFでなければならない理由です。

ここまで考えると答えがまとまってきます。
便利なモニタリングを可能にする直感的ユーザーインターフェースとクラウド型WAFサービスを提供する論理演算検知基盤のWAFが正解です。一瞬の迷いもないはずです。両方の長所を持つ製品はそれほど多くはありません。




Cloudbric(クラウドブリック)

 

Cloudbricは、ペンタセキュリティ独自の論理演算検知エンジン(COCEP:COntents Classification and Evaluation Processing)搭載のWAPPLESを基に開発されたSaaS型Webセキュリティサービスです。Cloudbricは、Web攻撃や情報漏洩を恐れながらも、高価でインストールが難しいということなどから導入できなかった個人や中小零細企業を主なターゲットに、リーズナブルな価格で、簡単に導入できる強力なWAFサービスを提供致します。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

【コラム】 OSS(Open Source Software)データベースは安全なのか?

 

OSS(Open Source Software)データベースは安全なのか?

「オープンソース」は哲学であります。ソースコードに対する全てのユーザのアクセスを許可することで、自主参加や協力によって最高の技術を生み出すことができるという信頼です。それはまるでジョン・レノンの「Imagine」のように、存在そのものを超越したロマンチックな魅力を持っています。

「オープン・ソース・ソフトウェア(Open Source Software、以下OSSと言う)」は、従来当たり前とされてきた「クローズド・ソース・ソフトウェア(Closed Source Software、以下CSSと言う)」の私有独占ポリシーに対立する概念として、人々の純粋な善意を引き付ける力を持っています。人々はその哲学に共感し、開発や配布、修正の作業に積極的に参加します。ひいては、「イノベーション」とまでいいます。

 

OSSの定義及びメリット・デメリット

 

正確に言うと、「オープンソース」とは、ただ単に、ソースコードを公開するということだけを意味します。オープンソースを無料と認識している人も多いですが、それは「フリーウェア(Freeware)」とその意味が区別できないことから生まれた誤解です。

「オープンソース」とは、ソースをオープンすることであり、価格をオープンすることではありませんので、明白にライセンスポリシーを持っているソフトウェアであれば、導入時に費用が発生する場合もあります。ほとんどのOSSが無料でダウンロードできますが、あるOSSは、当該ソースを修正したソフトウェアも無料で配布することをポリシーとして厳しく求める場合もあります。したがって、企業が保有している知的財産権の管理ポリシーと使用しているOSSのライセンスポリシーが一致しているかを予め厳密に調査する必要があります。

OSS使用のメリットは明確です。まず、個人ユーザはほとんどのOSSを無料でダウンロードし使用できるため、学習用としてよく使われます。そのため、企業にとっては、人材確保が容易になり、システムの導入コストも削減できます。しかし、CSSに比べレファレンスの文書化が整っていないため、開発プロセスを遅らせる原因にもなっていますが、視点を変えれば、自らこまめに勉強しなければなりませんので、担当者の技術的力量が強化されるとも言えます。

また、同じ哲学の「オープンフォーマット」とプロトコルを主に使うため、異種ソフトウェア間の相互連動性が高いという特性がります。それは異種機器間の異種ネットワーク連携が強く求められるユビキタス時代、最近の用語としてはIoT時代に欠かせない要素として高く評価されています。そのため、MSウィンドウズ基盤のGUIに使い慣れている一般ユーザにとっては、少数のハードコア開発者の趣味であると軽視さることもあります。

そして、OSSでは、ダウンロードしてインストールするだけの導入手続きで必要な演算機能を適時適切に使用可能となるため、開発プロセスの柔軟性やアーキテクチャ構築の実効性が高くなります。多くの人々が自主的かつ積極的に開発に入り込むOSSならではの環境のおかげで、最新技術の速い適用や、課題と解決策を皆がともに共有していく形で運用される開発環境のため、CSSに比べ、技術の進歩が速いのも大きなメリットです。積極的なコミュニティによる迅速な問題解決も、その効果が明らかです。

それで最近は、OSSの使用理由の断然トップであった「コスト削減の効果」以外に、クラウド、モビリティなど第3のプラットフォームに対する開発の利便性や、ビックデータ、ソーシャル技術といった新技術に対する高い活用性を挙げる企業も増えています。新しいビジネスやサービスを生み出す際に、OSSの特長は確かにプラス効果をもたらします。

その反面、営利を追い求める会社で厳しいスケジュール下で開発されるのではなく、100%個人の参加意志によって開発が行われるため、CSSの提供する確実で具体的なロードマップは期待できないことがマイナス要素となっています。それは、常に熱く議論されている「OSSは安全なのか?」という問題と共に、企業がOSSの使用をためらう大きな理由でもあります。

 

OSSは安全なのか?

 

OSSの安全性問題に対しては、常に熱い論争が起きています。独占的ソフトウェアに比べ「安全である/安全ではない」という意見が鋭く対立しています。主観的な意見は排除し、客観的に事実だけを探ってみましょう。

OSSは、世界数多くの開発者が、直接開発および配布し、デバッギングに参加します。そのため、閉鎖的な組織の中で開発され独占的ソフトウェアに比べ、比較的安定的に動作します。しかし、そのようなOSSの信頼性と安定性は、非常に多くの開発者が積極的に参加する場合に限って確保できることなので、そのOSSの開発状況や評判を注意深く検討する必要があります。導入した後にはもう遅いですので、導入する前に長い時間をかけて十分に検討する必要があります。しかし、検討そのものがあまりにも長くなり、「早くて迅速な開発」というOSSの大きなメリットを活かせない場合もあります。

また、OSSは営利を追い求める独占的ソフトウェアに比べ、不確実で不明確なロードマップを持つ運命にあります。ある日、突然使用が停止されたり、アップデートが停止されたりする場合もあり、ライセンス関連の法的イシューが発生してポリシーが変更される場合もあります。そうなると、たとえ当該OSSが高い安全性を持っているとしても、そもそも何の意味もなかったことになってしまいます。

決定的にOSSは開発プロセスにおけるその特性のため、「破片」になる危険性があります。主要機能を整えると、公開され、それ以降、ユーザのそれぞれのフィードバックに断片的に対応していく過程の中で、一つ一つ仕様を積み重ね、全体仕様を整えていく場合が普通です。特に注目すべきなのは、アーキテクチャ全体を検討するプロセスは省略される場合が多いということです。問題が存在し、その解決策があるという状態のままで総合的な検討は不在な状態であるということです。それは「セキュリティ性」にかかわります。

OSSの各部分は大体安全です。各機能は最高のセキュリティ性を持っている技術、広く認められているセキュリティ標準などを受け入れている場合が多数です。問題が発生すれば、全世界の数多くの開発者が問題の解決に当たるため、それぞれの部分に限ってはほぼ完璧に安全だといえます。しかし、ソフトウェアの仕組から見ると、各部分が安全だからと言ってその全体が安全だとは言えません。それとこれとは全く違う問題であります。セキュリティ性の核心を一文章にまとめると、下記のように表現できます。

 

「鎖の強さはその環のいちばん弱いところどまり」

 

開発および配布環境のため、おおよそ破片的な方法で問題を解決するしかないOSSのセキュリティにおける最大のリスクは、上記のようにまとめられます。

セキュリティ性は、総合的な体系を通じてのみ、確保できます。

全体ICTシステムの各階層や各部分を縦横問わず全体的に検討し、総合的に完成するべきなのが「セキュリティの体系」です。他の企業や組織で使われているセキュリティ体系やセキュリティソリューションが自分の会社や組織では抜け穴ばかりなのもそのためです。

ただし、暗号化したデータと暗号化・復号の鍵まで持って行かれたら暗号化自体根本的に意味がなくなるため、暗号化をするなら、「鍵管理」を想定しないと行けない。

基本的に各部分は安全であり、システムが構築できたら、全体の体系やユーザシナリオからセキュリティ性を再度点検し、それを踏まえて設計すべきなのがセキュリティです。各機能が安全だからと言って、全体のセキュリティまで担保できるわけではありません。

OSSを利用してシステムを構成する場合にも、各構成を整えた最終の全体構成図を基に、セキュリティを設計および点検する必要があります。そうでなければ、OSSの自由度を積極的に活用すると同時に十分なセキュリティ性を確保することはできません。

 

OSSデータベースの暗号化

 

代表的なOSSである「MySQL」を見てみましょう。企業が使用するOSSの3割以上を占めるほど、圧倒的なシェアを誇ります。それでは、MySQLは安全なのでしょうか?

部分的には安全だと言えます。安全ではないところを探すのはかなり難しいです。それほど、全世界の無数の開発者がMySQLの問題解決に努力しているということです。データ暗号化のためのツールも多く、ほぼ全ての暗号化方法論をサポートしています。事実上、解決すべきことはやっています。

それでも再度言わせてもらいます。MySQLは安全なのでしょうか?

安全かもしれません。

MySQLにおける総合的な安全性を確保するため、MySQLに関わる全てのセキュリティ要素を総合的に検討し、適切な方法を採用して「セキュリティの体系」を構築するのであれば、安全です。性能も考慮しなければいけないので、MySQLデータベースをエンジンレベルで暗号化するシステムの構築も必要であり、場合によってはAESのような国際標準暗号アルゴリズムもサポートできるようにする必要があります。また、パスワード暗号化のためには一方向暗号化を、インデックスカラムのためには部分暗号化を、PCI-DSS準拠のためにはクレジットカード番号のマスキング機能など全てが行われていれば、安全であるといえます。

勿論、そうすれば問題はありません。できないことでもありません。しかし、それはデータベースのセキュリティ専門家の仕事です。その全てを直接しようとするなら、ただ無料のデータベースを手軽に早く安く利用したかっただけなのに、完璧な情報セキュリティ専門家にならなければいけないことになるわけです。それでも、チャレンジしてみますか?

真剣に受け止めて下さい。貴方は貴方の仕事をするべきです。その仕事に集中してください。つまり、データベースを使いたければ、データベースを使えばよいのです。データベースのセキュリティのためには、データベースのセキュリティソリューションを利用すればよいのです。

OSSであるため、専用のセキュリティソリューションがなくて仕方がない?そうではありません。探せばあります。

MyDiamo(マイ・ディアモ)

 

MyDiamoは、OSSデータベースのセキュリティ対策に応えた暗号化ソリューションであり、MySQLおよびMariaDBに特化したエンジンレベルのカラム単位の暗号化ソリューションです。エンジンレベルの暗号化より、セキュリティとパフォーマンスの両立を実現します。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

【コラム】マイナンバーを守るための対策、最も根本的なセキュリティ論点

 

マイナンバーを守るための対策、最も根本的なセキュリティ論点

マイナンバー社会保障・税番号制度の施行を目前に控え、個人情報の保護やシステム的対応をめぐる論争が熱い。そんななか、誤解も広がっていることから、明確に認識しておかなければならない、最も重要な事案に回答することで、この誤解を払拭することに一役買いたい。

「マイナンバーを暗号化すれば、対策は完璧」

「暗号化しておくと、そのあとの取扱いは気にしなくていい」

結論から言わせて頂くと、「違う」。データを暗号化しても、データの管理における厳密度は下げてはいけない。関連コンプライアンスにもそう明記されており、 「特定個人情報保護委員会」より公表されているガイドラインによると、暗号化等を採用し変換された個人識別番号に対し、変換前の個人識別番号と同レベルで取扱いすることを明らかにしている。

「マイナンバー保護の最大のリスクは、一体何?」

実は、データ暗号化というのは、簡単な作業ではない。ICTシステム全体にわたり、広範囲で適用しなければならない非常に大変な作業となるため、「マイナンバー保護の最大のリスクは」と聞かれると、簡単に回答はできないが、その中で一つを選ぶとすれば、個人情報を取扱いする実際の現場での日常的な活動から見ると、それは、

「マイナンバーには、”誰”がアクセスできるのか?」

ということである。情報にアクセスできるのは、”誰”なのか。それは、アクセス権限を持っている者である。じゃ、そのアクセス権限を付与するのは、”誰”なのか。非常に残念なことであるが、個人情報保護における最も大きなリスクに直面してしまう。殆どの現場では、アクセス権限を付与する”誰か”は、「システム管理者」か、又は「データベース管理者」であり、その人が”セキュリティ管理”も兼業してしまう場面に遭遇する。

このような状況は、実に変だと思うべきだ。システム管理者は、組織におけるシステムの運用および管理に責任があるわけで、データベース管理者は、当該データベースにおける運用や各種問題に対応する責任があるわけだ。そのため、この担当者らは、セキュリティの求められている個人情報そのものにアクセスする権限を持たせる必要もなければ、そもそもアクセスする必要自体がない。更に、このシステム管理者とデータベース管理者が、なぜセキュリティポリシー、つまり個人情報へのアクセス権限を設定し運用してしまうのか。「システム管理者だから」という極めて単純な論理で、セキュリティ管理者でもないシステム管理者が組織のセキュリティポリシーを総括する大役を背負ってしまう場合は珍しくない。これこそが実際現場レベルで引き起こされる個人情報保護における最大のリスクである。

データベース管理者のDBA(Database Administrator)に関しても当然ながらセキュリティ管理者との明確な職責分離を実現しなければならない。暗号化したデータに対しては、許可されたユーザのみがアクセス可能にすべきであり、いくら全権限を持っているDBAでも、セキュリティ管理者からの許可がなければ暗号化データの復号はできないようにすべきである。

長年情報セキュリティをやっているとよく耳にする言葉がある。

「セキュリティはチェーンのようで、このチェーンの強度は、最も弱い箇所の強度で決まる」

要するに、情報セキュリティ全体を構成する全ての要素が高レベルで維持されていなければならないということである。そのシステムのセキュリティのレベルは、最もセキュリティのレベルが低い箇所によって評価されてしまう。そのため、弱いところを突かれてしまうと、システムの全体がダメになってしまうものだ。最も弱い箇所というのは?状況によって答えはそれぞれだと思うが、個人情報の保護における最弱の箇所は、DBAとセキュリティ管理者の職責分離である。

「では、個人情報に対しアクセス制御を行っていれば、全ての問題が解決されるのか?」

これには、簡単に答えられない。データセキュリティにおいて「暗号化」と「アクセス制御」は、その優位性を主張してきた。この二択の選択肢を持ったユーザは、その選択を迫られてきた。暗号化とアクセス制御は、セキュリティにおけるアプローチから明白に異なっていて、メリット・デメリットがあり、今になってもユーザからみたら、選択できないでいる。

早速結論から言わせて頂くが、データ暗号化が答えになる。なぜ?

1. セキュリティレベル

アクセス制御のソリューションのベンダーは、よく言う。暗号化に比べ、構築および導入においてその簡単さからシステムの可用性が高く、アカウント別に情報へのアクセス権限を付与又は遮断することで、情報漏えい事故を未然に防ぐ効果があると。しかしながら、これは、システムおよびネットワークのパフォーマンスに与える影響の面で暗号化と比較しているだけで、本来のセキュリティの面では、言及をしない。これはセキュリティの面では、暗号化のほうが優位にあるという逆説ではないかとも思えるし、事実上そうでもある。

暗号化ソリューションのベンダーは、よく言う。アクセス制御に比べ、高セキュリティを保障できると。万が一、情報漏えい事故が発生したとして、データが暗号化されているのであれば、内容は解読できたい状態であるため、安全だと。そして、暗号化こそが根本的なセキュリティ対策になると訴えている。もちろん暗号化にもデメリットはある。過去には、長い構築期間や暗号化後のパフォーマンス劣化が懸念されていて、とりわけ、パフォーマンスやシステム安定性が強く求められる金融業界では、暗号化前後のパフォーマンスの劣化を予測できないということから、暗号化の導入をためらってきた。

このような話も、今や昔話に過ぎない。暗号化は、構築期間、パフォーマンス、安定性等に非常に敏感な金融機関のような現場に次々と導入され、これまで指摘されてきたシステムの可用性の問題を乗り越えたと評価されている。 アプライアンス型の導入によるハードウェアとソフトウェアの一体型にてデメリットとして指摘されていたスピードの問題まで、完全に解決した。その結果、今は、誰も「暗号化は、セキュリティ的には高いと思うが、スピードが出ない」とは言えなくなっている。

その反面、アクセス制御のセキュリティには相変わらず疑問が残っている。アクセス制御システムは、データの存在する内部システムではなく、外部システムとして新規構築する。それは、事実上もう一つの管理権限を作ることになり、マイナンバーデータに対しセキュリティ管理者を指定することではなく、データベースのアクセス制御のための管理者を新設することを意味する。つまり、根本的な対策にはならないということ。なお、アクセス制御にて指定したパス及び条件に該当しないアクセスの場合、対象外となる限界もある。

2. 情報漏えいがあっても、基本安全

完全なる情報セキュリティは存在するだろうか。残念ながら、存在しない。完全なるセキュリティを目指して日々努力を重ねていくのみである。

セキュリティ対策は、「情報が最初から外部に漏出しないこと」を前提とする嫌いがある。情報漏えいを抜本的に遮断するためにあらゆるソリューションを採用し対策を講じても、絶えずに大規模な情報漏えい事故は発生し報道されていることをみると、深刻な問題を抱えている単なるリスク管理の論理であるというしかない。大変残念だが、情報は漏出するものである。情報は短時間にて広範囲にわたり広がる性質を持っている。よって、情報漏えいは、必然的であり、人間が完全に防ぐことはできない。情報というのは、そもそもそういう性質だから。

情報漏えいを防ぐために最善を尽くすべきだが、万が一の状況に備えて、万全の準備をしなければならない。漏えいしてしまってからの「回復力」が求められる。情報漏えいの影響を最小限に抑え、日々の業務状態に戻すまでがどれだけ短時間で内部および外部に影響を与えずにできるかがポイントとなる。暗号化は、情報漏えいが起きてしまった場合でも、情報を安全に保護できる唯一な方法である。有意義な情報をビット単位の無意味な文字列に変換することで、解読できなくすることで情報漏えいの目的を根本的に遮断する方法でもある。情報が漏洩されたとしても、その中身は読み取れないという、究極な方法とも言える。

ただし、暗号化したデータと暗号化・復号の鍵まで持って行かれたら暗号化自体根本的に意味がなくなるため、暗号化をするなら、「鍵管理」を想定しないと行けない。

3. 暗号化とアクセス制御の両面に対応できる

的確に導入および構築されている暗号化システムでは、”誰”が暗号化・復号の鍵を持つのか、指定することにより、情報へのアクセス権限を管理できる。つまり、鍵管理が適切に行われているのであれば、アクセス制御のソリューションのベンダーが主張している部分はできてしまうことを意味する。逆に、アクセス制御ソリューションにおいて、暗号化ソリューションが提供するセキュリティは、確保できるのか。そもそもそういう構造ではない。

データ暗号化を前提とし、セキュリティ管理の一環としてアクセス制御ソリューションを活用する方法は考えられる。市販のデータ暗号化製品の中で、セキュリティに関する正確な概念を持って設計されているソリューションの場合は、データベースおよび暗号化されたカラム単位でアクセス制御を設定できるインターフェースがすでに実装されているため、個別にアクセス制御ソリューションを追加構築する必要もない。

また、暗号化システムを構築すると、組織全体におけるデータ管理のプロセスが変わることになる。こうした変化は、開発プロセスにも影響を与え、データの生成・共有・廃棄というデータのライフサイクル全体における暗号化・復号の鍵をどのように管理するのかを考えないと行けない羽目になる。これは、とてもポジティブに受け入れるべきであり、データの処理プロセスはもちろん、開発プロセスまで一段階ランクアップするきっかけになるからである。このようなことを既に経験している数多くの海外の企業は、暗号化導入後の満足度が高いと評価していて、これは、暗号化から企業のデータ管理セキュリティの意識が生まれるとも言えるだろう。

繰り返すようだが、

「個人情報に対しアクセス制御を行っていれば、全てのセキュリティ問題が解決されるのか?」

答えは、「解決できない。 暗号化が必要である。」

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として2,100ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201