Posts

AMO_BI

AMO Labs、運送業者と自動車データ共有に関するMOU締結

AMO_BI

AMO Labs、運送業者と自動車データ共有に関するMOU締結

IoT・クラウド・ブロックチーェンセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳・貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、韓国本社、ヒューストン/米国法人)は、6月26日、自動車データのブロックチェーンプラットフォームを開発している子会社のAMO Labsが、韓国の中堅運送業者の「チョンイ運輸」と、自動車データの共有に対し、今後相互協力するMOUを締結したことを明らかにした。

정의운수_AMO MOU

AMO Labsが開発している「AMO Blockchain」は、自動車データを収集し、取引する、データマーケットを作るプロジェクトである。自動車データには、個人情報などのセンシティブな情報も多数含まれているため、取り扱いにおいて、高度なセキュリティ確保および安全な管理が肝心である。AMO Labsは、親会社のペンタセキュリティが2007年から研究・開発してきた自動車データに対するセキュリティ技術を継承していることから、「AMO Blockchain」は、他の自動車データ・ブロックチェーン・プロジェクトに比べ、高レベルのセキュリティに対しては、並ぶものがないと意気込んでいる。

 

「チョンイ運輸」は、韓国のソウル市所在の業歴47年の中堅運送業者で、今回のパートナーシップの締結により、既存のビジネス以外に、新規のビジネスチャンスを創出できることを期待している。両社は、今後の円滑な共助のために自動車データを共有し、それを多方面で活用することに合意した。チョンイ運輸はAMO Labsに自社が保有している車両の運行情報などのデータを提供し、AMO Labsはチョンイ運輸からいただいたデータを分析し、経営効率化やビジネス戦略分析など、情報に付加価値を付与することから協業を展開する計画だ。

 

ペンタセキュリティ子会社AMO LabsのCEOのシム・サンギュ工学博士は、「AMOプロジェクトは、車両内部から生成されるIn-Car Data、周囲のものとの通信時に生成されるV2Xデータ、ユーザのアプリケーションの操作により生成されるUser Dataなど、すべての自動車データを収集するソリューションを保有しているが、自動車データは、収集する量だけではなく、その品質がビジネス展開やその結果に及ぼす影響が大きい。従って、運送業者と緊密に協業関係を構築し、精製された高品質データの大量獲得が可能になったことだけでも、今回の協約は、大きな価値を持つ」と話した。

 

AMO Labsについて

AMO Labsは、シンガポールに拠点を置き、ペンタセキュリティシステムズの技術を基に自動車データのブロックチェーンプラットフォームのAMO Marketを開発しています。

 


本件に関するお問い合わせ
ペンタセキュリティシステムズ株式会社
E-mail : japan@pentasecurity.com
TEL : 03-5361-8201

profile

ペンタセキュリティ、自動走行自動車実験都市「K-CITY」にセキュリティソリューションの受注

ペンタセキュリティ、

自動走行自動車自実験都市「K-CITY」にセキュリティソリューションの受注

韓国IoTセキュリティ技術基盤のコネクティッドカーセキュリティをリードした技術力を認められ、
「K-CITY」でセキュリティシステム構築および自動走行車セキュリティ課題を解決予定

 

データ暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が韓国政府所管の協調型高度道路交通システム(Cooperative Intelligent Transport System、以下C-ITS)導入に向けた「K-CITYプロジェクト」で自動車セキュリティソリューション受注を通じて、セキュリティシステムを2017年12月01日に構築開始することを明らかにしました。

 

コネクティッドカー
<K-CITY鳥瞰図(資料=韓国交通安全公団)>
 

現在、世界各国では国の生産性や技術の競争力強化などを目的にし、自動走行自動車技術の開発に取り組んでいます。特に、2020年まで半自動運転車の商用化され、2030年からは完全自動運転車が商用化されるという展望により、自動車製造メーカーはもちろん、グローバルIT企業まで自動走行技術を開発するための技術開発協力を強化し、共同開発を始めるなど、市場を先取りするために多様な試みが行われています。

 

特に各国では自動走行自動車市場の先取りのため、実際の環境に近い環境での実験を可能にするテストベッド(Test Bed)構築に取り組んでおり、今まで世界規模のテストベットとしては米国の「M-CITY」、日本の「JARI」、中国の「Nice City」などが構築されていました。一方、今回韓国政府で自動走行自動車の商用化時期を2020年に決め、政府所管の「K-CITYプロジェクト」を通じて、事実上、世界で2番目に大きいテストベッド構築を予定中です。

 

C-ITS導入に向けた韓国政府所管のK-CITYプロジェクトは、韓国初の自動走行実験都市であり、2018年には完工に向け、総11億円を投入し、32万m2(11万坪)規模の実験都市を構築しています。今回のプロジェクトに含まれたセキュリティシステム項目の場合、今後の自動走行自動車の商用化において非常な重要要素として作用することになる予定で、システム構築の主体に大きな関心が集まっていました。

 

ペンタセキュリティは、韓国のIoTセキュリティ技術基盤のコネクティッドカーセキュリティをリードしてきた技術力を認められ、当プロジェクトで車両間の通信、車両とインフラ間の通信、車両と道路の施設物間の通信における認証や暗号化を担当することになりました。これを通じて、大田(テジョン)、世宗(セジョン)、驪州(ヨジュ)の3都市で行われるC-ITS構築事業に次いで、ペンタセキュリティのAutoCrypt(アウトクリプト)は自動走行実験都市内に、セキュリティシステムを構築する予定です。

 

今回のセキュリティシステム構築に活用されるペンタセキュリティのAutoCrypt(アウトクリプト)は、韓国唯一のコネクティッドカーセキュリティ・ソリューションであり、K-CITYプロジェクトで車両向けファイアウォール(AutoCrypt AFW)と車両と外部インフラ向けのセキュリティ通信システムである(AutoCrypt V2X)、車両向けのPKI認証システム(AutoCrypt PKI)を含め、自動車内部セキュリティソリューションも提供する予定です。

 

ペンタセキュリティCSOのDSKimは、「自動走行自動車が解決しなければならない重要課題の1つはセキュリティだ。自動走行自動車のネットワーク内外で発生する損傷は、人間の生命と直結されることを忘れてはいけない。」とし、「韓国初の自動走行実験都市のセキュリティシステム構築を担当することは、今後の自動車セキュリティ技術の基礎を強化することと同じだと思う。K-CITYプロジェクトを通じて自動走行での先にセキュリティを実現してからネットワークで繋ぐことの重要性をもう一度示す予定だ。」と言及しました。

 

Autocrypt(アウトクリプト)

ペンタセキュリティのIoTセキュリティR&Dセンターの「ピックル(PICL; Penta IoT Convergence Lab)」が8年にわたって研究・開発したスマートカーセキュリティソリューションで、世界初の車両用アプリケーションファイアーウォールです。車両の外部から内部に侵入する攻撃トラフィックを検知し、車両内部で使用される様々な暗号キーや証明書、車両外部のセキュリティ通信に使用されるキーのライフサイクルを管理します。

 

 


本件に関するお問い合わせ
ペンタセキュリティシステムズ株式会社
E-mail : japan@pentasecurity.com
TEL : 03-5361-8201

15

ペンタセキュリティ創立20周年記念イベント

 

Secure First, Then Connect! 未来セキュリティビジョンを宣言

 

7月21日、ペンタセキュリティがソウルのグランドウォーカーヒルで創立20周年イベントを開催いたしました。

ペンタセキュリティは、1997年に創立以来、Trust for an Open Society、すなわち「信頼できるオープン社会」を目指し、企業のための情報セキュリティ・ソリューション研究、開発しています。

絶え間ない努力の末、ペンタセキュリティだけの独自暗号技術を基盤としてウェブセキュリティ(インテリジェントWAFのWAPPLES)とデータセキュリティ(暗号プラットフォームのD’Amo)、そして安全な認証セキュリティ(認証プラットフォームのISign+)製品をリリースしました。特に、WebアプリケーションファイアウォールのWAPPLES(ワップル)は、アジア∙パシフィック地域のマーケットシェア1位とともに、韓国市場でも10年以上連続1位をしながら、たくさんの企業から支持を受けています。

DH2A0327777

 

情報セキュリティのリーダーとしてペンタセキュリティは、クラウド環境でもwebアプリケーションファイアウォールのWAPPLES(ワップル)、暗号プラットフォームのD’Amo(ディアモ)、認証プラットフォームのISign+(アイサインプラス)の3つの企業情報セキュリティ要素を全て提供しています。また、ウェブと全てのものが連結される今、より安全な社会のために、コネクティッドカーセキュリティソリューションのAutoCrypt(アウトクリプト)を始まりに工場、エネルギー、ホームまで総4つの領域に対するIoTセキュリティソリューションを基盤としてIoTセキュリティ市場のリーダーとして定着しています。

創立20周年を迎え、ペンタセキュリティは、情報セキュリティに対する責任感を持ち、未来のセキュリティビジョンを宣言する一方、情報セキュリティが進むべき道を提示しました。

 

사장님

ペンタセキュリティの代表取締役社長の李錫雨氏は、「すべてが知能化され、連結されている今、セキュリティを先にして知能を与えてこそ、安全な社会を作っていくことができる。」と言及しました。

 

セキュリティから始まる。そしてつなぐ(Secure First、Then Connect)

 

これが、まさにペンタセキュリティのビジョンであるTrust for an Open Societyとも触れ合っている未来セキュリティビジョンです。

このビジョンの核心となるのは、インターネット環境だけでなく、日常生活の領域まで連結された一つの巨大なインフラ網をさらに高度化して、発展させるための第一段階がセキュリティということにあります。第4次産業革命に基盤したハイパー・コネクティッド・ワールド(hyper-connected society)に対応するためにはセキュリティが必須条件です。近づいてくるハイパー・コネクティッド・ワールドでは、セキュリティが必須道具を超えて、連結を可能にする要素です。ペンタセキュリティは、20周年記念イベントを通じて、連結と共有が大衆化される世界でIoTとクラウドセキュリティを中心に「先にセキュリティを実現し、後で連結する」ことを具現化し、信頼できるオープン社会に向けた新たな跳躍を約束しました。

 

続いては、創立記念日ごとに行われる永年勤続者に対する授賞を行いながら、お祝いする時間を持ちました。

1G1B0357

永年勤続者への授賞が終わった後、ディナーとともに始まった2部は、ピアニストとバンド、そしてDJパーティーを行いました。

창립20주년 2부행사

これからも情報セキュリティのリーダーとして、Secure First, Then Connectを実現しながら、さらに安全な社会を作っていくペンタセキュリティを見守ってください。

networking-1626665_1280

【コラム】順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

一般の企業で会社の情報セキュリティを担当しているKさんは、このごろ悩み事が多い。個人情報保護法の遵守のため、個人情報が保存されている業務システムに暗号化製品を導入して適用しようとしている。暗号化製品を設置すれば、個人情報保護法の遵守は問題ないが、業務システムの性能が低下する可能性があり、心配が大きい。
その時、偶然「OPE」という技術を採用したという暗号化製品の広告を見ることになる。OPE技術がどのような技術かは分からないが、暗号化後にもDB検索の性能低下がないという説明が大きく伝わってくる。OPEという名前が「Order Preserving Encryption」だから、暗号化(Encryption)も性能低下も解決するということで自分の悩みを一回で解決してくれそうだ。

 

個人情報の保護のため、DB暗号化製品を導入するケースが増え、上記の話のようにOPEに対する関心が高まっている。
「OPE(Order Preserving Encryption)」は、どのような技術であり、どれほど安全なのか。個人情報保護の安全性と性能低下の克服の二兎を得る技術であるかを調べることにしよう。

 

手順を維持する暗化は根本的に危

 

DB暗号化は、個人情報保護のための必須技術と認識されている。DBサーバに暗号化を適用すると、DBサーバに保存されるデータを暗号化して保存し、データを照会する際には暗号化されたデータを復号した後に使用者に対して提供される。DBサーバは暗号化と復号のための処理演算を追加で遂行しなければならないため、速度低下が避けられない。暗号化の適用によるDBサーバの性能低下問題は、暗号化アルゴリズムの効率的な実現技術で解決できる。

DB暗号化でさらに重要な問題は、検索の索引を生成する問題である。検索の索引は、DBに保存されている膨大なデータの中から必要なデータを迅速に照会するために使用されるDB内部の追加情報である。暗号化されたデータから希望するデータを検索するには、暗号化になる前のオリジナルデータを知らなければならないため、暗号化されたデータを全部いちいち復号しなければならない。希望するデータを一つ照会するたびに、膨大なデータをすべて復号しなければならないため膨大な演算量の負担が発生するしかない。これを解決する方法のひとつが、「順序保存暗号化(Order Preserving Encryption、以下OPE)」だ。

OPEは、かなりずいぶん前から存在していた技術だ。OPEの歴史を遡ると、第一次世界大戦から使用された「One-Part Code」技術がOPEの始祖といえる。暗号化されたデータについても、DBの検索索引を容易に作れるという特長のために2000年代からDBMS業界で注目され始めた。2004年には、R.Agrawalを含め4人のIBM研究員たちが最初にOPEという用語を定義した。彼らはOPEの概念に対する数学的モデルと実現に対する方向性を提示したが、安全性に対する具体的な言及や証明をしなかった。
(参考文献:R.Agrawal、J.Kiernan、R.Srikant、and Y.Xu、「Order-preserving encryption for numeric data」、SIGMOD 2004、pp.563~574)

 

データを迅速に照会するためには、データを順に整列しておかなければならない。例えば、数百万人のマイナンバーの中から自分が探すマイナンバーが含まれているかどうかを容易に探す方法は、マイナンバーを13文字の自然数と見て大きさ順に整理しておくことだ。しかし、この方法は暗号化後には使用できない。暗号化は、オリジナルデータを予測できない任意の値に変換する過程なので、暗号化されたデータはオリジナルデータとは全く違う順番に整列されるしかない。暗号化を適用しても、暗号化したデータがオリジナルデータと同様の順番に整列されるようにしてくれる方法がOPEである。大きさが小さい順に整列された数字データ1234、3456、5678という三つの数字があると仮定する。一般的な暗号化を適用すれば、三つの暗号化された数字間の順序が巻き込まれる。OPEを適用すれば、1234の暗号が3456の暗号より前に整列されて、3456の暗号は5678の暗号よりもリードすることになる。

順序保存暗号化という名称のように、果たしてOPEは安全な暗号化だろうか。安全な暗号化は、暗号文からオリジナルデータに関するいかなる情報も得られないべきだ。OPEは、暗号文で「順序」という情報を得ることができ、これをもとに、平文を類推することができる。上記で説明した1234、3456、5678の例に戻ってみよう。1234の暗号文(A)と3456の暗号文(B)を知っていれば、暗号文Aと暗号文Bの間に整列される暗号文Cは1234と3456の間にある値から作られた暗号文であることが把握できる。この場合、暗号を解読しようとする攻撃者が1234と3456を知って、二つの数を暗号化した値(暗号文A、B)たちも知っているため、このような攻撃方法を「選択平文攻撃(Chosen Plaintext Attack;以下CPA)」という。

安全な暗号アルゴリズムは、CPA攻撃モデルを採用した攻撃者が暗号文Cがどんな数字を暗号化したかを区分できない「非区別性(Indistinguishability)」を満足しなければならないが、OPEはこれを満足しないために安全な暗号化とは言えないのだ。したがって、OPEはDES、AES、SEED、ARIAなどと同じ普通のブロック暗号化アルゴリズムと肩を並べそうな高いレベルの安全性を備えていない。世界の情報セキュリティ関連の標準でOPEを見られないことも、このような理由だ。

 

「順序保存を提供する安全な暗号化は不可能なのだろうか」


という問題を解決するために、米国のジョージア工科大学(Georgia Tech)のボルディレワ(Boldyreva)教授を含めた4人の研究者たちが2009年の研究結果を発表した。
(参考文献:A.Boldyreva、N.Chenette、Y.Lee、A.O’Neill、「Order-Preserving Symmetric Encryption」、EUROCRYPT 2009、pp.224~241.)

ボルディレワは、制限的な環境ではOPEの脆弱攻撃であるCPA攻撃をある程度のレベルまでは防御できると証明した。尚且つ、制限条件でOPEにCPA攻撃をブロック暗号化アルゴリズムと同等のレベルに防御することは現実的に不可能というのも明らかにした。つまり、単純アルゴリズムの改善だけではこれ以上の安全性を期待することは難しいということだ。

アルゴリズム自体だけではCPA攻撃から逃れることはできないので、「どう実現するのか」が業界の主要関心事として浮上している。現在、大半のセキュリティ会社がOPEの安全性を補完してくれる技術およびセキュリティデバイスをともに使用し、OPEの脆弱性を補完するために努力している。OPEと共に他の検証を受けた暗号化アルゴリズムを使用したり、順序情報のみをさらに暗号化することなどをその例に挙げられる。しかし、このような状況についてよく知らない一般人たちは、「順序の保存暗号化」という名称だけを信じてOPEを他の暗号化アルゴリズムのように安全性が高いと考えやすい。

実際、ある会社ではOPE技術の安全性を誇大に評価して業界の非難を買ったりした。したがって、OPE関連ソリューションを選択する時には、製品内にOPEの安全性を補完してくれるセキュリティデバイス及び技術があるかを調べた後製品を選択しなければならない。特に、CPA攻撃は攻撃者が暗号化システムに容易にアクセスできる時に主に発生するので、製品にこのような弱点はないかを確認しなければならない。

 

暗号化を必要とする応用は様々だ。安全度が高いレベルで要求される応用がいれば、安全度が高くなくても大丈夫な応用もあり得る。OPEの場合、安全性を一部犠牲にして性能を選んだ応用と見られる。コラムの冒頭に仮想シナリオの主人公だったKさんのように、個人情報保護を必要とする応用では、長期間検証され高い安全度を保障してくれることができる標準的な暗号化技術が必要である。OPEは、オリジナルデータの順序が暗号化後も維持されるというメリットがあるため、データ検索などでは有用な技術であることに違いないが、安全性には限界があるということを忘れてはならない。

したがって、セキュリティ業界はOPE技術を適用する場合、安定性が脆弱な部分と程度については、ユーザに正確に知らせなければならない。一方、使用者は従来のブロック暗号化アルゴリズムと同レベルの安全な暗号化を提供したりはしないということを理解して、安全度よりも性能が重要な応用に選択的に適用するようにする。それとともに、足りない安全度を補完してくれるセキュリティデバイス及び機能が製品内に搭載されているかを是非検討しなければならない。

 

S54543

【コラム】 クレジット取引セキュリティ、P2PE暗号化で安全

 

どんな国であれ、外国を訪問した外国人は、大小のカルチャーショックを経験する。

自分が精神的に属している母国の文化とは全く異なった異国の文化を経験した際感じる衝撃は、2回にわたって起こる。初めは、慣れていない文化を接したときの衝撃と、その国の文化にある程度慣れて、自分の国に戻った時、今更感じるようになる見慣れない感じだ。

 

、クレジット取引の

韓国人として、日本で生活しながらも少なからぬ文化衝撃を経験した。その中でも代表的なものが現金使用に関する文化だ。韓国では、本当にクレジットカードだけ持って生活した。クレジットカードで電車・バス・タクシーなどの公共交通を利用したり、ご飯を食べたり買い物をするなど、あらゆる日常的な行為をカード一つで解決した。最近は、カードも面倒になり、財布さえ持たないまま、スマートフォン一つだけを持って外に出ていた。コンビニではスマートフォンを端末機にかざすと,直ちに決済が完了される。インターネットショッピングも、銀行取引も全てスマートフォンで処理ができるから、本当に携帯一つで日常のあらゆることを解決できるのだ。

 

しかし、日本に来てみたら、いつも現金を準備しなければならないのが一応不便だった。クレジットカードを取り扱わない店も意外にかなり多く、カード決済はできるが、決済処理にかなり長い時間が所要される店も多かった。そうなると、「カード決済できますか?」と問うこともちょっとはばかりがあった。韓国と文化が完全に違う。確かに、代々引き継がれてきた老舗にNFC方式のモバイルペイ機能を支援する最新のPOS端末機が置かれているのもちょっと変に見えるようだ。それにも便利さの中毒性は、本当に恐ろしいもので世の中が少しずつ少しずつ変化していく時はその変化に気付かないが再び過去に戻ろうとしたらとても不便で、絶対戻れないのだ。それで、日本の現金文化はまだとても不便に感じられる。

 

とにかく、そうするしかないから現金を持って外出することに慣れるしかなかった。そして、ある程度慣れてきたとき、韓国に戻った。すると、またこれは変な気がすることになる。この便利さは、いや、これは本当にちょっと恐ろしいことではないか。これは大胆過ぎるじゃないか。クレジット決済のセキュリティ規格の中で「トラック1」に記録される銀行のアカウント情報、「トラック3」の提携社の情報などの決済と直接関連していない情報を保存するトラックとは違って、クレジットカードのカード番号、発行日、有効期限などの決済過程で必需的な情報を保存する「トラック2」の敏感情報は、もし奪取された場合、誰でもどこでも任意で決済することができる。それでパスワードを含めたトラック2データは、国際闇市場で1つあたり$4,000程度で取引されるとても価値が高い情報だ。そのような情報が特別な確認手続きもなしに、こんなに広範囲にやたらに流通されても、果たして安全なのか? 5万ウォン以下の取引は、署名手続きも省略し、そのまま決済される。便利だが、不安だ。

 

安全だが難しい「PCI DSS

もちろん、クレジット取引安全のための装置はある。クレジット取引の安全を担保する最も一般的な基準であり、事実上の国際標準は「PCI DSS」だ。「PCI DSS」とは、クレジットカード会員のカード情報および取引情報を安全に管理するためにクレジット取引の全過程にかけて、取引と関連した者らが共に遵守しなければならないクレジット産業界のセキュリティ標準である。PCI DSSが登場する前には、クレジットカード会社ごとにそれぞれ異なるセキュリティ基準を要求した。それで、クレジットカード加盟店の事業者たちは各会社の異なる基準を全て合わせなければならなかったが、これは難しくて費用もたくさん払わなければならなかった。このような不便さを解消するため、JCB、アメリカン・エキスプレス、Discover、MasterCard、VISAなどの国際的なクレジットカード企業が共同で委員会を組織し、「PCI DSS」という規格を策定した。会社たちの約束に過ぎないが、事実上の国際標準として通用される。

 

クレジット取引の基準として「EMV規格(EuroPay、MasterCard、Visaの間で合意したICカード統一規格)」を使用する日本もPCI DSS規格に準拠したセキュリティ対策を樹立している。2020年3月を目標にPCI DSSに準拠してEMV基準ICカードのセキュリティ対策を打ち出した。ところが、難しくて費用もかかるのでPCI DSSを打ち出したわけだが、これも相変わらず難しくて複雑だ。POS加盟店の基準でPCI DSS規格を準拠するための努力と費用はかなりであるのだ。小さくてきれいな店一つを出したいという夢があっても、クレジット取引基準を合わせることが難しくて最初からあきらめなければならないほどだ。

 

このような問題を韓国は「VAN(Value Added Network)」会社がクレジット取引プロセスの中間段階で解決する。VAN会社らは、クレジットカード会社の代わりに加盟店を募集し、端末機などのデバイスを提供して、カード決済承認の過程を中継してくれて、売上データを整理する伝票の買い取りサービスなどを提供する。クレジットカード会社と加盟店の面倒な仕事を代わりにしてくれるわけだから、一応便利だが、取引1件ごとに別途の課される手数料が決して少なくない。「VAN手数料引き下げ!」が政治家たちの選挙公約になるぐらいだ。開業の時、併せて多く課すか、商売しながら少しずつ課すかを選択することだ。そして、真ん中でマージンを得るという事業の性質のため、大手の流通社を相手にした不正腐敗などの事件もたびたび起こる。高コスト問題をなんどか避けようとする間、むしろはるかに大きくて恐ろしい他の問題に会ったのだ。

 

クレジット取引セキュリティ、P2PE化で安全

PCI DSSは安全だ。しかし、加盟店の立場では難しいことでもある。これは、まるで「猫の首に鈴をつける。」のような問題だった。ネズミの立場では、猫の首に鈴をつけさえすれば安全だが、これは一体つける気にならないのだ。

しかし、2017年3月、改正された「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画 2017」が発表された。該当ガイドラインが2016年のガイドラインと特に違うところは、POS加盟店に要求されたセキュリティ対策の中で非保持とPCI DSS対応の部分で、「非保持」の方法として「暗号化」を追加し、その内容としてPCI DSS規格の中で「PCI P2PE(Point to Point Encryption)の構造を言及しているというところだ。「PCI P2PE」とは、カード会員の敏感情報をカードリーダ端末機から決済が承認されて処理されるサーバまで安全に転送し、処理する方式に対する規定である。その基になる技術は、「暗号化」だ。そのまま暗号化ではなく、「P2P暗号化」、すなわちクレジットカード端末機からカード会社のアプリケーションサーバを経て、データベースに保存されるまで、データが移動する全過程にわたる「エンドツーエンドの暗号化」だ。これは「E2E(End to End)」暗号化とも呼ぶ。いわば「財布からサーバまで」の意味だ。

 

P2PEまたはE2EEが現実的でないという主張をする人々もいるが、これは、当該用語を文字通りの意味で理解したためだ。エンドツーエンドの暗号化は、端末機から情報を暗号化して、通信区間でSSLを使ったり、区間暗号化を活用することで、何の問題もなく簡単に実装できる技術である。安全で、簡単だ。それで、難しくて複雑なPCI DSS規格の中でまずP2PEから適用しなければならないということだ。他の国々でもすでに一般的に実施している措置だ。韓国では、P2PE措置を取らなかった新規加盟店は、事業を開始することもできない。

 

その十分な安全性の根拠は、「DUKPT(Derived Unique Key Per Transaction)」だ。「DUKPT」とは、カードリーダー端末機とサーバの間に敏感情報が伝送されるたびに毎回新たに生成される「One Time Encryption Key」を使用し、暗・復号化する鍵管理技術だ。すべてのクレジット取引セキュリティは、固有の暗号鍵を使用する。しかし、鍵管理に問題が生じるのなら、ドアーに錠をかかって、錠の隣に鍵をおくことと同じく、全く安全ではない。その中でも最も脆弱な状態は、一つの鍵を暗号化と復号化に同じく使用することだ。錠をかけてすぐ鍵を誰かにあげることと同じだ。しかし、DUKPTは敏感情報を送信するたびに、一度だけ使用される鍵を使用するため、万が一、鍵が露出されることが起きても当該鍵は、ただそのトランザクションにだけ有効するため、悪用される危険が非常に少ない。したがって、DUKPTはPCI DSS規格に最も適合した暗号化方式で勧められるのだ。

 

結論は、クレジット取引の際DUKPTなどの適切な暗号化技術を利用すれば、十分なセキュリティ効果を得られるということだ。リーダー端末機でカード情報を読む同時に、情報を暗号化してしまえば、その情報は誰が盗んでも使えないからそもそも最初から読まないことになる。そして、そのままの状態でサーバまで送り、また、サーバから受け取る情報もまた同じく処理すれば、クレジット取引の過程のどこにも情報がないのと同じだ。盗もうとしても、盗まれない。それで、適切な暗号化技術を利用すれば、十分なセキュリティ効果を得ることができるのだ。

 

つまり、PCI DSSの中で「P2PE」エンドツーエンド暗号化を通じて「トラック2」の情報だけ財布からサーバまで安全に守れば、十分なセキュリティを達成することができる。

 

 

profile

ペンタセキュリティ、ポップコーンザーとパートナーシップ締結し、自動車SW標準技術を適用

ペンタセキュリティ、ポップコーンザーとパートナーシップ締結し、

自動車SW標準技術を適用

 

東京Automotive World 2017に参加し、共同展示館運営

 


データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は、ポップコーンザーとパートナーシップを結び、1月18日から3日間、オートモーティブワールド2017に出展したことを明らかにしました。

 

ポップコーンザーは、昨年の1月設立されたコネクティッドカーSW専門のスタートアップ企業であり、スタートアップ企業としては世界初としてAUTOSAR(オートザー、以下AUTOSAR)の標準技術を保有しています。AUTOSAR(AUTomotive Open System ARchitecture)は、自動車内部でソフトフェアが占める比率が高まることにより制作された自動車業界共通の標準ソフトウェアアーキテクチャであり、トヨタ・BMW・GM・フォルクスワーゲンといったグローバル自動車企業が使用しているソフトフェアプラットフォームとして、自動車分野の事実上の標準(de facto standard)です。

 

今回のポップコーンザーとのパートナーシップを通して、ペンタセキュリティのコネクティッドカー・セキュリティソリューションであるAutocrypt(アウトクリプト)の自動車通信プロトコルに最適化されたファイアウォール(AutoCrypt AFW)をはじめ、自動車内部のセキュリティソリューションにAUTOSAR規格を反映できるようになりました。

 

ペンタセキュリティは、2017年1月18日から20日まで東京ビックサイトで開催された自動車技術展示会「オートモーティブワールド(Automoive World 2017)」に参加し、ポップコーンザーと共同で展示ブースを運営しました。ペンタセキュリティは、この展示会を通じて、AUTOSAR開発ツールが適用されたAutocrypt(アウトクリプト)ソリューションをLinux基盤のAdaptive AUTOSARで具現し、日本で初めて紹介し、展示会を訪れた人々から良い反応を得ました。

 

ペンタセキュリティのCSOのDSKimは「ペンタセキュリティは、約20年前にITベンチャー企業から始めた経験があるため、企業規模に関わらず優秀な技術を保有しているスタートアップやベンチャー企業とのパートナーシップを常に肯定的に検討している。」とし、「数千円のAUTOSAR開発ツールをサービス方式のソフトウェアSaaS(Software as Service)で使用できるように提供するポップコーンザーの企業信念は、情報セキュリティを一つの文化として作りたがるペンタセキュリティと非常に似ている面が多い。コネクティッドカー時代が到来したとき、世界中の誰もがAutocrypt(アウトクリプト)で安全な自動車で生活できるように製品開発にさらに努力していくつもりだ。」と言及しました。

 

Autocrypt(アウトクリプト)

ペンタセキュリティのIoTセキュリティR&Dセンターの「ピックル(PICL; Penta IoT Convergence Lab)」が8年にわたって研究・開発したスマートカーセキュリティソリューションで、世界初の車両用アプリケーションファイアーウォールです。車両の外部から内部に侵入する攻撃トラフィックを検知し、車両内部で使用される様々な暗号キーや証明書、車両外部のセキュリティ通信に使用されるキーのライフサイクルを管理します。

 

 


本件に関するお問い合わせ

 

ペンタセキュリティシステムズ株式会社

E-mail : japan@pentasecurity.com

TEL : 03-5361-8201

 

company

【コラム】 実用主義企業セキュリティの3要素

この前、「経営層が知っておくべきセキュリティ――対策は実用主義暗号化で」を投稿した後、このような質問を受けた。

「実用的セキュリティとは何か?実用的に保護するためには、何をしなければならないか?」
「何から始めて、どんな技術で、どのように設計したら実用的なセキュリティか?」
「技術者でなく、経営者の立場から実用的セキュリティを実現するためには、何を知るべきか。」

セキュリティの最も深刻な問題は技術の難解さであり、そのため、企業の現場では相対的に理解しやすくて簡単な根本的な方法論だけを選択する傾向があり、これは、結局セキュリティの弱点になり、事故が発生する。なので、より現実的で実用的な方法論が必要だという話までにして、話を終えたが、これはちょっと無責任に見せたかもしれない。それで、上の質問に対して、より総体的な答えを申し上げたい。

 

個人セキュリティと企業セキュリティ

何から始めたら良いか。それは、「個人セキュリティ」と「企業セキュリティ」の違いを理解することだ。
セキュリティ事故が発生すれば、いつも「わが社は、セキュリティをしたんだけど!」と被害者の訴えを聞いたりする。それは、事実だ。確かにセキュリティ措置を取ったのは確かだ。しかし、事故は発生する。それなら、セキュリティ措置は最初から余計なことだったのか? そうだ。そのようなセキュリティは、無駄だ。経緯が明確な事故が繰り返して起きるのは、何か問題がある方法論、特に個人セキュリティ措置だけを取っているためであり、これは「個人セキュリティ」と「企業セキュリティ」の差をきちんと理解していないためだ。
一般的に、「ITセキュリティ」というと、ほとんどの人はアンチウイルスやパスワードを思い浮かべる。これは、全て個人セキュリティ観点での問題だ。特に、アンチウイルスは、企業と機関が使う大規模の電算システムの動作とは距離があり、あくまで個人のPCのための道具だ。なのに、セキュリティ事故が起こると、アンチウイルス会社が事件のプロファイラーを自任し、対策としてワクチンの設置を勧める場合が多い。実際には、ほとんどの電算システムとそのOSにはワクチンの設置ができないのにもかかわらず。そして、事故が発生した会社のPCにはすでにワクチンぐらいはもちろん設置しておいたにも。
もちろん、とても関係がないわけではない。企業の電算システム構成がどうであれ、そしてどんなOSを使うとかは関係なく、企業に属する個人ユーザが接する環境はほとんどがPCやWindowsシステムであり、これを侵入経路として利用し、犯罪を図る場合も結構あるから、完全に無駄だというわけではない。しかし、個人セキュリティと企業セキュリティは、最初から違う概念から始まって、その方法論もまた全く違う。にもかかわらず、社会的に個人セキュリティだけが強調されたため、相対的に企業セキュリティは重要な問題と扱ってない。技術者さえ、それが何なのか知らない場合が多い。
では、企業セキュリティの構成要素とその核心になる道具を調べてみよう。

 

企業セキュリティ = データセキュリティ+Webセキュリティ+認証セキュリティ

企業セキュリティの3要素とは、
1)データセキュリティ
2)Webセキュリティ
3)認証セキュリティ
である。

 

そして、各要素の核心になるのは、

 

1)データの暗号化
2)アプリケーションセキュリティ
3)セキュリティ認証サーバ
である。

 

1)データセキュリティ

今日のITセキュリティの中心は、過去のネットワークやサーバなどの電算インフラを保護することに力を尽くした装置的セキュリティからデータとアプリケーションを保護する情報的なセキュリティに移動している。これは、私たちが最後まで守らなければならない価値が何なのかを悟っていく過程と見ることができる。企業、そして機関が究極的に守らなければならない本当の価値は「データ」だ。そして、データを守る様々な方法の中で最も根本的で安全な方法は、「暗号化」だ。事実上、唯一である。暗号化の他には、事実上方法が別にないからだ。そして、データ暗号化はたくさんの企業セキュリティ要素の中でも最も根幹をなすセキュリティインフラの基盤技術である。

 

2)Webセキュリティ

 

すべてのデータは、アプリケーションを通じて移動する。そして、今日のアプリケーションの主な環境はウェブだ。最近のウェブは、通信技術だけではない。システム環境からユーザインタフェースに至るまでのすべてのIT技術がウェブで収集され、統合されている。これからは、全てのアプリケーションがウェブ環境で開発されて運用されるはずだ。ウェブに統合される環境の変化は、より広く繋がってさらに多くのものを共有しようとする開かれた社会への変化を意味する。これは、誰でも逆らうたくても、あえて逆らうことができない時代的な流れであり、Webセキュリティの重要度は今も非常に高いが、これからはより高まるだろう。「Webセキュリティ」は、企業セキュリティの実戦的な最前線である。
前述で、全てのデータは、アプリケーションを通じて移動すると述べた。システムやネットワークではなく、アプリケーション、そして最近のウェブは、通信技術だけではないとも話した。これは、Webセキュリティにおいて最も重要な弱点を指摘しようというものだ。よくウェブを通信技術だけと考えて、ウェブセキュリティをシステムセキュリティやネットワークセキュリティ方法論で解決しようとする試みをしたりする。たとえば、ネットワークファイアウォールがウェブセキュリティソリューションの振りをしたりもする。しかし、ウェブセキュリティにおいて最も重要な領域は、アプリケーションセキュリティだ。実際に起きているウェブセキュリティ事故、いや、最近起きている全ての情報セキュリティ事故の約90%がWebアプリケーションの盲点を悪用した攻撃による事故だ。事故が最も頻繁に起きるところから優先的に集中して防御する。これが、実用的な考え方である。重ねて強調するところだが、ウェブセキュリティにおいて最も重要な核心は、「アプリケーションセキュリティ」だ。

 

3)認証セキュリティ

そして、個人セキュリティと企業セキュリティの概念が最も密接に交差する地点が、「認証セキュリティ」だ。個人セキュリティレベルでの認証セキュリティ方法として最も有名なのはパスワードだ。しかし、ユーザー個人ができることは、ただ難しいパスワード作るぐらいに過ぎない。もちろん、パスワードを十分難しく作るなら安全だ。しかし、一定の形式を備えて十分に安全なパスワードをセキュリティ政策によって定期的に変更するなど、複雑な手続きが必要だ。そうすると、結局、侵入者から防除することはするが、自分もパスワードを忘れてしまってシステムにアクセスできない状態に至ることも案外によく起こる。これは、より実用的な認証セキュリティの必要性を逆説的に話したものだ。認証セキュリティの必須要素、つまり、十分なセキュリティとユーザーの便利性、そして業務効率性の間の関係が崩れた結果と見られる。そして、企業がやるべきことを個人に転嫁した無責任な態度とも見られるだろう。「認証セキュリティ」は、従来の個人セキュリティレベルから企業セキュリティレベルに移る、情報セキュリティ概念の転換点である。
企業セキュリティレベルでの認証セキュリティの核心は、「セキュリティ認証サーバ」である。「SSO(Sigle Sign-On)」機能を備えた認証サーバは、認証手続きを一本化することにより、サーバの数が非常に多い企業の電算環境でも、各サーバごとに異なる認証手続きを経ず、全体を利用することができるように一括的に処理が可能にしてくれる。ユーザーの身元を確認して、単一認証だけで、全体サーバへのアクセスを許可はするが、ユーザー各自の権限によって各サーバに対して異なる権限を適用し、統合的に管理する。このような基本的な機能に加えて、セキュリティ認証サーバは、上の過程全体にわたって十分なセキュリティまで維持してくれる。これを通じて、前で列挙した認証セキュリティの必需要素、十分なセキュリティとユーザーの便利性、そして業務の効率性まで全て充足する。

 

実用主義企業セキュリティの3要素

 

では、最初の質問に戻って、
「実用的セキュリティとは何か?実用的に保護するためには、何をしなければならないのか?」

企業セキュリティの3要素 : 1)データセキュリティ・2)ウェブセキュリティ・3)認証セキュリティ
各要素の核心: 1)データ暗号化・2)アプリケーションセキュリティ・3)セキュリティ認証サーバ

 

これをすれば良い。これならなら十分、「実用主義企業セキュリティ」を成し遂げたと言えるのだ。

 

 

profile

ペンタセキュリティ、セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

 

ペンタセキュリティ、

セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

暗号化ニーズが高まったIT市場でDB暗号化ソリューションD’Amoの供給拡大の見込み

データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社 (日本法人代表取締役社長 陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が11月24日、システムプラザ株式会社(以下システムプラザ)とのパートナーシップを締結し、暗号化ソリューションD’Amo(ディアモ)の供給を本格的に拡大することを明らかにしました。

 

今年の1月から「特定の個人を識別するための番号の利用等に関する法律(通称マイナンバー制度)」の施行とともに、2020年東京オリンピック・パラリンピックの開催を控えて、信用取引セキュリティ環境の整備を目標とした「クレジットカードの取引のセキュリティ対策の強化を向けた実行計画」を発表し、情報保護に対した高まった関心を表したことがあります。また、6月にはJTB情報漏えい事故で約793万人の個人情報が流出され、データベースセキュリティ対策お重要性に対する認識が高待っている傾向です。

 

こうした中、情報セキュリティ専門企業であるペンタセキュリティがITセキュリティソリューション販売会社であるのシステムプラザとパートナーシップを締結しました。システムプラザは、化学および食品産業などの製造業のための基幹業務パッケージの開発・販売・コンサルティングなどを提供する企業で、エンドポイントのための情報セキュリティソリューションの流通をしてきて、最近高まる暗号化ソリューションへのニーズに応えるためにペンタセキュリティとパートナーシップを締結して、ペンタセキュリティの暗号化ソリューションでD’Amo(ディアモ)を本格的に供給することにしたものです。

 

今回のパートナーシップ締結を通じて、日本に本格的に供給を拡大する予定であるペンタセキュリティのD’Amoは、2004年商用化されたDB暗号化ソリューションとして全世界の約3,600の構築実績を持っており、OracleとMicrosoft SQL Serverなどの代表的なDBMSだけでなく、ERPソリューションのSAPにも暗号化を提供しており、優れた性能を認められています。この10月には、アメリカの情報技術研究および諮問機関であるガートナーが発表した「2016 Gartner Hype Cycle for Data Security報告書」でデータベース暗号化(Database Encryption)および形態保存暗号化(Format-preserving Encryption)技術を保有しているベンダとして紹介されました。

 

ペンタセキュリティのCTOのDSKimは、「日本でも持続的に暗号化ソリューションに対する需要が発生していたが、繰り返される大規模の情報漏えい事故以後、暗号化ソリューション導入の必要性を痛感した企業が大きく増えた。」とし、「システムプラザが持っているインフラを通じて、製造業分野の顧客を中心に期間業務パッケージ暗号化の供給を拡大する予定である。」と言及しました。

 D’Amo(ディアモ)

2004年リリースされたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,600ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

GI (1)

【コラム】 企業経営を脅かすITセキュリティ。答えは、実用主義暗号化

企業経営において最も大きなリスクは、伝統的にいつも「経済の不確実性」だった。しかし、最近「ITセキュリティのリスク」が話題になり、企業経営において最も大きなリスクとして1位と挙げられるようになった。経営の一線もこのようなリスクに対し、不安を訴える場合が多くなっている。

不確実性のせいで発生する問題は、たいてい企業が自ら感受したら終わらせることができることだったし、かつてからあったから、まるで空気のように当たり前に感じられるが、新型リスクであるサイバー脅威は、不慣れさのためなのか、気まずくてまた不便だ。さらに、その勢いもまた激しくなっていて、問題が起こるとマスコミからも会社を崩す勢いで連日報道するから、収拾も難しくて到底手に負えないという文句が出ている。

ITセキュリティ事故は、持続されなければならないビジネスの連続性を害し、投資者に悪影響を及ぼすだけでなく、深刻な場合、社会的な混乱を引き起こし、災害レベルの経済活動の麻痺、そして企業活動の停止にまでつながったりもする。IT危機の対応能力は、企業の最も重要な資産であり、成功企業のコアコンピタンスだという認識は、もはや必需的な事項になった。従って、従来の危機管理方法を再検討し、新しいアプローチを探さなければならない。

 

ITセキュリティ理解の核心

 

経営者の立場から見るとITセキュリティの最も深刻な問題は、難解さではないだろうかと思う。いくら集中して聞いてみても、いったい何を言っているのかが分からない。到底理解できない。本を探してみても、技術者ぐらいになったらやっと読める完全な技術書でなければなんの役にも立たない、余計な言葉だけを述べている書籍だらけだから学びたくても学ぶことができないのだ。このような事情のため、経営と技術の間にギャップは徐々に広がるし、その隙を狙った犯罪者と詐欺師だけたくさん集まって、各種の事件や事故は絶えない。

ITセキュリティを完全に理解することは、実はとても難しいことだ。数多くの重要要素をいろいろな側面から見て検討しなければならず、技術だけでなく、技術以外の領域に至るまで完全な知識で武装しなければならない。しかし、他の分野と同じくITセキュリティにも柱の役割をする中心がある。重要な脈絡の流れを把握して全体を見る観点を持つようになると、その難解なITセキュリティが明瞭な一つのイメージとして浮かべることを体感できる。

ITセキュリティ技術の理解の最も重要なポイントは、まさに暗号技術である。暗号化は、ITセキュリティの始まりであり、最後と言えるほど重要な要素である。暗号技術を中心にITセキュリティの知識と観点を繋ぐことにより、総体的な観点を持つようになれば、簡単にITセキュリティ全体の姿を眺めることができるだろう。

 

「いや、ITセキュリティ技術の核心は、アンチウイルスやファイアウォールではないか?」

 

違う。暗号技術である。より詳しく調べてみよう。

 

ITセキュリティの二つの方法論

 

ITセキュリティ分野は、難解で巨大に見えるが、その方法は簡単に二つに分けることができる。「脅威からの防御」と「安全なシステムの設計および実装」である。これは、人間が健康を守る二つの方法と比較してみたらすぐ理解できる。

「脅威からの防御」は、すでに作られた既存システムをよく守るための方法である。アンチウイルス、侵入検知・防御、脆弱性点検システムなどがこれに該当する。体が痛いなら、病院に行って治療を受けて注射を受けて薬を飲むのと同じだ。当然、取るべき措置だ。しかし、企業のネットワークセキュリティは、いくら最善を尽くしても結局攻撃にやられてしまう。

例えば、最近マスコミからよく登場する「APT攻撃」は、本当にうんざりするほどのしつこい攻撃である。少しずつシステムに侵入し、結局は全体を掌握してしまう。現在、数多くのAPT防衛システムが販売されているが、正直言うとまともなシステムは一つもない。大げさではなくて、本当にない。

一方、「安全なシステムの設計および実装」は、より根本的な方法である。問題が発生すれば、それに対応するのではなく、最初からシステムを安全に設計して、実現することだ。健康な生活のために毎日運動したり、バランスが取れた栄養素を摂取するなどの「健康に良い習慣」と似ていると言える。

ここで「安全」という言葉は、ユーザーが正常的な方式でアクセスして、統制された権限システムの中で情報を閲覧し、これに対する監査情報が記録されるシステムの存在を意味する言葉である。言い換えて、ITシステムが常識的なレベルで合理的に運営されることを意味する。こうした「安全なシステムの設計および実装」という、根本的に問題を解決するための方法を自由自在にすることにおいて必ず必要な道具がまさに「暗号化」である。適合なユーザーであろうかを認証し、非正常的なアクセスがある場合は情報を隠して、権限のある人には情報が閲覧できるようにする。また、監査情報に対する整合性を保障してくれる。つまり、合理的なシステムの動作を保障し、証明するコア技術である。

システムを設計段階から安全に実装したことは、セキュリティに最善をつくしたことを証明する証拠となる。したがって、万一の場合、セキュリティ事故が発生しても処罰されない根拠となる。根本的な問題解決の努力をしたから「脅威からの防御」方法に比べて、責任免除の法的な根拠もより充実している。したがって、技術的に見ても、経営的に見ても、「安全なシステムの設計および実装」は「脅威からの防御」に比べ、優れると言える。究極的なセキュリティ概念によって、発展して進化する方向性と見ることもできる。

ITセキュリティ問題から自由でいたいなら安全なシステム構築、つまり暗号化しなければならない。

 

用主義暗化の必要性

 

安全なシステムの実装があんなにも重要であるのに、どうしてほとんどの人たちはITセキュリティと言えば「脅威からの防御」だけを思い浮かべるのか。それは、攻撃と防御状況がまるで一枚の絵のように描かれて、直観的に理解することが容易だからである。実際に、比較的には簡単な技術でもある。これは言い換えれば、「安全なシステムの設計および実装」が難しいからである。その中でも、暗号技術は特に複雑で難しい。最も重要な技術が難しいから接近も難しくなる。それで、アンチウイルスやファイアウォールのようにすぐ処方できる方法だけを見るようになるのだ。

セキュリティ技術、特に暗号化と関連されている知識を学ぶのはかなり難しく感じられる。活字化されている知識体系もまともに整えていなくて、数冊の本を同時に読みてこそやっと核心原理を理解できる。しかも、ほとんどの本が非常に厚くて、現場では使われない、余計な話もたくさん書かれてある。だから、あちこちに散らばっている知識を有機的に繋げるのは読者が直接しなければならないが、これはとても難しいことだ。しかし、技術をきちんと理解するためには、その高い壁を超えるしかない。そのため、しっかりとした技術者の数が少ないものだ。

しかし、考えを変えてみよう。暗号技術自体を原論的に理解するのと、企業現場で十分なセキュリティのために暗号技術を理解することは全く違う問題である。つまり、ITセキュリティに対する洞察を得るためにはコンピューティング(Computing)とネットワーキング(Networking)知識の上、セキュリティ知識を積まなければならない。コンピューティングやネットワーキングというテーマを完璧に理解することは非常に難しいことだが、十分なセキュリティ性を達成するためのレベルでコンピューティングやネットワーキングの原理を理解することは、相対的に容易なことであろう。

同様に、暗号技術自体は難しいが、安全なシステムを作り上げるために暗号技術をどうやって活用するかを学ぶことは、さほど難しくない。そして、企業現場ではそのレベルぐらいの理解でも十分だ。結局、目的は暗号制作えではなく、「セキュリティ」だからだ。実用的に暗号技術を理解しようとする目的は、安全なシステムの設計および実装するためであり、完全に新しい暗号アルゴリズムを作る事ではない。

これを既存の学術的な暗号化理論と比べるために「実用主義暗号化」と呼びたい。実用主義暗号化は切実だ。安全なシステム設計および実装において最も重要な技術だからだ。

 

安全なシステムの設計および

 

安全なシステムの重要性を見るために、韓国のケースを見てみよう。韓国は、短い間、社会全般にIT技術を融合することで、いわゆる「IT強国」になった。現在、韓国は日常のすべてのことがIT技術に基盤して行われている。非常に便利だが、その過程でシステムをむやみに設計・運営してしまい、まともな情報セキュリティは果たせなかった。

これは、セキュリティを眺める近視眼的な観点のせいだ。その結果、システムが発展する過程でセキュリティ的な重要度によってきちんと情報が分類されなかった。一般情報か重要情報か、識別情報か認証情報か、公開情報か秘密情報かを厳格に区分して、データベースを設計して体系的に管理することがセキュリティの始まりだ。しかし、韓国のほとんどのシステムではデータを入り混ぜて管理している。文書上では、情報分類及びセキュリティレベル管理などの指針があるが、現実の環境ではこれはとても難しいことだった。企業だけでなく、国家行政的にも情報システムの運営において体系的なセキュリティが行われなかった。そして、大型事故が相次いで発生した。全体人口数よりもはるかに多くの個人情報が一気に流出される笑えない事故も起こっている。それも非常に頻繁に!

これは、ITセキュリティの問題においては見本としてちょうど良い例ではないかと思う。

実用主義暗号化を通じて、安全なシステムの設計および実装を成し遂げることを願う。