Posts

profile

ペンタセキュリティ, 韓国仮想通貨取引所に論理演算分析エンジン搭載WAFの「WAPPLES(ワッフル)」を提供

ペンタセキュリティ,

韓国仮想通貨取引所に論理演算分析エンジン搭載WAFの「WAPPLES(ワッフル)」を提供

仮想通貨取引所をターゲットとするサイバー攻撃急増に伴い、Webセキュリティシステム構築が不可欠に

データ暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が11月14日からブロックチェーンプラットフォームの専門企業である「CERTON」が運営する仮想通貨取引所の「コインリンク(www.coinlink.co.kr)」に、自社開発の論理演算分析エンジンを搭載したWebアプリケーションファイアウォールの「WAPPLES(ワッフル)」を提供することを明らかにしました。

 

現在運営されている多数の仮想通貨取引所は、その規模が小さい場合が多く、セキュリティシステムがまだ構築されていないため、セキュリティが確保できていないところが多いです。しかし、世界的に仮想通貨市場がすでに急成長し、拡大の一路にあり、一日あたり取引される金額が約1000億円となるなど、市場拡大により、これをターゲットにするサイバー攻撃が国内外を問わず急速に増加しています。

 

日本では、2017年上半期に個人の仮想通貨口座をハッキングした事件が33件発生し、これによって、約7650万円の仮想通貨が盗まれた事件がありました。(※1) これだけではなく、韓国最大規模の仮想通貨取引所である「Bithumb」では、職員のPCがハッキングされ、約3万人分の顧客情報が流出される事件(※2)があり、香港の仮想通貨取引所である「BITFINEX」もハッキングで約6500万ドルのビットコインを盗まれた事件がありました。(※3) このように、仮想通貨取引所をターゲットにしたサイバー攻撃の増加につれ、多数の仮想貨幣取引所はセキュリティの重要性を認知し、本格的にセキュリティシステムを構築し始めました。

 

「コインリンク」も、このような個人情報流出やハッキング脅威などの様々なサイバー攻撃に対応するため、セキュリティ専門企業との業務協約を締結し、ユーザーが安全に利用できる仮想通貨取引所の構築に勤しむ中、ペンタセキュリティの「WAPPLES(ワッフル)」をコインリンクに導入することで、高レベルのセキュリティシステムを構築できるようになりました。

 

今回「コインリンク」に導入されたペンタセキュリティの「WAPPLES(ワッフル)」は、国内およびアジア∙パシフィック地域1位のWebアプリケーションファイアウォールで、独自の技術力で開発された論理演算分析エンジン(COCEP)を搭載しており、まだ知られていない攻撃まで遮断し、誤検知率を低くしたのが特長です。そして、総26個のセキュリティポリシーがサイバー攻撃自体の特性を把握して対応するため、誤検知がほとんど発生しないのも特長で、1日約数千億円まで取引される仮想通貨取引所には最も適合した製品です。

 

ペンタセキュリティCSOのDSKimは、「国内だけでなく、全世界的に多数の仮想貨幣取引所がハッキングのターゲットになる今、さらに高レベルのセキュリティを持たなければならない。セキュリティシステム構築に投資しない仮想通貨取引所は、長期的な観点から見ると淘汰されるしかない。」とし、「ペンタセキュリティの金融機関の受注レファレンスを基盤にして、Webセキュリティとデータ暗号を適用すると、仮想貨幣取引所を利用する顧客らが情報漏洩や資産損失に対する憂慮なく、安全な取引できる環境を確保することができる。」と言及しました。

 

※1出典:毎日新聞、”仮想通貨不正アクセス送金33伴 被害7650万円 1~7月”、2017年09月07日
※2出典:Business Insider、”世界最大規模のビットコイン取引所がハッキングに、韓国Bithumb”、2017年07月06日
※3出典:日本経済新聞、”ハッキング、香港でビットコイン65億円盗難”、2016年08月03日

WAPPLES(ワップル)

WAPPLESは, 世界各国170,000のWebサイトを保護している信頼のソリューションであり、ペンタセキュリティが独自開発し4ヶ国特許を取得した検知エンジンを搭載し、セキュリティ専門家に頼らなくても使える知能型WAFです。

 


 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

profile

「2017年9月号」 急増したweb脆弱性、8月に​最も多かったのは?最近WEBセキュリティ​トレンドから多様な情報を伝えます。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

■□■ ペンタセキュリティシステムズ メールマガジン 2017/09/28 ■□■

https://www.pentasecurity.co.jp

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

目次

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【01】ペンタセキュリティ、神戸デジタル・ラボと販売代理店契約を締結

【02】最新Web脆弱性トレンドレポート2017年8月号公開

【03】【特別連載】Q&Aで分かるモノのインターネット(IoT)のすべて

【04】今月のコラム「超スマート社会の始まりは、クレジット取引から」

【05】【今のトピック】みんなが分からなければならないセキュリティイシュー

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【01】ペンタセキュリティ、神戸デジタル・ラボと販売代理店契約を締結

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

ペンタセキュリティが9月26日、関西有数の企業である神戸デジタル・ラボ

と販売代理店契約を締結いたしました。この契約を通じて、ペンタセキュリティの

クラウド型WAFであるクラウドブリック(Cloudbric)のエンタープライズWAF

サービスを関西地方で本格的に拡大する予定です。詳しい内容は、下記のプレス

リリースからご確認ください。

 

>>プレスリリース全文はこちら

https://goo.gl/daHG38

 

*クラウドブリック(Cloudbric)

アジア・パシフィック地域のマーケットシェア1位のウェブアプリケーション

ファイアウォールであるペンタセキュリティのワップル(WAPPLES)の論理演算

検知エンジンエンジンを活用したクラウド型WAFサービスです。

 

▼ クラウドブリック(Cloudbric)に関する詳細情報はこちら ▼

≫≫ https://goo.gl/pGauEA

≫≫ https://goo.gl/dk4Ltp

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【02】最新Web脆弱性トレンドレポート 2017年8月号

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

ペンタセキュリティが毎月(年12回)提供しているExploit-DBのWeb脆弱性項目をもと

にしたトレンドレポートです。本レポートは、世界的に幅広く参考している脆弱性関

連のオプーン情報であるExploit-DBより公開されているWeb脆弱性について、ペンタ

セキュリティのR&Dセンターのデータセキュリティチームの専門的知識と経験を活か

し作成されています。

 

【概要】

2017年8月に公開されたExploit-DBの脆弱性報告件数は、総90件であり、その中で

SQLインジェクションが70件で最も多い件数で発見されました。公開された70件のSQ

Lインジェクション脆弱性の中で26件はJoomla CMSで発見されたものでした。

したがって、Joomlaを使用しているユーザーは特に

主要コンポーネントに対する最新パッチで脆弱性に対応する必要があります。その他

にも、ほとんどの脆弱性は、ウェブアプリケーション攻撃から発生しています。

 

>> 最新Web脆弱性トレンドレポート全文はこちら

無料ダウンロード: https://goo.gl/KpToD4

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【03】【特別連載】Q&Aで分かるモノのインターネット(IoT)のすべて

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

「Q&Aで分かる」特集は、ペンタセキュリティが韓国のTVチャンネルである「SBS

CMBCの経済ワイドイシュー」の「生活経済」コーナーで紹介・解説するセキュリティ

関連の内容をまとめて、提供する記事です。モノのインターネット(IoT)セキュリティ

から始まるこの特集は、最近話題になっているネットバンクのセキュリティに関する

話や仮想通貨などの新しく登場したセキュリティ脅威からウェブサイトハッキング、

ITセキュリティ、ホワイトハッカーなどの一般的な情報セキュリティまで現在存在する

様々な種類のセキュリティをテーマとしてよくある質問にご回答しながら解説します。

 

【内容まとめ】

  • 産業分野では自動車や工場などでもIoTを使用している。
  • 全世界のモノのインターネットデバイスは、今年84億台を記録し、来年には111億

台まで増加する見込み。来年の全世界のモノのインターネットセキュリティ関連

市場の規模は6,244千円に達する見込み。

  • モノのインターネットに対するセキュリティは従来のワクチンなどの手段では

絶対的に不足。IoTデバイスは、セキュリティを完璧に備えてから発売されなければ

ならない。

  • IoTデバイス自体でお互いに登録されている一つの経路だけでアクセス・連結できる

ように設定する機能も必要だ。

 

>> 「Q&Aで分かるモノのインターネット(IoT)のすべて」全文はこちら

https://goo.gl/VHK7J5

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【04】今月のコラム「超スマート社会の始まりは、クレジット取引から」

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

毎月ペンタセキュリティの R&D センターからコンテンツ作成し、配信している

セキュリティコラムを紹介いたします。

 

【概要】

今日の日本社会は、大きな変化に直面している。高度化された情報社会、「超ス

マート社会」への変化だ。これは、政府が積極的に推進している公的制度と政策のた

めにでも避けられない変化に見える。しかし、その変化に対して、不安を話したり

政策推進の理由を分からないという不満もさんざん聞こえている。それで、情報と

変化の目的と意義を調べてみて、変化が本格化する前に予め確認しなければならない

現実的対応策を検討しようとする。

 

超スマート社会への移転に向き合って、私たちが確認しなければならないものは一体

何でしょうか。本コラムからご確認ください。

 

>>コラム「 超スマート社会の始まりは、クレジット取引から」全文

https://goo.gl/jpBN8J

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【05】【今のトピック】みんなが分からなければならないセキュリティイシュー

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

今のトピックは、最近話題になっているIT業界の動向と技術、ニュースなどをペン

タセキュリティの視線で叙述しながら、解説するコンテンツです。グローバル的なIT

動向を知りたい方や最近技術に関して知りたい方なら、是非ご覧ください。

 

(1) 今も人と写真の違いが分からないサムスンのスマホ

(2) イルカの音を聞き取れるAIセクレタリーたち

(3) エネルギー分野を攻撃するハッカーグループ

>>今のトピック全文はこちら

https://goo.gl/rKUMSh

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

■ 製品・パートナシップに関するお問い合わせ

ペンタセキュリティシステムズ株式会社 日本法人

Tel:03-5361-8201 / E-mail: japan@pentasecurity.com

 

■ 本件に関するお問い合わせ

ペンタセキュリティシステムズ株式会社

Tel:03-5361-8201 / E-mail: mkt1@pentasecurity.com

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

profile

「2017年8月号」ペンタセキュリティ webセキュリティメールマガジン

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

■□■ ペンタセキュリティシステムズ メールマガジン 2017/08/17 ■□■

https://www.pentasecurity.co.jp/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

◆◆◆ 名古屋・大阪で情報セキュリティセミナーを実施します! ◆◆◆

 

本日は、セミナーのご案内をさせて頂きます。

8月29日(火)・8月30日(水)に渡って、ペンセキュリティシステムズ株式会社と

大興電子通信株式会社が共催セミナーを実施します。

 

『ペンタセキュリティ、名古屋・大阪で 大興電子通信との初合同セミナーを開催』

~ サーバセキュリティからエンドポイントセキュリティまで、

Web攻撃対策に向けた実質的な解決策を提示 ~

≫≫ https://goo.gl/VW7peh

 

【セミナーお申込みフォーム】

≫≫ https://goo.gl/pnwP32

 

「サイバー攻撃への備え”は何をすべきか?」

~多種多様な攻撃手法から機密・個人情報を守るための実施すべき対策~

 

特定の組織や人を狙っう標的型サイバー攻撃は、近年大きな脅威となっています。

進展著しいネット社会の利便性とは裏腹に、2020年に向けた我が国を取り巻く

サイバー脅威への備えは、国家レベルでの対策はもとより、企業全体で取り組むべき

重要な経営課題となってきました。

本セミナーでは、企業の皆様が取組むべきセキュリティ分野で特に重要な入口対策、

クライアントPC対策を分かりやすくご紹介します。

—————————————————————————————-

開催概要

—————————————————————————————-

■名古屋

開催日    2017年8月29日(火)14:30~17:00 (15:00開場)

場所      TKPガーデンシティPREMIUM名駅桜通口

〒450-0002 愛知県名古屋市中村区名駅3-13-5名古屋ダイヤビル3号館

■大阪

開催日    2017年8月30日(水)14:30~17:00 (15:00開場)

場所       アクセア貸会議室

〒541-0051 大阪市中央区備後町3-6-2 大雅ビル5F 第一会議室

参加費     無料

定員      30名

対象       経営者・経営企画担当者

社内情報システムの運用担当者

主催       ペンタセキュリティシステムズ株式会社、大興電子通信株式会社

—————————————————————————————-

プログラム内容

—————————————————————————————-

■「エンドポイント・セキュリティ(Endpoint Security)

~AppGuard Enterprise~」  <講演:大興電子通信株式会社>

今話題の米国政府機関が採用する革新的エンドポイントセキュリティテクノロジー

本セッションでは、攻撃の段階で脅威を遮断する、特許取得済みの革新的な

エンドポイントプロテクション製品についてご紹介致します。

また、エンジンが1MB以下と軽量なため、パソコンのシステム負荷が格段に軽く

業務に支障をきたしません。多種多様な攻撃から機密・個人情報を守る新概念

「アイソレーションテクノロジー」について解説します。

 

■「Webサイト・セキュリティ(Website Security)~ cloudbric ~

< 講演:ペンタセキュリティシステムズ株式会社>

サイバー攻撃は、セキュリティ対策に取り組んでいる企業だけが知っている!?

認知しなければわからないWeb攻撃の実情と低コストのWebセキュリティ対策。

Web攻撃による被害は、企業形態に関わらず起こり得るものの、セキュリティ対策に

取り組んでいなければ、攻撃されていたことすら認知できません。

本セッションでは、意外と知らないセキュリティにおける誤解と今から始める実践的な

Webセキュリティ対策をご提案致します。

 

▼ クラウドブリック(cloudbric)に関する詳細はこちらから ▼

≫≫ https://goo.gl/pGauEA

≫≫ https://goo.gl/dk4Ltp

 

—————————————————————————————-

◆◆◆ ペンタセキュリティが今年で創立20周年を迎えました! ◆◆◆

 

7月21日、ペンタセキュリティが創立20周年を迎えました。この20年、

ペンタセキュリティと共に「信頼できるオープン化された社会」を作るために

力を合わせてきた社員の方々が集まり、創立20年をお祝いしました。

 

『ペンタセキュリティ、創立20周年を迎え

企業顧客向けの未来のセキュリティビジョンを宣言』

~ データ暗号化・Webセキュリティ専門企業ペンタセキュリティの20年 ~

≫≫ https://goo.gl/pX1gGP

 

今回のイベントで、ペンタセキュリティは新しい世界を迎え、「先セキュリティ、

後の連結(Secure First, then Connect)」という新たビジョンを語りました。

より詳しいペンタセキュリティのビジョンや未来へのメッセージや創立20周年記念

イベント現場は、下記のページにてご確認できますので是非ご覧ください。

 

【イベント現場の詳細はこちらから】

≫≫ https://goo.gl/2aGxg5

—————————————————————————————-

◆◆◆ コラム :「クラウド時代のセキュリティ、核心だけ簡単に 」 ◆◆◆

 

最近クラウドの人気が高まり、これにより企業のコンピューティング環境を企業が

直接管理しないから、従来のあらゆるセキュリティ問題から自由になったわけか、

と考えがちですが、そうでもありません。クラウドサービス提供者は、ハードウェア

レベルでのセキュリティを提供するが、アプリケーションやデータセキュリティは

相変わらずサービス利用者の役目からです。それで、最近ITセキュリティの核心、

本当に必須的な核心だけを簡単に書きました。

 

詳しい内容は、下記のURLにてご確認ください。

【セキュリティコラムの詳細はこちらから】

≫≫ https://goo.gl/57VkzJ

—————————————————————————————-

【お問合せ先】

ペンタセキュリティシステムズ株式会社

e-mail : japan@pentasecurity.com

tel : 03-5361-8201

Homepage : https://www.pentasecurity.co.jp/

title_SEC_1706

ペンタセキュリティ、大阪・福岡で情報セキュリティセミナー開催

 

ペンタセキュリティ、大阪・福岡で情報セキュリティセミナー開催

@ITセキュリティ・ロドショでサイバ動向解説や
中小企業Webセキュリティにする質的な解決策の提示予定

@it_image3

データ暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社(日本法人代表取締役社長陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は、6月2日と6月30日、大阪と福岡で開かれる「@ITセキュリティセミナー 東京・大阪・福岡ロードショー」に参加することを明らかにしました。

 

@ITは、セキュリティ担当者向けのコンテンツと製品および技術に関する解説記事を提供するITセキュリティ専門媒体で、最近は企業向けの情報セキュリティ対策のを手伝うための様々なセミナーを開催しています。6月には、「@ITセキュリティセミナー 東京・大阪・福岡ロードショー」という名称で各分野の専門家がセキュリティ問題や最新の情報を伝達します。

 

ペンタセキュリティは、今回の@ITセキュリティセミナーのうち、大阪と福岡セミナーに参加します。二回のセッションで、最近のサイバー攻撃動向と企業情報セキュリティに対する誤解について説明し、これに対する代案として実質的で簡単に導入できるウェブセキュリティ対策の紹介など、企業経営者とセキュリティ担当者に役立つ情報を伝える予定です。大阪は6月2日の金曜日の午後3時45分から、福岡は6月30日の金曜日の午後3時05分から40分にわたって進行し、申込者に限って参加できます。

 

今回のセミナーでは、ペンタセキュリティのクラウド基盤のウェブセキュリティサービスであるCloudbric®(クラウドブリック)を直接試演する予定です。Cloudbric®(クラウドブリック)は、アジア・パシフィック地域のマーケットシェア1位のウェブアプリケーションファイアウォールであるWAPPLES(ワップル)の論理演算検知エンジンを搭載したクラウド基盤のWAFで、ユーザーフレンドリーで直感的なダッシュボードを通じて、ウェブサイト攻撃の現況と攻撃の発生地などの情報を簡単に確認することができます。既存の装備形態のウェブアプリケーションファイアウォールとは違って、アカウント生成とドメイン入力、DNSへの転換という3つの段階で、簡単にエンタープライズ級のセキュリティサービスを利用することができ、ヨーロッパなどのグローバル市場から大好評を得ている製品です。

 

ペンタセキュリティのCSOのDSKimは「企業を狙うセキュリティ脅威は増える一方、大手企業ではない中小企業の場合、ターゲットになるという認識がほとんどないため、事前にセキュリティ対策を整えていない企業では攻撃を受けたことすら認知することができない状況だ。」とし、「今回のセミナーを初め、企業各社の情報セキュリティ認識を強化する機会を作り、高いセキュリティを実現できるように持続的にセミナーを拡大していく計画だ。」と言及しました。

 

セミナーに関する詳しい内容はペンタセキュリティ公式ホームページ(https://www.pentasecurity.co.jp)から確認できます。

WAPPLES(ワップル)

WAPPLESは, 世界各国170,000のWebサイトを保護している信頼のソリューションであり、ペンタセキュリティが独自開発し4ヶ国特許を取得した検知エンジンを搭載し、セキュリティ専門家に頼らなくても使える知能型WAFです。


製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

networking-1626665_1280

【コラム】順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

一般の企業で会社の情報セキュリティを担当しているKさんは、このごろ悩み事が多い。個人情報保護法の遵守のため、個人情報が保存されている業務システムに暗号化製品を導入して適用しようとしている。暗号化製品を設置すれば、個人情報保護法の遵守は問題ないが、業務システムの性能が低下する可能性があり、心配が大きい。
その時、偶然「OPE」という技術を採用したという暗号化製品の広告を見ることになる。OPE技術がどのような技術かは分からないが、暗号化後にもDB検索の性能低下がないという説明が大きく伝わってくる。OPEという名前が「Order Preserving Encryption」だから、暗号化(Encryption)も性能低下も解決するということで自分の悩みを一回で解決してくれそうだ。

 

個人情報の保護のため、DB暗号化製品を導入するケースが増え、上記の話のようにOPEに対する関心が高まっている。
「OPE(Order Preserving Encryption)」は、どのような技術であり、どれほど安全なのか。個人情報保護の安全性と性能低下の克服の二兎を得る技術であるかを調べることにしよう。

 

手順を維持する暗化は根本的に危

 

DB暗号化は、個人情報保護のための必須技術と認識されている。DBサーバに暗号化を適用すると、DBサーバに保存されるデータを暗号化して保存し、データを照会する際には暗号化されたデータを復号した後に使用者に対して提供される。DBサーバは暗号化と復号のための処理演算を追加で遂行しなければならないため、速度低下が避けられない。暗号化の適用によるDBサーバの性能低下問題は、暗号化アルゴリズムの効率的な実現技術で解決できる。

DB暗号化でさらに重要な問題は、検索の索引を生成する問題である。検索の索引は、DBに保存されている膨大なデータの中から必要なデータを迅速に照会するために使用されるDB内部の追加情報である。暗号化されたデータから希望するデータを検索するには、暗号化になる前のオリジナルデータを知らなければならないため、暗号化されたデータを全部いちいち復号しなければならない。希望するデータを一つ照会するたびに、膨大なデータをすべて復号しなければならないため膨大な演算量の負担が発生するしかない。これを解決する方法のひとつが、「順序保存暗号化(Order Preserving Encryption、以下OPE)」だ。

OPEは、かなりずいぶん前から存在していた技術だ。OPEの歴史を遡ると、第一次世界大戦から使用された「One-Part Code」技術がOPEの始祖といえる。暗号化されたデータについても、DBの検索索引を容易に作れるという特長のために2000年代からDBMS業界で注目され始めた。2004年には、R.Agrawalを含め4人のIBM研究員たちが最初にOPEという用語を定義した。彼らはOPEの概念に対する数学的モデルと実現に対する方向性を提示したが、安全性に対する具体的な言及や証明をしなかった。
(参考文献:R.Agrawal、J.Kiernan、R.Srikant、and Y.Xu、「Order-preserving encryption for numeric data」、SIGMOD 2004、pp.563~574)

 

データを迅速に照会するためには、データを順に整列しておかなければならない。例えば、数百万人のマイナンバーの中から自分が探すマイナンバーが含まれているかどうかを容易に探す方法は、マイナンバーを13文字の自然数と見て大きさ順に整理しておくことだ。しかし、この方法は暗号化後には使用できない。暗号化は、オリジナルデータを予測できない任意の値に変換する過程なので、暗号化されたデータはオリジナルデータとは全く違う順番に整列されるしかない。暗号化を適用しても、暗号化したデータがオリジナルデータと同様の順番に整列されるようにしてくれる方法がOPEである。大きさが小さい順に整列された数字データ1234、3456、5678という三つの数字があると仮定する。一般的な暗号化を適用すれば、三つの暗号化された数字間の順序が巻き込まれる。OPEを適用すれば、1234の暗号が3456の暗号より前に整列されて、3456の暗号は5678の暗号よりもリードすることになる。

順序保存暗号化という名称のように、果たしてOPEは安全な暗号化だろうか。安全な暗号化は、暗号文からオリジナルデータに関するいかなる情報も得られないべきだ。OPEは、暗号文で「順序」という情報を得ることができ、これをもとに、平文を類推することができる。上記で説明した1234、3456、5678の例に戻ってみよう。1234の暗号文(A)と3456の暗号文(B)を知っていれば、暗号文Aと暗号文Bの間に整列される暗号文Cは1234と3456の間にある値から作られた暗号文であることが把握できる。この場合、暗号を解読しようとする攻撃者が1234と3456を知って、二つの数を暗号化した値(暗号文A、B)たちも知っているため、このような攻撃方法を「選択平文攻撃(Chosen Plaintext Attack;以下CPA)」という。

安全な暗号アルゴリズムは、CPA攻撃モデルを採用した攻撃者が暗号文Cがどんな数字を暗号化したかを区分できない「非区別性(Indistinguishability)」を満足しなければならないが、OPEはこれを満足しないために安全な暗号化とは言えないのだ。したがって、OPEはDES、AES、SEED、ARIAなどと同じ普通のブロック暗号化アルゴリズムと肩を並べそうな高いレベルの安全性を備えていない。世界の情報セキュリティ関連の標準でOPEを見られないことも、このような理由だ。

 

「順序保存を提供する安全な暗号化は不可能なのだろうか」


という問題を解決するために、米国のジョージア工科大学(Georgia Tech)のボルディレワ(Boldyreva)教授を含めた4人の研究者たちが2009年の研究結果を発表した。
(参考文献:A.Boldyreva、N.Chenette、Y.Lee、A.O’Neill、「Order-Preserving Symmetric Encryption」、EUROCRYPT 2009、pp.224~241.)

ボルディレワは、制限的な環境ではOPEの脆弱攻撃であるCPA攻撃をある程度のレベルまでは防御できると証明した。尚且つ、制限条件でOPEにCPA攻撃をブロック暗号化アルゴリズムと同等のレベルに防御することは現実的に不可能というのも明らかにした。つまり、単純アルゴリズムの改善だけではこれ以上の安全性を期待することは難しいということだ。

アルゴリズム自体だけではCPA攻撃から逃れることはできないので、「どう実現するのか」が業界の主要関心事として浮上している。現在、大半のセキュリティ会社がOPEの安全性を補完してくれる技術およびセキュリティデバイスをともに使用し、OPEの脆弱性を補完するために努力している。OPEと共に他の検証を受けた暗号化アルゴリズムを使用したり、順序情報のみをさらに暗号化することなどをその例に挙げられる。しかし、このような状況についてよく知らない一般人たちは、「順序の保存暗号化」という名称だけを信じてOPEを他の暗号化アルゴリズムのように安全性が高いと考えやすい。

実際、ある会社ではOPE技術の安全性を誇大に評価して業界の非難を買ったりした。したがって、OPE関連ソリューションを選択する時には、製品内にOPEの安全性を補完してくれるセキュリティデバイス及び技術があるかを調べた後製品を選択しなければならない。特に、CPA攻撃は攻撃者が暗号化システムに容易にアクセスできる時に主に発生するので、製品にこのような弱点はないかを確認しなければならない。

 

暗号化を必要とする応用は様々だ。安全度が高いレベルで要求される応用がいれば、安全度が高くなくても大丈夫な応用もあり得る。OPEの場合、安全性を一部犠牲にして性能を選んだ応用と見られる。コラムの冒頭に仮想シナリオの主人公だったKさんのように、個人情報保護を必要とする応用では、長期間検証され高い安全度を保障してくれることができる標準的な暗号化技術が必要である。OPEは、オリジナルデータの順序が暗号化後も維持されるというメリットがあるため、データ検索などでは有用な技術であることに違いないが、安全性には限界があるということを忘れてはならない。

したがって、セキュリティ業界はOPE技術を適用する場合、安定性が脆弱な部分と程度については、ユーザに正確に知らせなければならない。一方、使用者は従来のブロック暗号化アルゴリズムと同レベルの安全な暗号化を提供したりはしないということを理解して、安全度よりも性能が重要な応用に選択的に適用するようにする。それとともに、足りない安全度を補完してくれるセキュリティデバイス及び機能が製品内に搭載されているかを是非検討しなければならない。

 

hacker-1944688_1280

【コラム】 セキュリティ脅威にはアクセス制御より暗号化が効果的だ。


データベースセキュリティや情報漏えい対策において「暗号化」と「アクセス制御」はどちらがさらに重要であろうかを常に熾烈に競争してきた。

この二つは、セキュリティに対するアプローチからお互い明確に違って、長所と短所もそれぞれ違うのでユーザたちを悩ませた。
それで今回は基本の基本である暗号化とアクセス制御の長所と短所を調べて、究極的に情報保護のために使用すべきのソリューションは何だろうかを説明したい。

 

暗号化そしてアクセス制御

 

暗号化の方では、アクセス制御に比べてはるかに高いセキュリティを強調した。万が一、情報漏えい事故が発生した時にも既に暗号化されたデータなら内容だけは露出されず安全なので、暗号化こそ根本的なセキュリティ方法だというのだ。しかし、全体のセキュリティシステム構築にかかる期間が比較的長くて構築後の暗号化処理をしてみると、システム性能に影響を及ぼす可能性があるという点が短所として指摘されたりした。特に速度と安定性が強く要求される金融機関などの企業は、性能影響に対する予測が難しいという点のため、暗号化システムの導入を躊躇したりもした。

 

アクセス制御の方では、暗号化に比べて簡便な構築などの主にシステム可用性を強調した。アカウントによって情報に対するアクセス権限を付与したり遮断する方法を通じて情報漏えい事故を未然に防止する効果があるという、本来の趣旨よりかえってシステムとネットワーク性能に及ぼす影響が暗号化に比べて少ないという点を長所として広報した。名分はセキュリティ道具なのにもセキュリティに対する言及が少ないという点は、おそらく自らも短所を認める態度であろう。暗号化とシステム性能の関係に対する漠然な疑いを確実な恐怖で拡大することにもいつも先頭に立ったアクセス制御の方では今も同じ立場を取っている。

 

暗号化とアクセス制御は、長年の競争を通じて鍛えられた。相手を反面教師にして、自分の短所を克服し、自分の強みをより引き上げようとする努力をしてきた。そして、もう双方いずれも十分に鍛えられたようだ。
二つの間の優位を冷静に判断する時になったという話だ。

 

まず、暗号化は、これまで金融機関などのシステム性能と速度そして安定性などに非常に敏感な現場に進入することによって、既存にやや不足していると評価されたシステム可用性の問題を確実に克服したという事実を証明した。アプライアンス一体型の方式の導入など、ソフトウェアとハードウェアを含めた不断の努力を通じて短所と指摘されてきた速度の問題も完全に解決した。その結果、今は誰もが「暗号化は、セキュリティレベルは高いとはいえ、速度が遅いのが問題」と言わないようになった。

 

一方、アクセス制御は長所の広報をより強化する方向を選択した。「アクセス制御のハードウェア一つだけ設置すれば、たった数日にすべてのセキュリティ問題がきれいに解決される。」という言葉は、企業のセキュリティシステム構築の担当者なら誰でも一度は聴いてみたような広報セリフだ。少しだけ集中して聞いてみると、主客が転倒した言葉であるという事実をすぐ気付くかもしれないが、一応聞いたところでは結構良さそうに聞こえるし、かなり効果的だった。そして暗号化を代替できるとし、データマスキング機能などを自慢したりもするが、情報セキュリティ専門家たちはこれを話にならない無駄な迷信に過ぎないと言う。

 

情報を保護するための究極のソリューションとは

 

もう暗号化とアクセス制御の競争1次戦は終了したようだから、企業が保有した貴重な資産である情報を保護する究極のソリューションは何なのか、判定する時である。

 

ほとんどのセキュリティ政策の場合、「情報が絶対流出されないこと」を大前提にしようとする傾向がある。流出を根本的に遮断するとし、数多くの道具と方法を動員したにもかかわらず相次いで発生した大規模の情報漏えい事故を考えて見ると、非常に深刻な弱点を内包している単純な危機管理論理に過ぎない。誠に残念な話だが、情報は流出されるものだ。情報はさらに広く、急速に広がっていく性質を持っているので、いくら防ごうとしても、人の力で防げるものではない。情報流出は、もしかしたら必然だ。それが情報の固有の性質だから。

 

結局、情報セキュリティはただセキュリティのレベルの高低によって判断されなければならない。それも、情報はいつでも流出される可能性があるという前提の下、流出を防ぐために最善を尽くすべきだが、万が一、情報が流出された状況でもきちんと備えなければならない。その必要と危険性は、今まで起きた様々な事件事故がすでに証明している。暗号化は、意味があって価値を持っている情報を変形して、無意味で価値のないビットに置き換えることにより、情報窃盗を狙う目的そのものを根本的に破壊させる事故防止の抑止力だ。同時に情報が既に流出された状況でも情報の内容が露出される最悪の事態だけは発生しないようにする最終兵器そして究極の兵器だ。

 

例えると黄金を無価値な石に変えることだろう。金を狙う者は多いが、石を狙う者はない。ただ元の状態への変換のための鍵、つまり暗・復号化のための暗号鍵を知っている者だけが石を再び金に変えることができる。誰が暗号化鍵を持つのかをあらかじめ指定することによって、情報アクセス権限を管理するという点から見ると、鍵管理を適切に運用するなら、これはアクセス制御方式が提供するセキュリティをすでに含めているに違いない。したがって、暗号化とアクセス制御競争1次戦が優劣をつけることができない勝負であったら、第2戦は、暗号化の圧倒的勝利だと予想している。 あらゆる情況がそうだ。

 

 

S54543

【コラム】 クレジット取引セキュリティ、P2PE暗号化で安全

 

どんな国であれ、外国を訪問した外国人は、大小のカルチャーショックを経験する。

自分が精神的に属している母国の文化とは全く異なった異国の文化を経験した際感じる衝撃は、2回にわたって起こる。初めは、慣れていない文化を接したときの衝撃と、その国の文化にある程度慣れて、自分の国に戻った時、今更感じるようになる見慣れない感じだ。

 

、クレジット取引の

韓国人として、日本で生活しながらも少なからぬ文化衝撃を経験した。その中でも代表的なものが現金使用に関する文化だ。韓国では、本当にクレジットカードだけ持って生活した。クレジットカードで電車・バス・タクシーなどの公共交通を利用したり、ご飯を食べたり買い物をするなど、あらゆる日常的な行為をカード一つで解決した。最近は、カードも面倒になり、財布さえ持たないまま、スマートフォン一つだけを持って外に出ていた。コンビニではスマートフォンを端末機にかざすと,直ちに決済が完了される。インターネットショッピングも、銀行取引も全てスマートフォンで処理ができるから、本当に携帯一つで日常のあらゆることを解決できるのだ。

 

しかし、日本に来てみたら、いつも現金を準備しなければならないのが一応不便だった。クレジットカードを取り扱わない店も意外にかなり多く、カード決済はできるが、決済処理にかなり長い時間が所要される店も多かった。そうなると、「カード決済できますか?」と問うこともちょっとはばかりがあった。韓国と文化が完全に違う。確かに、代々引き継がれてきた老舗にNFC方式のモバイルペイ機能を支援する最新のPOS端末機が置かれているのもちょっと変に見えるようだ。それにも便利さの中毒性は、本当に恐ろしいもので世の中が少しずつ少しずつ変化していく時はその変化に気付かないが再び過去に戻ろうとしたらとても不便で、絶対戻れないのだ。それで、日本の現金文化はまだとても不便に感じられる。

 

とにかく、そうするしかないから現金を持って外出することに慣れるしかなかった。そして、ある程度慣れてきたとき、韓国に戻った。すると、またこれは変な気がすることになる。この便利さは、いや、これは本当にちょっと恐ろしいことではないか。これは大胆過ぎるじゃないか。クレジット決済のセキュリティ規格の中で「トラック1」に記録される銀行のアカウント情報、「トラック3」の提携社の情報などの決済と直接関連していない情報を保存するトラックとは違って、クレジットカードのカード番号、発行日、有効期限などの決済過程で必需的な情報を保存する「トラック2」の敏感情報は、もし奪取された場合、誰でもどこでも任意で決済することができる。それでパスワードを含めたトラック2データは、国際闇市場で1つあたり$4,000程度で取引されるとても価値が高い情報だ。そのような情報が特別な確認手続きもなしに、こんなに広範囲にやたらに流通されても、果たして安全なのか? 5万ウォン以下の取引は、署名手続きも省略し、そのまま決済される。便利だが、不安だ。

 

安全だが難しい「PCI DSS

もちろん、クレジット取引安全のための装置はある。クレジット取引の安全を担保する最も一般的な基準であり、事実上の国際標準は「PCI DSS」だ。「PCI DSS」とは、クレジットカード会員のカード情報および取引情報を安全に管理するためにクレジット取引の全過程にかけて、取引と関連した者らが共に遵守しなければならないクレジット産業界のセキュリティ標準である。PCI DSSが登場する前には、クレジットカード会社ごとにそれぞれ異なるセキュリティ基準を要求した。それで、クレジットカード加盟店の事業者たちは各会社の異なる基準を全て合わせなければならなかったが、これは難しくて費用もたくさん払わなければならなかった。このような不便さを解消するため、JCB、アメリカン・エキスプレス、Discover、MasterCard、VISAなどの国際的なクレジットカード企業が共同で委員会を組織し、「PCI DSS」という規格を策定した。会社たちの約束に過ぎないが、事実上の国際標準として通用される。

 

クレジット取引の基準として「EMV規格(EuroPay、MasterCard、Visaの間で合意したICカード統一規格)」を使用する日本もPCI DSS規格に準拠したセキュリティ対策を樹立している。2020年3月を目標にPCI DSSに準拠してEMV基準ICカードのセキュリティ対策を打ち出した。ところが、難しくて費用もかかるのでPCI DSSを打ち出したわけだが、これも相変わらず難しくて複雑だ。POS加盟店の基準でPCI DSS規格を準拠するための努力と費用はかなりであるのだ。小さくてきれいな店一つを出したいという夢があっても、クレジット取引基準を合わせることが難しくて最初からあきらめなければならないほどだ。

 

このような問題を韓国は「VAN(Value Added Network)」会社がクレジット取引プロセスの中間段階で解決する。VAN会社らは、クレジットカード会社の代わりに加盟店を募集し、端末機などのデバイスを提供して、カード決済承認の過程を中継してくれて、売上データを整理する伝票の買い取りサービスなどを提供する。クレジットカード会社と加盟店の面倒な仕事を代わりにしてくれるわけだから、一応便利だが、取引1件ごとに別途の課される手数料が決して少なくない。「VAN手数料引き下げ!」が政治家たちの選挙公約になるぐらいだ。開業の時、併せて多く課すか、商売しながら少しずつ課すかを選択することだ。そして、真ん中でマージンを得るという事業の性質のため、大手の流通社を相手にした不正腐敗などの事件もたびたび起こる。高コスト問題をなんどか避けようとする間、むしろはるかに大きくて恐ろしい他の問題に会ったのだ。

 

クレジット取引セキュリティ、P2PE化で安全

PCI DSSは安全だ。しかし、加盟店の立場では難しいことでもある。これは、まるで「猫の首に鈴をつける。」のような問題だった。ネズミの立場では、猫の首に鈴をつけさえすれば安全だが、これは一体つける気にならないのだ。

しかし、2017年3月、改正された「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画 2017」が発表された。該当ガイドラインが2016年のガイドラインと特に違うところは、POS加盟店に要求されたセキュリティ対策の中で非保持とPCI DSS対応の部分で、「非保持」の方法として「暗号化」を追加し、その内容としてPCI DSS規格の中で「PCI P2PE(Point to Point Encryption)の構造を言及しているというところだ。「PCI P2PE」とは、カード会員の敏感情報をカードリーダ端末機から決済が承認されて処理されるサーバまで安全に転送し、処理する方式に対する規定である。その基になる技術は、「暗号化」だ。そのまま暗号化ではなく、「P2P暗号化」、すなわちクレジットカード端末機からカード会社のアプリケーションサーバを経て、データベースに保存されるまで、データが移動する全過程にわたる「エンドツーエンドの暗号化」だ。これは「E2E(End to End)」暗号化とも呼ぶ。いわば「財布からサーバまで」の意味だ。

 

P2PEまたはE2EEが現実的でないという主張をする人々もいるが、これは、当該用語を文字通りの意味で理解したためだ。エンドツーエンドの暗号化は、端末機から情報を暗号化して、通信区間でSSLを使ったり、区間暗号化を活用することで、何の問題もなく簡単に実装できる技術である。安全で、簡単だ。それで、難しくて複雑なPCI DSS規格の中でまずP2PEから適用しなければならないということだ。他の国々でもすでに一般的に実施している措置だ。韓国では、P2PE措置を取らなかった新規加盟店は、事業を開始することもできない。

 

その十分な安全性の根拠は、「DUKPT(Derived Unique Key Per Transaction)」だ。「DUKPT」とは、カードリーダー端末機とサーバの間に敏感情報が伝送されるたびに毎回新たに生成される「One Time Encryption Key」を使用し、暗・復号化する鍵管理技術だ。すべてのクレジット取引セキュリティは、固有の暗号鍵を使用する。しかし、鍵管理に問題が生じるのなら、ドアーに錠をかかって、錠の隣に鍵をおくことと同じく、全く安全ではない。その中でも最も脆弱な状態は、一つの鍵を暗号化と復号化に同じく使用することだ。錠をかけてすぐ鍵を誰かにあげることと同じだ。しかし、DUKPTは敏感情報を送信するたびに、一度だけ使用される鍵を使用するため、万が一、鍵が露出されることが起きても当該鍵は、ただそのトランザクションにだけ有効するため、悪用される危険が非常に少ない。したがって、DUKPTはPCI DSS規格に最も適合した暗号化方式で勧められるのだ。

 

結論は、クレジット取引の際DUKPTなどの適切な暗号化技術を利用すれば、十分なセキュリティ効果を得られるということだ。リーダー端末機でカード情報を読む同時に、情報を暗号化してしまえば、その情報は誰が盗んでも使えないからそもそも最初から読まないことになる。そして、そのままの状態でサーバまで送り、また、サーバから受け取る情報もまた同じく処理すれば、クレジット取引の過程のどこにも情報がないのと同じだ。盗もうとしても、盗まれない。それで、適切な暗号化技術を利用すれば、十分なセキュリティ効果を得ることができるのだ。

 

つまり、PCI DSSの中で「P2PE」エンドツーエンド暗号化を通じて「トラック2」の情報だけ財布からサーバまで安全に守れば、十分なセキュリティを達成することができる。

 

 

company

【コラム】 実用主義企業セキュリティの3要素

この前、「経営層が知っておくべきセキュリティ――対策は実用主義暗号化で」を投稿した後、このような質問を受けた。

「実用的セキュリティとは何か?実用的に保護するためには、何をしなければならないか?」
「何から始めて、どんな技術で、どのように設計したら実用的なセキュリティか?」
「技術者でなく、経営者の立場から実用的セキュリティを実現するためには、何を知るべきか。」

セキュリティの最も深刻な問題は技術の難解さであり、そのため、企業の現場では相対的に理解しやすくて簡単な根本的な方法論だけを選択する傾向があり、これは、結局セキュリティの弱点になり、事故が発生する。なので、より現実的で実用的な方法論が必要だという話までにして、話を終えたが、これはちょっと無責任に見せたかもしれない。それで、上の質問に対して、より総体的な答えを申し上げたい。

 

個人セキュリティと企業セキュリティ

何から始めたら良いか。それは、「個人セキュリティ」と「企業セキュリティ」の違いを理解することだ。
セキュリティ事故が発生すれば、いつも「わが社は、セキュリティをしたんだけど!」と被害者の訴えを聞いたりする。それは、事実だ。確かにセキュリティ措置を取ったのは確かだ。しかし、事故は発生する。それなら、セキュリティ措置は最初から余計なことだったのか? そうだ。そのようなセキュリティは、無駄だ。経緯が明確な事故が繰り返して起きるのは、何か問題がある方法論、特に個人セキュリティ措置だけを取っているためであり、これは「個人セキュリティ」と「企業セキュリティ」の差をきちんと理解していないためだ。
一般的に、「ITセキュリティ」というと、ほとんどの人はアンチウイルスやパスワードを思い浮かべる。これは、全て個人セキュリティ観点での問題だ。特に、アンチウイルスは、企業と機関が使う大規模の電算システムの動作とは距離があり、あくまで個人のPCのための道具だ。なのに、セキュリティ事故が起こると、アンチウイルス会社が事件のプロファイラーを自任し、対策としてワクチンの設置を勧める場合が多い。実際には、ほとんどの電算システムとそのOSにはワクチンの設置ができないのにもかかわらず。そして、事故が発生した会社のPCにはすでにワクチンぐらいはもちろん設置しておいたにも。
もちろん、とても関係がないわけではない。企業の電算システム構成がどうであれ、そしてどんなOSを使うとかは関係なく、企業に属する個人ユーザが接する環境はほとんどがPCやWindowsシステムであり、これを侵入経路として利用し、犯罪を図る場合も結構あるから、完全に無駄だというわけではない。しかし、個人セキュリティと企業セキュリティは、最初から違う概念から始まって、その方法論もまた全く違う。にもかかわらず、社会的に個人セキュリティだけが強調されたため、相対的に企業セキュリティは重要な問題と扱ってない。技術者さえ、それが何なのか知らない場合が多い。
では、企業セキュリティの構成要素とその核心になる道具を調べてみよう。

 

企業セキュリティ = データセキュリティ+Webセキュリティ+認証セキュリティ

企業セキュリティの3要素とは、
1)データセキュリティ
2)Webセキュリティ
3)認証セキュリティ
である。

 

そして、各要素の核心になるのは、

 

1)データの暗号化
2)アプリケーションセキュリティ
3)セキュリティ認証サーバ
である。

 

1)データセキュリティ

今日のITセキュリティの中心は、過去のネットワークやサーバなどの電算インフラを保護することに力を尽くした装置的セキュリティからデータとアプリケーションを保護する情報的なセキュリティに移動している。これは、私たちが最後まで守らなければならない価値が何なのかを悟っていく過程と見ることができる。企業、そして機関が究極的に守らなければならない本当の価値は「データ」だ。そして、データを守る様々な方法の中で最も根本的で安全な方法は、「暗号化」だ。事実上、唯一である。暗号化の他には、事実上方法が別にないからだ。そして、データ暗号化はたくさんの企業セキュリティ要素の中でも最も根幹をなすセキュリティインフラの基盤技術である。

 

2)Webセキュリティ

 

すべてのデータは、アプリケーションを通じて移動する。そして、今日のアプリケーションの主な環境はウェブだ。最近のウェブは、通信技術だけではない。システム環境からユーザインタフェースに至るまでのすべてのIT技術がウェブで収集され、統合されている。これからは、全てのアプリケーションがウェブ環境で開発されて運用されるはずだ。ウェブに統合される環境の変化は、より広く繋がってさらに多くのものを共有しようとする開かれた社会への変化を意味する。これは、誰でも逆らうたくても、あえて逆らうことができない時代的な流れであり、Webセキュリティの重要度は今も非常に高いが、これからはより高まるだろう。「Webセキュリティ」は、企業セキュリティの実戦的な最前線である。
前述で、全てのデータは、アプリケーションを通じて移動すると述べた。システムやネットワークではなく、アプリケーション、そして最近のウェブは、通信技術だけではないとも話した。これは、Webセキュリティにおいて最も重要な弱点を指摘しようというものだ。よくウェブを通信技術だけと考えて、ウェブセキュリティをシステムセキュリティやネットワークセキュリティ方法論で解決しようとする試みをしたりする。たとえば、ネットワークファイアウォールがウェブセキュリティソリューションの振りをしたりもする。しかし、ウェブセキュリティにおいて最も重要な領域は、アプリケーションセキュリティだ。実際に起きているウェブセキュリティ事故、いや、最近起きている全ての情報セキュリティ事故の約90%がWebアプリケーションの盲点を悪用した攻撃による事故だ。事故が最も頻繁に起きるところから優先的に集中して防御する。これが、実用的な考え方である。重ねて強調するところだが、ウェブセキュリティにおいて最も重要な核心は、「アプリケーションセキュリティ」だ。

 

3)認証セキュリティ

そして、個人セキュリティと企業セキュリティの概念が最も密接に交差する地点が、「認証セキュリティ」だ。個人セキュリティレベルでの認証セキュリティ方法として最も有名なのはパスワードだ。しかし、ユーザー個人ができることは、ただ難しいパスワード作るぐらいに過ぎない。もちろん、パスワードを十分難しく作るなら安全だ。しかし、一定の形式を備えて十分に安全なパスワードをセキュリティ政策によって定期的に変更するなど、複雑な手続きが必要だ。そうすると、結局、侵入者から防除することはするが、自分もパスワードを忘れてしまってシステムにアクセスできない状態に至ることも案外によく起こる。これは、より実用的な認証セキュリティの必要性を逆説的に話したものだ。認証セキュリティの必須要素、つまり、十分なセキュリティとユーザーの便利性、そして業務効率性の間の関係が崩れた結果と見られる。そして、企業がやるべきことを個人に転嫁した無責任な態度とも見られるだろう。「認証セキュリティ」は、従来の個人セキュリティレベルから企業セキュリティレベルに移る、情報セキュリティ概念の転換点である。
企業セキュリティレベルでの認証セキュリティの核心は、「セキュリティ認証サーバ」である。「SSO(Sigle Sign-On)」機能を備えた認証サーバは、認証手続きを一本化することにより、サーバの数が非常に多い企業の電算環境でも、各サーバごとに異なる認証手続きを経ず、全体を利用することができるように一括的に処理が可能にしてくれる。ユーザーの身元を確認して、単一認証だけで、全体サーバへのアクセスを許可はするが、ユーザー各自の権限によって各サーバに対して異なる権限を適用し、統合的に管理する。このような基本的な機能に加えて、セキュリティ認証サーバは、上の過程全体にわたって十分なセキュリティまで維持してくれる。これを通じて、前で列挙した認証セキュリティの必需要素、十分なセキュリティとユーザーの便利性、そして業務の効率性まで全て充足する。

 

実用主義企業セキュリティの3要素

 

では、最初の質問に戻って、
「実用的セキュリティとは何か?実用的に保護するためには、何をしなければならないのか?」

企業セキュリティの3要素 : 1)データセキュリティ・2)ウェブセキュリティ・3)認証セキュリティ
各要素の核心: 1)データ暗号化・2)アプリケーションセキュリティ・3)セキュリティ認証サーバ

 

これをすれば良い。これならなら十分、「実用主義企業セキュリティ」を成し遂げたと言えるのだ。

 

 

profile

ペンタセキュリティ、セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

 

ペンタセキュリティ、

セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

暗号化ニーズが高まったIT市場でDB暗号化ソリューションD’Amoの供給拡大の見込み

データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社 (日本法人代表取締役社長 陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が11月24日、システムプラザ株式会社(以下システムプラザ)とのパートナーシップを締結し、暗号化ソリューションD’Amo(ディアモ)の供給を本格的に拡大することを明らかにしました。

 

今年の1月から「特定の個人を識別するための番号の利用等に関する法律(通称マイナンバー制度)」の施行とともに、2020年東京オリンピック・パラリンピックの開催を控えて、信用取引セキュリティ環境の整備を目標とした「クレジットカードの取引のセキュリティ対策の強化を向けた実行計画」を発表し、情報保護に対した高まった関心を表したことがあります。また、6月にはJTB情報漏えい事故で約793万人の個人情報が流出され、データベースセキュリティ対策お重要性に対する認識が高待っている傾向です。

 

こうした中、情報セキュリティ専門企業であるペンタセキュリティがITセキュリティソリューション販売会社であるのシステムプラザとパートナーシップを締結しました。システムプラザは、化学および食品産業などの製造業のための基幹業務パッケージの開発・販売・コンサルティングなどを提供する企業で、エンドポイントのための情報セキュリティソリューションの流通をしてきて、最近高まる暗号化ソリューションへのニーズに応えるためにペンタセキュリティとパートナーシップを締結して、ペンタセキュリティの暗号化ソリューションでD’Amo(ディアモ)を本格的に供給することにしたものです。

 

今回のパートナーシップ締結を通じて、日本に本格的に供給を拡大する予定であるペンタセキュリティのD’Amoは、2004年商用化されたDB暗号化ソリューションとして全世界の約3,600の構築実績を持っており、OracleとMicrosoft SQL Serverなどの代表的なDBMSだけでなく、ERPソリューションのSAPにも暗号化を提供しており、優れた性能を認められています。この10月には、アメリカの情報技術研究および諮問機関であるガートナーが発表した「2016 Gartner Hype Cycle for Data Security報告書」でデータベース暗号化(Database Encryption)および形態保存暗号化(Format-preserving Encryption)技術を保有しているベンダとして紹介されました。

 

ペンタセキュリティのCTOのDSKimは、「日本でも持続的に暗号化ソリューションに対する需要が発生していたが、繰り返される大規模の情報漏えい事故以後、暗号化ソリューション導入の必要性を痛感した企業が大きく増えた。」とし、「システムプラザが持っているインフラを通じて、製造業分野の顧客を中心に期間業務パッケージ暗号化の供給を拡大する予定である。」と言及しました。

 D’Amo(ディアモ)

2004年リリースされたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,600ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

GI (1)

【コラム】 企業経営を脅かすITセキュリティ。答えは、実用主義暗号化

企業経営において最も大きなリスクは、伝統的にいつも「経済の不確実性」だった。しかし、最近「ITセキュリティのリスク」が話題になり、企業経営において最も大きなリスクとして1位と挙げられるようになった。経営の一線もこのようなリスクに対し、不安を訴える場合が多くなっている。

不確実性のせいで発生する問題は、たいてい企業が自ら感受したら終わらせることができることだったし、かつてからあったから、まるで空気のように当たり前に感じられるが、新型リスクであるサイバー脅威は、不慣れさのためなのか、気まずくてまた不便だ。さらに、その勢いもまた激しくなっていて、問題が起こるとマスコミからも会社を崩す勢いで連日報道するから、収拾も難しくて到底手に負えないという文句が出ている。

ITセキュリティ事故は、持続されなければならないビジネスの連続性を害し、投資者に悪影響を及ぼすだけでなく、深刻な場合、社会的な混乱を引き起こし、災害レベルの経済活動の麻痺、そして企業活動の停止にまでつながったりもする。IT危機の対応能力は、企業の最も重要な資産であり、成功企業のコアコンピタンスだという認識は、もはや必需的な事項になった。従って、従来の危機管理方法を再検討し、新しいアプローチを探さなければならない。

 

ITセキュリティ理解の核心

 

経営者の立場から見るとITセキュリティの最も深刻な問題は、難解さではないだろうかと思う。いくら集中して聞いてみても、いったい何を言っているのかが分からない。到底理解できない。本を探してみても、技術者ぐらいになったらやっと読める完全な技術書でなければなんの役にも立たない、余計な言葉だけを述べている書籍だらけだから学びたくても学ぶことができないのだ。このような事情のため、経営と技術の間にギャップは徐々に広がるし、その隙を狙った犯罪者と詐欺師だけたくさん集まって、各種の事件や事故は絶えない。

ITセキュリティを完全に理解することは、実はとても難しいことだ。数多くの重要要素をいろいろな側面から見て検討しなければならず、技術だけでなく、技術以外の領域に至るまで完全な知識で武装しなければならない。しかし、他の分野と同じくITセキュリティにも柱の役割をする中心がある。重要な脈絡の流れを把握して全体を見る観点を持つようになると、その難解なITセキュリティが明瞭な一つのイメージとして浮かべることを体感できる。

ITセキュリティ技術の理解の最も重要なポイントは、まさに暗号技術である。暗号化は、ITセキュリティの始まりであり、最後と言えるほど重要な要素である。暗号技術を中心にITセキュリティの知識と観点を繋ぐことにより、総体的な観点を持つようになれば、簡単にITセキュリティ全体の姿を眺めることができるだろう。

 

「いや、ITセキュリティ技術の核心は、アンチウイルスやファイアウォールではないか?」

 

違う。暗号技術である。より詳しく調べてみよう。

 

ITセキュリティの二つの方法論

 

ITセキュリティ分野は、難解で巨大に見えるが、その方法は簡単に二つに分けることができる。「脅威からの防御」と「安全なシステムの設計および実装」である。これは、人間が健康を守る二つの方法と比較してみたらすぐ理解できる。

「脅威からの防御」は、すでに作られた既存システムをよく守るための方法である。アンチウイルス、侵入検知・防御、脆弱性点検システムなどがこれに該当する。体が痛いなら、病院に行って治療を受けて注射を受けて薬を飲むのと同じだ。当然、取るべき措置だ。しかし、企業のネットワークセキュリティは、いくら最善を尽くしても結局攻撃にやられてしまう。

例えば、最近マスコミからよく登場する「APT攻撃」は、本当にうんざりするほどのしつこい攻撃である。少しずつシステムに侵入し、結局は全体を掌握してしまう。現在、数多くのAPT防衛システムが販売されているが、正直言うとまともなシステムは一つもない。大げさではなくて、本当にない。

一方、「安全なシステムの設計および実装」は、より根本的な方法である。問題が発生すれば、それに対応するのではなく、最初からシステムを安全に設計して、実現することだ。健康な生活のために毎日運動したり、バランスが取れた栄養素を摂取するなどの「健康に良い習慣」と似ていると言える。

ここで「安全」という言葉は、ユーザーが正常的な方式でアクセスして、統制された権限システムの中で情報を閲覧し、これに対する監査情報が記録されるシステムの存在を意味する言葉である。言い換えて、ITシステムが常識的なレベルで合理的に運営されることを意味する。こうした「安全なシステムの設計および実装」という、根本的に問題を解決するための方法を自由自在にすることにおいて必ず必要な道具がまさに「暗号化」である。適合なユーザーであろうかを認証し、非正常的なアクセスがある場合は情報を隠して、権限のある人には情報が閲覧できるようにする。また、監査情報に対する整合性を保障してくれる。つまり、合理的なシステムの動作を保障し、証明するコア技術である。

システムを設計段階から安全に実装したことは、セキュリティに最善をつくしたことを証明する証拠となる。したがって、万一の場合、セキュリティ事故が発生しても処罰されない根拠となる。根本的な問題解決の努力をしたから「脅威からの防御」方法に比べて、責任免除の法的な根拠もより充実している。したがって、技術的に見ても、経営的に見ても、「安全なシステムの設計および実装」は「脅威からの防御」に比べ、優れると言える。究極的なセキュリティ概念によって、発展して進化する方向性と見ることもできる。

ITセキュリティ問題から自由でいたいなら安全なシステム構築、つまり暗号化しなければならない。

 

用主義暗化の必要性

 

安全なシステムの実装があんなにも重要であるのに、どうしてほとんどの人たちはITセキュリティと言えば「脅威からの防御」だけを思い浮かべるのか。それは、攻撃と防御状況がまるで一枚の絵のように描かれて、直観的に理解することが容易だからである。実際に、比較的には簡単な技術でもある。これは言い換えれば、「安全なシステムの設計および実装」が難しいからである。その中でも、暗号技術は特に複雑で難しい。最も重要な技術が難しいから接近も難しくなる。それで、アンチウイルスやファイアウォールのようにすぐ処方できる方法だけを見るようになるのだ。

セキュリティ技術、特に暗号化と関連されている知識を学ぶのはかなり難しく感じられる。活字化されている知識体系もまともに整えていなくて、数冊の本を同時に読みてこそやっと核心原理を理解できる。しかも、ほとんどの本が非常に厚くて、現場では使われない、余計な話もたくさん書かれてある。だから、あちこちに散らばっている知識を有機的に繋げるのは読者が直接しなければならないが、これはとても難しいことだ。しかし、技術をきちんと理解するためには、その高い壁を超えるしかない。そのため、しっかりとした技術者の数が少ないものだ。

しかし、考えを変えてみよう。暗号技術自体を原論的に理解するのと、企業現場で十分なセキュリティのために暗号技術を理解することは全く違う問題である。つまり、ITセキュリティに対する洞察を得るためにはコンピューティング(Computing)とネットワーキング(Networking)知識の上、セキュリティ知識を積まなければならない。コンピューティングやネットワーキングというテーマを完璧に理解することは非常に難しいことだが、十分なセキュリティ性を達成するためのレベルでコンピューティングやネットワーキングの原理を理解することは、相対的に容易なことであろう。

同様に、暗号技術自体は難しいが、安全なシステムを作り上げるために暗号技術をどうやって活用するかを学ぶことは、さほど難しくない。そして、企業現場ではそのレベルぐらいの理解でも十分だ。結局、目的は暗号制作えではなく、「セキュリティ」だからだ。実用的に暗号技術を理解しようとする目的は、安全なシステムの設計および実装するためであり、完全に新しい暗号アルゴリズムを作る事ではない。

これを既存の学術的な暗号化理論と比べるために「実用主義暗号化」と呼びたい。実用主義暗号化は切実だ。安全なシステム設計および実装において最も重要な技術だからだ。

 

安全なシステムの設計および

 

安全なシステムの重要性を見るために、韓国のケースを見てみよう。韓国は、短い間、社会全般にIT技術を融合することで、いわゆる「IT強国」になった。現在、韓国は日常のすべてのことがIT技術に基盤して行われている。非常に便利だが、その過程でシステムをむやみに設計・運営してしまい、まともな情報セキュリティは果たせなかった。

これは、セキュリティを眺める近視眼的な観点のせいだ。その結果、システムが発展する過程でセキュリティ的な重要度によってきちんと情報が分類されなかった。一般情報か重要情報か、識別情報か認証情報か、公開情報か秘密情報かを厳格に区分して、データベースを設計して体系的に管理することがセキュリティの始まりだ。しかし、韓国のほとんどのシステムではデータを入り混ぜて管理している。文書上では、情報分類及びセキュリティレベル管理などの指針があるが、現実の環境ではこれはとても難しいことだった。企業だけでなく、国家行政的にも情報システムの運営において体系的なセキュリティが行われなかった。そして、大型事故が相次いで発生した。全体人口数よりもはるかに多くの個人情報が一気に流出される笑えない事故も起こっている。それも非常に頻繁に!

これは、ITセキュリティの問題においては見本としてちょうど良い例ではないかと思う。

実用主義暗号化を通じて、安全なシステムの設計および実装を成し遂げることを願う。