Posts

networking-1626665_1280

【コラム】順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

順序保存暗号化(Order Preserving Encryption)は安全な暗号化か。

一般の企業で会社の情報セキュリティを担当しているKさんは、このごろ悩み事が多い。個人情報保護法の遵守のため、個人情報が保存されている業務システムに暗号化製品を導入して適用しようとしている。暗号化製品を設置すれば、個人情報保護法の遵守は問題ないが、業務システムの性能が低下する可能性があり、心配が大きい。
その時、偶然「OPE」という技術を採用したという暗号化製品の広告を見ることになる。OPE技術がどのような技術かは分からないが、暗号化後にもDB検索の性能低下がないという説明が大きく伝わってくる。OPEという名前が「Order Preserving Encryption」だから、暗号化(Encryption)も性能低下も解決するということで自分の悩みを一回で解決してくれそうだ。

 

個人情報の保護のため、DB暗号化製品を導入するケースが増え、上記の話のようにOPEに対する関心が高まっている。
「OPE(Order Preserving Encryption)」は、どのような技術であり、どれほど安全なのか。個人情報保護の安全性と性能低下の克服の二兎を得る技術であるかを調べることにしよう。

 

手順を維持する暗化は根本的に危

 

DB暗号化は、個人情報保護のための必須技術と認識されている。DBサーバに暗号化を適用すると、DBサーバに保存されるデータを暗号化して保存し、データを照会する際には暗号化されたデータを復号した後に使用者に対して提供される。DBサーバは暗号化と復号のための処理演算を追加で遂行しなければならないため、速度低下が避けられない。暗号化の適用によるDBサーバの性能低下問題は、暗号化アルゴリズムの効率的な実現技術で解決できる。

DB暗号化でさらに重要な問題は、検索の索引を生成する問題である。検索の索引は、DBに保存されている膨大なデータの中から必要なデータを迅速に照会するために使用されるDB内部の追加情報である。暗号化されたデータから希望するデータを検索するには、暗号化になる前のオリジナルデータを知らなければならないため、暗号化されたデータを全部いちいち復号しなければならない。希望するデータを一つ照会するたびに、膨大なデータをすべて復号しなければならないため膨大な演算量の負担が発生するしかない。これを解決する方法のひとつが、「順序保存暗号化(Order Preserving Encryption、以下OPE)」だ。

OPEは、かなりずいぶん前から存在していた技術だ。OPEの歴史を遡ると、第一次世界大戦から使用された「One-Part Code」技術がOPEの始祖といえる。暗号化されたデータについても、DBの検索索引を容易に作れるという特長のために2000年代からDBMS業界で注目され始めた。2004年には、R.Agrawalを含め4人のIBM研究員たちが最初にOPEという用語を定義した。彼らはOPEの概念に対する数学的モデルと実現に対する方向性を提示したが、安全性に対する具体的な言及や証明をしなかった。
(参考文献:R.Agrawal、J.Kiernan、R.Srikant、and Y.Xu、「Order-preserving encryption for numeric data」、SIGMOD 2004、pp.563~574)

 

データを迅速に照会するためには、データを順に整列しておかなければならない。例えば、数百万人のマイナンバーの中から自分が探すマイナンバーが含まれているかどうかを容易に探す方法は、マイナンバーを13文字の自然数と見て大きさ順に整理しておくことだ。しかし、この方法は暗号化後には使用できない。暗号化は、オリジナルデータを予測できない任意の値に変換する過程なので、暗号化されたデータはオリジナルデータとは全く違う順番に整列されるしかない。暗号化を適用しても、暗号化したデータがオリジナルデータと同様の順番に整列されるようにしてくれる方法がOPEである。大きさが小さい順に整列された数字データ1234、3456、5678という三つの数字があると仮定する。一般的な暗号化を適用すれば、三つの暗号化された数字間の順序が巻き込まれる。OPEを適用すれば、1234の暗号が3456の暗号より前に整列されて、3456の暗号は5678の暗号よりもリードすることになる。

順序保存暗号化という名称のように、果たしてOPEは安全な暗号化だろうか。安全な暗号化は、暗号文からオリジナルデータに関するいかなる情報も得られないべきだ。OPEは、暗号文で「順序」という情報を得ることができ、これをもとに、平文を類推することができる。上記で説明した1234、3456、5678の例に戻ってみよう。1234の暗号文(A)と3456の暗号文(B)を知っていれば、暗号文Aと暗号文Bの間に整列される暗号文Cは1234と3456の間にある値から作られた暗号文であることが把握できる。この場合、暗号を解読しようとする攻撃者が1234と3456を知って、二つの数を暗号化した値(暗号文A、B)たちも知っているため、このような攻撃方法を「選択平文攻撃(Chosen Plaintext Attack;以下CPA)」という。

安全な暗号アルゴリズムは、CPA攻撃モデルを採用した攻撃者が暗号文Cがどんな数字を暗号化したかを区分できない「非区別性(Indistinguishability)」を満足しなければならないが、OPEはこれを満足しないために安全な暗号化とは言えないのだ。したがって、OPEはDES、AES、SEED、ARIAなどと同じ普通のブロック暗号化アルゴリズムと肩を並べそうな高いレベルの安全性を備えていない。世界の情報セキュリティ関連の標準でOPEを見られないことも、このような理由だ。

 

「順序保存を提供する安全な暗号化は不可能なのだろうか」


という問題を解決するために、米国のジョージア工科大学(Georgia Tech)のボルディレワ(Boldyreva)教授を含めた4人の研究者たちが2009年の研究結果を発表した。
(参考文献:A.Boldyreva、N.Chenette、Y.Lee、A.O’Neill、「Order-Preserving Symmetric Encryption」、EUROCRYPT 2009、pp.224~241.)

ボルディレワは、制限的な環境ではOPEの脆弱攻撃であるCPA攻撃をある程度のレベルまでは防御できると証明した。尚且つ、制限条件でOPEにCPA攻撃をブロック暗号化アルゴリズムと同等のレベルに防御することは現実的に不可能というのも明らかにした。つまり、単純アルゴリズムの改善だけではこれ以上の安全性を期待することは難しいということだ。

アルゴリズム自体だけではCPA攻撃から逃れることはできないので、「どう実現するのか」が業界の主要関心事として浮上している。現在、大半のセキュリティ会社がOPEの安全性を補完してくれる技術およびセキュリティデバイスをともに使用し、OPEの脆弱性を補完するために努力している。OPEと共に他の検証を受けた暗号化アルゴリズムを使用したり、順序情報のみをさらに暗号化することなどをその例に挙げられる。しかし、このような状況についてよく知らない一般人たちは、「順序の保存暗号化」という名称だけを信じてOPEを他の暗号化アルゴリズムのように安全性が高いと考えやすい。

実際、ある会社ではOPE技術の安全性を誇大に評価して業界の非難を買ったりした。したがって、OPE関連ソリューションを選択する時には、製品内にOPEの安全性を補完してくれるセキュリティデバイス及び技術があるかを調べた後製品を選択しなければならない。特に、CPA攻撃は攻撃者が暗号化システムに容易にアクセスできる時に主に発生するので、製品にこのような弱点はないかを確認しなければならない。

 

暗号化を必要とする応用は様々だ。安全度が高いレベルで要求される応用がいれば、安全度が高くなくても大丈夫な応用もあり得る。OPEの場合、安全性を一部犠牲にして性能を選んだ応用と見られる。コラムの冒頭に仮想シナリオの主人公だったKさんのように、個人情報保護を必要とする応用では、長期間検証され高い安全度を保障してくれることができる標準的な暗号化技術が必要である。OPEは、オリジナルデータの順序が暗号化後も維持されるというメリットがあるため、データ検索などでは有用な技術であることに違いないが、安全性には限界があるということを忘れてはならない。

したがって、セキュリティ業界はOPE技術を適用する場合、安定性が脆弱な部分と程度については、ユーザに正確に知らせなければならない。一方、使用者は従来のブロック暗号化アルゴリズムと同レベルの安全な暗号化を提供したりはしないということを理解して、安全度よりも性能が重要な応用に選択的に適用するようにする。それとともに、足りない安全度を補完してくれるセキュリティデバイス及び機能が製品内に搭載されているかを是非検討しなければならない。

 

hacker-1944688_1280

【コラム】 セキュリティ脅威にはアクセス制御より暗号化が効果的だ。


データベースセキュリティや情報漏えい対策において「暗号化」と「アクセス制御」はどちらがさらに重要であろうかを常に熾烈に競争してきた。

この二つは、セキュリティに対するアプローチからお互い明確に違って、長所と短所もそれぞれ違うのでユーザたちを悩ませた。
それで今回は基本の基本である暗号化とアクセス制御の長所と短所を調べて、究極的に情報保護のために使用すべきのソリューションは何だろうかを説明したい。

 

暗号化そしてアクセス制御

 

暗号化の方では、アクセス制御に比べてはるかに高いセキュリティを強調した。万が一、情報漏えい事故が発生した時にも既に暗号化されたデータなら内容だけは露出されず安全なので、暗号化こそ根本的なセキュリティ方法だというのだ。しかし、全体のセキュリティシステム構築にかかる期間が比較的長くて構築後の暗号化処理をしてみると、システム性能に影響を及ぼす可能性があるという点が短所として指摘されたりした。特に速度と安定性が強く要求される金融機関などの企業は、性能影響に対する予測が難しいという点のため、暗号化システムの導入を躊躇したりもした。

 

アクセス制御の方では、暗号化に比べて簡便な構築などの主にシステム可用性を強調した。アカウントによって情報に対するアクセス権限を付与したり遮断する方法を通じて情報漏えい事故を未然に防止する効果があるという、本来の趣旨よりかえってシステムとネットワーク性能に及ぼす影響が暗号化に比べて少ないという点を長所として広報した。名分はセキュリティ道具なのにもセキュリティに対する言及が少ないという点は、おそらく自らも短所を認める態度であろう。暗号化とシステム性能の関係に対する漠然な疑いを確実な恐怖で拡大することにもいつも先頭に立ったアクセス制御の方では今も同じ立場を取っている。

 

暗号化とアクセス制御は、長年の競争を通じて鍛えられた。相手を反面教師にして、自分の短所を克服し、自分の強みをより引き上げようとする努力をしてきた。そして、もう双方いずれも十分に鍛えられたようだ。
二つの間の優位を冷静に判断する時になったという話だ。

 

まず、暗号化は、これまで金融機関などのシステム性能と速度そして安定性などに非常に敏感な現場に進入することによって、既存にやや不足していると評価されたシステム可用性の問題を確実に克服したという事実を証明した。アプライアンス一体型の方式の導入など、ソフトウェアとハードウェアを含めた不断の努力を通じて短所と指摘されてきた速度の問題も完全に解決した。その結果、今は誰もが「暗号化は、セキュリティレベルは高いとはいえ、速度が遅いのが問題」と言わないようになった。

 

一方、アクセス制御は長所の広報をより強化する方向を選択した。「アクセス制御のハードウェア一つだけ設置すれば、たった数日にすべてのセキュリティ問題がきれいに解決される。」という言葉は、企業のセキュリティシステム構築の担当者なら誰でも一度は聴いてみたような広報セリフだ。少しだけ集中して聞いてみると、主客が転倒した言葉であるという事実をすぐ気付くかもしれないが、一応聞いたところでは結構良さそうに聞こえるし、かなり効果的だった。そして暗号化を代替できるとし、データマスキング機能などを自慢したりもするが、情報セキュリティ専門家たちはこれを話にならない無駄な迷信に過ぎないと言う。

 

情報を保護するための究極のソリューションとは

 

もう暗号化とアクセス制御の競争1次戦は終了したようだから、企業が保有した貴重な資産である情報を保護する究極のソリューションは何なのか、判定する時である。

 

ほとんどのセキュリティ政策の場合、「情報が絶対流出されないこと」を大前提にしようとする傾向がある。流出を根本的に遮断するとし、数多くの道具と方法を動員したにもかかわらず相次いで発生した大規模の情報漏えい事故を考えて見ると、非常に深刻な弱点を内包している単純な危機管理論理に過ぎない。誠に残念な話だが、情報は流出されるものだ。情報はさらに広く、急速に広がっていく性質を持っているので、いくら防ごうとしても、人の力で防げるものではない。情報流出は、もしかしたら必然だ。それが情報の固有の性質だから。

 

結局、情報セキュリティはただセキュリティのレベルの高低によって判断されなければならない。それも、情報はいつでも流出される可能性があるという前提の下、流出を防ぐために最善を尽くすべきだが、万が一、情報が流出された状況でもきちんと備えなければならない。その必要と危険性は、今まで起きた様々な事件事故がすでに証明している。暗号化は、意味があって価値を持っている情報を変形して、無意味で価値のないビットに置き換えることにより、情報窃盗を狙う目的そのものを根本的に破壊させる事故防止の抑止力だ。同時に情報が既に流出された状況でも情報の内容が露出される最悪の事態だけは発生しないようにする最終兵器そして究極の兵器だ。

 

例えると黄金を無価値な石に変えることだろう。金を狙う者は多いが、石を狙う者はない。ただ元の状態への変換のための鍵、つまり暗・復号化のための暗号鍵を知っている者だけが石を再び金に変えることができる。誰が暗号化鍵を持つのかをあらかじめ指定することによって、情報アクセス権限を管理するという点から見ると、鍵管理を適切に運用するなら、これはアクセス制御方式が提供するセキュリティをすでに含めているに違いない。したがって、暗号化とアクセス制御競争1次戦が優劣をつけることができない勝負であったら、第2戦は、暗号化の圧倒的勝利だと予想している。 あらゆる情況がそうだ。

 

 

profile

ペンタセキュリティ、セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

 

ペンタセキュリティ、

セキュリティソリューション販売会社「システムプラザ」とパートナーシップ締結

暗号化ニーズが高まったIT市場でDB暗号化ソリューションD’Amoの供給拡大の見込み

データベース暗号化とWebセキュリティ専門企業のペンタセキュリティシステムズ株式会社 (日本法人代表取締役社長 陳貞喜、https://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が11月24日、システムプラザ株式会社(以下システムプラザ)とのパートナーシップを締結し、暗号化ソリューションD’Amo(ディアモ)の供給を本格的に拡大することを明らかにしました。

 

今年の1月から「特定の個人を識別するための番号の利用等に関する法律(通称マイナンバー制度)」の施行とともに、2020年東京オリンピック・パラリンピックの開催を控えて、信用取引セキュリティ環境の整備を目標とした「クレジットカードの取引のセキュリティ対策の強化を向けた実行計画」を発表し、情報保護に対した高まった関心を表したことがあります。また、6月にはJTB情報漏えい事故で約793万人の個人情報が流出され、データベースセキュリティ対策お重要性に対する認識が高待っている傾向です。

 

こうした中、情報セキュリティ専門企業であるペンタセキュリティがITセキュリティソリューション販売会社であるのシステムプラザとパートナーシップを締結しました。システムプラザは、化学および食品産業などの製造業のための基幹業務パッケージの開発・販売・コンサルティングなどを提供する企業で、エンドポイントのための情報セキュリティソリューションの流通をしてきて、最近高まる暗号化ソリューションへのニーズに応えるためにペンタセキュリティとパートナーシップを締結して、ペンタセキュリティの暗号化ソリューションでD’Amo(ディアモ)を本格的に供給することにしたものです。

 

今回のパートナーシップ締結を通じて、日本に本格的に供給を拡大する予定であるペンタセキュリティのD’Amoは、2004年商用化されたDB暗号化ソリューションとして全世界の約3,600の構築実績を持っており、OracleとMicrosoft SQL Serverなどの代表的なDBMSだけでなく、ERPソリューションのSAPにも暗号化を提供しており、優れた性能を認められています。この10月には、アメリカの情報技術研究および諮問機関であるガートナーが発表した「2016 Gartner Hype Cycle for Data Security報告書」でデータベース暗号化(Database Encryption)および形態保存暗号化(Format-preserving Encryption)技術を保有しているベンダとして紹介されました。

 

ペンタセキュリティのCTOのDSKimは、「日本でも持続的に暗号化ソリューションに対する需要が発生していたが、繰り返される大規模の情報漏えい事故以後、暗号化ソリューション導入の必要性を痛感した企業が大きく増えた。」とし、「システムプラザが持っているインフラを通じて、製造業分野の顧客を中心に期間業務パッケージ暗号化の供給を拡大する予定である。」と言及しました。

 D’Amo(ディアモ)

2004年リリースされたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,600ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

GI (1)

【コラム】 企業経営を脅かすITセキュリティ。答えは、実用主義暗号化

企業経営において最も大きなリスクは、伝統的にいつも「経済の不確実性」だった。しかし、最近「ITセキュリティのリスク」が話題になり、企業経営において最も大きなリスクとして1位と挙げられるようになった。経営の一線もこのようなリスクに対し、不安を訴える場合が多くなっている。

不確実性のせいで発生する問題は、たいてい企業が自ら感受したら終わらせることができることだったし、かつてからあったから、まるで空気のように当たり前に感じられるが、新型リスクであるサイバー脅威は、不慣れさのためなのか、気まずくてまた不便だ。さらに、その勢いもまた激しくなっていて、問題が起こるとマスコミからも会社を崩す勢いで連日報道するから、収拾も難しくて到底手に負えないという文句が出ている。

ITセキュリティ事故は、持続されなければならないビジネスの連続性を害し、投資者に悪影響を及ぼすだけでなく、深刻な場合、社会的な混乱を引き起こし、災害レベルの経済活動の麻痺、そして企業活動の停止にまでつながったりもする。IT危機の対応能力は、企業の最も重要な資産であり、成功企業のコアコンピタンスだという認識は、もはや必需的な事項になった。従って、従来の危機管理方法を再検討し、新しいアプローチを探さなければならない。

 

ITセキュリティ理解の核心

 

経営者の立場から見るとITセキュリティの最も深刻な問題は、難解さではないだろうかと思う。いくら集中して聞いてみても、いったい何を言っているのかが分からない。到底理解できない。本を探してみても、技術者ぐらいになったらやっと読める完全な技術書でなければなんの役にも立たない、余計な言葉だけを述べている書籍だらけだから学びたくても学ぶことができないのだ。このような事情のため、経営と技術の間にギャップは徐々に広がるし、その隙を狙った犯罪者と詐欺師だけたくさん集まって、各種の事件や事故は絶えない。

ITセキュリティを完全に理解することは、実はとても難しいことだ。数多くの重要要素をいろいろな側面から見て検討しなければならず、技術だけでなく、技術以外の領域に至るまで完全な知識で武装しなければならない。しかし、他の分野と同じくITセキュリティにも柱の役割をする中心がある。重要な脈絡の流れを把握して全体を見る観点を持つようになると、その難解なITセキュリティが明瞭な一つのイメージとして浮かべることを体感できる。

ITセキュリティ技術の理解の最も重要なポイントは、まさに暗号技術である。暗号化は、ITセキュリティの始まりであり、最後と言えるほど重要な要素である。暗号技術を中心にITセキュリティの知識と観点を繋ぐことにより、総体的な観点を持つようになれば、簡単にITセキュリティ全体の姿を眺めることができるだろう。

 

「いや、ITセキュリティ技術の核心は、アンチウイルスやファイアウォールではないか?」

 

違う。暗号技術である。より詳しく調べてみよう。

 

ITセキュリティの二つの方法論

 

ITセキュリティ分野は、難解で巨大に見えるが、その方法は簡単に二つに分けることができる。「脅威からの防御」と「安全なシステムの設計および実装」である。これは、人間が健康を守る二つの方法と比較してみたらすぐ理解できる。

「脅威からの防御」は、すでに作られた既存システムをよく守るための方法である。アンチウイルス、侵入検知・防御、脆弱性点検システムなどがこれに該当する。体が痛いなら、病院に行って治療を受けて注射を受けて薬を飲むのと同じだ。当然、取るべき措置だ。しかし、企業のネットワークセキュリティは、いくら最善を尽くしても結局攻撃にやられてしまう。

例えば、最近マスコミからよく登場する「APT攻撃」は、本当にうんざりするほどのしつこい攻撃である。少しずつシステムに侵入し、結局は全体を掌握してしまう。現在、数多くのAPT防衛システムが販売されているが、正直言うとまともなシステムは一つもない。大げさではなくて、本当にない。

一方、「安全なシステムの設計および実装」は、より根本的な方法である。問題が発生すれば、それに対応するのではなく、最初からシステムを安全に設計して、実現することだ。健康な生活のために毎日運動したり、バランスが取れた栄養素を摂取するなどの「健康に良い習慣」と似ていると言える。

ここで「安全」という言葉は、ユーザーが正常的な方式でアクセスして、統制された権限システムの中で情報を閲覧し、これに対する監査情報が記録されるシステムの存在を意味する言葉である。言い換えて、ITシステムが常識的なレベルで合理的に運営されることを意味する。こうした「安全なシステムの設計および実装」という、根本的に問題を解決するための方法を自由自在にすることにおいて必ず必要な道具がまさに「暗号化」である。適合なユーザーであろうかを認証し、非正常的なアクセスがある場合は情報を隠して、権限のある人には情報が閲覧できるようにする。また、監査情報に対する整合性を保障してくれる。つまり、合理的なシステムの動作を保障し、証明するコア技術である。

システムを設計段階から安全に実装したことは、セキュリティに最善をつくしたことを証明する証拠となる。したがって、万一の場合、セキュリティ事故が発生しても処罰されない根拠となる。根本的な問題解決の努力をしたから「脅威からの防御」方法に比べて、責任免除の法的な根拠もより充実している。したがって、技術的に見ても、経営的に見ても、「安全なシステムの設計および実装」は「脅威からの防御」に比べ、優れると言える。究極的なセキュリティ概念によって、発展して進化する方向性と見ることもできる。

ITセキュリティ問題から自由でいたいなら安全なシステム構築、つまり暗号化しなければならない。

 

用主義暗化の必要性

 

安全なシステムの実装があんなにも重要であるのに、どうしてほとんどの人たちはITセキュリティと言えば「脅威からの防御」だけを思い浮かべるのか。それは、攻撃と防御状況がまるで一枚の絵のように描かれて、直観的に理解することが容易だからである。実際に、比較的には簡単な技術でもある。これは言い換えれば、「安全なシステムの設計および実装」が難しいからである。その中でも、暗号技術は特に複雑で難しい。最も重要な技術が難しいから接近も難しくなる。それで、アンチウイルスやファイアウォールのようにすぐ処方できる方法だけを見るようになるのだ。

セキュリティ技術、特に暗号化と関連されている知識を学ぶのはかなり難しく感じられる。活字化されている知識体系もまともに整えていなくて、数冊の本を同時に読みてこそやっと核心原理を理解できる。しかも、ほとんどの本が非常に厚くて、現場では使われない、余計な話もたくさん書かれてある。だから、あちこちに散らばっている知識を有機的に繋げるのは読者が直接しなければならないが、これはとても難しいことだ。しかし、技術をきちんと理解するためには、その高い壁を超えるしかない。そのため、しっかりとした技術者の数が少ないものだ。

しかし、考えを変えてみよう。暗号技術自体を原論的に理解するのと、企業現場で十分なセキュリティのために暗号技術を理解することは全く違う問題である。つまり、ITセキュリティに対する洞察を得るためにはコンピューティング(Computing)とネットワーキング(Networking)知識の上、セキュリティ知識を積まなければならない。コンピューティングやネットワーキングというテーマを完璧に理解することは非常に難しいことだが、十分なセキュリティ性を達成するためのレベルでコンピューティングやネットワーキングの原理を理解することは、相対的に容易なことであろう。

同様に、暗号技術自体は難しいが、安全なシステムを作り上げるために暗号技術をどうやって活用するかを学ぶことは、さほど難しくない。そして、企業現場ではそのレベルぐらいの理解でも十分だ。結局、目的は暗号制作えではなく、「セキュリティ」だからだ。実用的に暗号技術を理解しようとする目的は、安全なシステムの設計および実装するためであり、完全に新しい暗号アルゴリズムを作る事ではない。

これを既存の学術的な暗号化理論と比べるために「実用主義暗号化」と呼びたい。実用主義暗号化は切実だ。安全なシステム設計および実装において最も重要な技術だからだ。

 

安全なシステムの設計および

 

安全なシステムの重要性を見るために、韓国のケースを見てみよう。韓国は、短い間、社会全般にIT技術を融合することで、いわゆる「IT強国」になった。現在、韓国は日常のすべてのことがIT技術に基盤して行われている。非常に便利だが、その過程でシステムをむやみに設計・運営してしまい、まともな情報セキュリティは果たせなかった。

これは、セキュリティを眺める近視眼的な観点のせいだ。その結果、システムが発展する過程でセキュリティ的な重要度によってきちんと情報が分類されなかった。一般情報か重要情報か、識別情報か認証情報か、公開情報か秘密情報かを厳格に区分して、データベースを設計して体系的に管理することがセキュリティの始まりだ。しかし、韓国のほとんどのシステムではデータを入り混ぜて管理している。文書上では、情報分類及びセキュリティレベル管理などの指針があるが、現実の環境ではこれはとても難しいことだった。企業だけでなく、国家行政的にも情報システムの運営において体系的なセキュリティが行われなかった。そして、大型事故が相次いで発生した。全体人口数よりもはるかに多くの個人情報が一気に流出される笑えない事故も起こっている。それも非常に頻繁に!

これは、ITセキュリティの問題においては見本としてちょうど良い例ではないかと思う。

実用主義暗号化を通じて、安全なシステムの設計および実装を成し遂げることを願う。

 

 

profile

ペンタセキュリティ、ガートナーHype Cycleに紹介されたDB暗号化ソリューションD’Amoで日本展開を本格化

 

g

 

ペンタセキュリティ、

ガートナーHype Cycleに紹介されたDB暗号化ソリューションD’Amoで日本展開を本格化

DB暗号化および形態保存暗号化(FPE)技術を活用したD’Amoの日本提供を本格的に拡大する予定

 

データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、http://www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は10月04日、米国のIT分野調査・助言企業であるGartner(以下ガートナー)が発表する2016 Gartner Hype Cycle for Data Security報告書でデータベース暗号化(Database Encryption)および形態保存暗号化(Format-preserving Encryption、以下FPE)技術部門で紹介されたことを明らかにしました。

ガートナーは、米国の情報技術研究および諮問機関として認知度が高くて、信頼されている市場調査機関です。ガートナーでは、技術の発展および技術成熟度を5つの段階として示したGartner Hype Cycle for Data Security報告書(以下Hype Cycle)を1995年から毎年発刊し、新技術を紹介しています。昨年から全世界的に大規模のデータ漏えい事故が発生し、データセキュリティ及び暗号化技術に対する需要が急増した中で、ペンタセキュリティがデータベース暗号化ソリューションD’Amoを通じて、データベース暗号化(Database Encryption)及びFPE技術部門でSample VendorとしてHype Cycleに紹介されたものです。

ペンタセキュリティのDB暗号化ソリューションD’Amoは、FPE技術を使用しており、データの形式や長さを維持したまま、暗号化しなければならない特殊な場合に導入が可能なソリューションです。FPE技術は、米国国立標準技術研究所(NIST) でこの技術を利用したアルゴリズムを標準として指定するなど活性化されることにより、2016年のHype Cycleでも初めて登場し、企業でもFPE技術を導入する動きが急速に進んでいる状況です。

それによってペンタセキュリティでは、Database Encryption技術及びFPE技術を活用しているD’AmoやMyDiamoの日本市場への提供を本格的に展開していく計画を明らかにしました。

日本では、今年の1月から「特定の個人識別するための番号の利用等に関する法律(通称マイナンバー制度)」の施行とともに、2020年に開催される東京オリンピックを控えて国際水準のクレジット取引のセキュリティ環境を整備を目的とした「クレジットカード取引のセキュリティ対策の強化に向けた実行計画」を発表しています。それによって、日本企業ではマイナンバーおよびクレジットカード情報など敏感な個人情報を安全に保護するためのソリューションを導入する必要があると予想しています。

ペンタセキュリティのCTOのDSKimは、「最近、頻繁に起ているデータ漏えい事故によって、全世界的にデータセキュリティに対する認識が高まっており、日本でもマイナンバー情報の漏えいやクレジットカード情報流出などに対応するために努力している。」とし、「19年にわたる技術開発の経歴や約3400個のレファレンス構築経験を活かし、日本でも多様なお客様に適したセキュリティソリューションを提供していく予定だ。特に、ペンタセキュリティが提供するFPE技術は形式が決まっているマイナンバーやクレジットカード情報などのデータを安全に暗号化することができるので、今より多くの需要があると考えられる。」と言及しました。

 D’Amo(ディアモ)

2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,400ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

ペンタセキュリティ、正品認証ソリューションD’EAL(D’Amo Seal)リリース

ペンタセキュリティ、正品認証ソリューションD’EAL(D’Amo Seal)リリース

PKI技術を応用し高いセキュリティを実現、RFID・NFCとの連携を通じ、実用性を上げ
データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)が8月18日、PKI技術を基盤とした正品認証製品である「D’EAL(ディル、D’Amo Seal、ディアモ・シール)」をリリースしたことを明らかにしました。現在、偽造品に対する取引、不法流通などの問題が持続的に増加しています。韓国の政府機関である国家知識財産委員会(Presidential Council on Intellectual Property)が発刊した「2015年知識財産侵害対応および保護執行に関する報告書」によると、自動車部品・食品・衣類などの偽造品は、2013年の57億円から2014年88億円、そして2015年には98億円で、前年比10%ほど増加しており、経済協力開発機構(OECD)で偽造品取引が世界収入の2.5%を占めていると発表するなど、世界貿易市場でも深刻な話題として挙げられています。特に、多量に偽造されている食品・医薬品の場合は、命に大きな影響を与えるのでこれに対す対策がさらに必要になっています。

現在、偽造防止に使われる技術は、ホログラム・QR-Code・特殊インク・RFIDなどがあります。ホログラムやQR-Codeなどは、RFIDに比べて非常に安い価格で製作が可能ですが、複製の危険があるし、使用者が偽・変造を識別することが難しいです。また流通および製品管理が難しいことを理由として、流通や製品管理などの付加的な価値を創出するため、RFIDのような近距離通信技術を利用する方式が使用されています。RFIDのような近距離通信技術は、セキュリティソリューションと連携をしてこそTag複製、TagとReaderの間のセキュリティ脆弱性等の問題を補完して使用することができます。

ペンタセキュリティの正品認証製品である「D’EAL」は、PKI技術とハードウェアの側面で複製が不可能な技術を基にして既存の正品認証製品から現れる問題点を解決します。ハードウェアの複製防止技術を通じて、tagの無分別な複製を防止し、PKI技術を基盤にしてRFID・NFC・Beaconなどの多様な近距離通信技術を安全に使用できるようにします。これをもとに、品目別流通および在庫管理が可能となり、スマートフォンとの連動を通じて使用者の偽・変造識別がより簡単です。これだけでなく該当サービスに対する認証および暗号化技術を融合させ、使用者と管理者の安全なデータ管理体系を提供します。

ペンタセキュリティの最高技術責任者であるDS Kimは、「PKI技術を基盤としたスマートカーセキュリティソリューション、公認認証ソリューションなどをリリースしてきたノウハウを通じて、より高いセキュリティを確保する正品認証製品をリリースした。」とし、「最近、偽造品流通によって持続的な被害を受けてきた国内ブランドと共に正品認証商用化を進めている。今後、国家の流通産業保護および企業の経済的・ブランド信頼度の損失を最小限するため、ペンタセキュリティの正品認証技術を様々な製品に融合し、安全な流通環境を構築する予定だ。」と述べました。

D’Amo(ディアモ)

 

2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

D’Amoに関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

wheel

【コラム】「また?」 個人情報漏洩の危険

マスコミで報道されるニュースを見ると、ほぼ毎日と言っても良いほど頻繁に「個人情報漏えい事故」が起こっている。まるで当然のことのように起こることだ。以前は、だから、インターネットの大衆化以前には、このような事故が起こると、社会全体が怒りを発するたりしたが、最近はあまりにも頻繁に事故が起きているからもう慣れてしまい、みんながただ「えっ、また?」とちょっとかんしゃくを起こしてすぐ忘れてしまう。個人情報は、私だけのものではなく、誰でも使える公共財になったという嘲笑さえ聞こえる。しかし、個人情報漏えい事故は、そんなに軽く考え、適当に笑ってすますことでは決してない。本当に本当に危険千万なことだからだ。

「火車」、他人の人生

社会派ミステリの巨匠である宮部みゆきの小説の「火車」には、他人の身分を偽装し暮らす女性が登場する。宮部さん特有の文体のおかげで最初から最後まで軽快によく読み取ることができたが、読んでいる間、心が重くなるとても暗い犯罪小説である。

不動産開発ブームに陥った父親の無理な融資のせいで、家族が借金取りに追われて家を離れ、各地を放浪していたところ、両親を失って本人も四面楚歌の状態に追い込まれた新城喬子は、女性向けの下着を販売する通販会社の職員として働きながら、顧客の中で家族と連絡せず、職業が不安定な若い女性である関根彰晃の個人情報を盗んで、身分を偽装してその人の振りをしながら生きていく。構成員は断絶され、相互コミュニケーションがなく、形式的なシステムだけますます複雑になっている現代社会ではどんな人のアイデンティティがその人の性格や人柄などの自然な性質より、身分を証明する各種の番号と短い文章により決定される。だから新城喬子も小説の中で特別な事件が起こる前までは盗んだ個人情報で無難に他の人として生きていくことができたのだ。
しかし、小説のタイトルである「火車」は、人の魂を地獄に連れて行く「燃える車」を意味する言葉で新城喬子の偽人生の最後はハッピーエンドではない。

個人情報とは?

個人情報は、それこそ個人そのものだ。どんな人を特定し、識別できる情報として住所、氏名、年齢、性別、生年月日、電話番号などの基本情報のほか、学歴、経歴、勤務先、結婚歴、クレジットカードの番号、兵力、前科の有無などをすべて含む。私たちは、個人情報を通じて自分が自分であることを証明しながら日常生活を維持するのだ。

ICT技術の発展により、過去には収集や取り扱いが難しかった種類の情報まで簡単に取得して利用できるようになるにつれて、個人情報漏えいによる危険性も高まった。このように高まっている危険性を解消するため、この2015年9月「個人情報保護法」がほとんど10年ぶりに改正された。従来の問題の解決だけでなく、より効率的に個人情報を管理するため、追加的に特定の個人情報、すなわち「マイナンバー制度」を新設することによって、より厳格に情報を管理するという意味もある。

しかし、マイナンバーという、特別に管理しなければならない代表的な個人情報をもう一つ追加したわけであるため、情報漏えいによる危険性の問題が解決されたのではなく、むしろさらに増加したという指摘は相変わらず議論の対象だ。さらに、マイナンバーセキュリティの関連法規がまだ具体的ではないので、制度が実際に施行されてから数ヵ月が経っているが、最も基本的なセキュリティ措置であるデータ暗号化さえ施行していない企業がほとんどだ。だから、マイナンバーのせいで個人情報漏えいの危険がさらに増えたという不満の声は妥当である。それにもかかわらず、相変わらずまともな個人情報保護措置を取らせようとする努力は見つけられない。自発的には行動することを期待してはならない仕事だから、関連法の規制内容をより具体的に補強してこそ、解決される問題であるようだ。

個人情報漏えい事故の経緯とその対策

ところで、個人情報は、どうやって流出されるか?外部の攻撃によって個人情報が流出される場合は、ほとんどがハッカーの内部ネットワーク侵入の試みそして内部の人のミスによって起こる。ある日、メールが届く。普段よく連絡している取引先から来たメールだ。開けてみたら、メールの中に業務と関連されたファイルが添付されていた。何気なく開いたが、特別な内容がなくて、そのまま閉じる。しかし、この時、すでにシステムはファイルの中に隠されていた侵入用マルウェアに感染され、これを通じて内部ネットワークに侵入して、データベースにアクセスしたハッカーは、情報を外に流出させる。「いや、そんなメールは最初から開けなければ良いのではないか!」 さあ、取引先からきた業務メールを開けないというのがむしろおかしくないか?

漏えい事故は防ぐことも難しいが、事故発生後の対処も難しい。情報を流出されたという事実自体を認知できない場合がほとんどだからだ。「わが社はセキュリティに特別に気を使わないにもかかわらず、運が良いのかまだハッキングされなかったよ。」

いや、すでにハッキングされたことに気づかなかったのかもしれない。ハッキングは、セキュリティに特別に気を使ってからこそ、やっと侵入者の存在に気付くぐらいだから。

ハッキングとセキュリティは、矛と盾の終わらない戦いだが、今までの成績を見れば、矛が盾を完全に勝っている。盾の立場ではいくら最善を尽くしても結局は突き通してしまうから、これは、どうも方法がないように思われるのだ。

こうなると、認めざるを得ない。 内部ネットワークの侵入は避けられない。最善を尽くして事故発生の確率を減らすために努力するが、残念なことに流出事故は必然的なので、結局は起きてしまう。過去、漏洩事故の経緯を調べたところ、事故が起きた後、なんとかかんとか口だけうるさく言っているが、実際に未然に防止することができたことはほとんどなかった。いくら注意しても、ハッカーたちの専門性はそれを軽く超越してしまう。

いや、じゃ、何をどうすればいいのか?まずは、防御力を実際の事故多発地点に集中する。最近、起きているほとんどの流出事故は、Webコンテンツを通じた侵入により発生する。経済産業省の情報処理推進機構(IPA)で発表した報告書クリックすると、原文を見ることができます。)によると、現在の情報セキュリティの危険性1位は「Webアプリケーション脆弱性」が占めている。したがって、最優先的な措置としてWebアプリケーション領域を死守することでWebコンテンツを悪用した攻撃を遮断する道具である「WAF(Web Application Firewall)」の使用をおすすめする。WAFを使用すれば、既存の代表的なセキュリティツールだったアンチウイルスプログラム、ネットワークファイアウォールでは防ぐことができなかったWebコンテンツ攻撃を防ぐことができる。なので、まずは、WAFを使って事故発生確率を最小限に減らすことから始めよう。

しかし、再び強調したいのは、どのようなルートを通じても侵入は結局起きてしまうことという点を忘れてはならないことだ。このような場合、情報を守れる唯一の方法はデータ暗号化だ。しかし、単純にデータベースを暗号化するとして、全てのリスクが完璧に消えるわけではない。データが流れる経路を最初から最後まで全部暗号化する、つまり「DEP(Data Encryption Platform)」概念に充実した暗号化体系を構築しなければならず、さらに企業全体の業務文化がDEP内部で発生して行われなければならない。そうすることで流出事故を事前に防止でき、もし事故が発生しても、流出による被害を最小化することができる。

個人情報流出による2次被害

ハッカーたちは、盗んだ個人情報を人質にして情報を盗まれた企業を相手に身代金を要求して脅迫したりもするが、ほとんどの情報は、ハッカーの闇市場で1件あたりにいくらというやり方で取引される。そして、このような方式で取引された個人情報はまた他の犯罪に悪用される。

例えば、通信を利用した「振り込め詐欺(フィッシング詐欺)」犯罪組織に対して、個人情報はとても立派な餌になる。受話器が鳴って、受けたところ、知らない人が「あなたの口座が危ないから、早く安全な口座にお金を移しなさい!」といえば、ほとんどは笑いながら無視して電話を切るだろう。

しかし、「私はOO市検察庁のOOです。OO市OO県OOマンションに居住しているOOOさんですね。現在、誰かがOOさんの名義を盗用して、通帳を開設してOOO万円の融資を受けましたが、OOOさんがその犯罪に加担していないということを確認しなければなりません。まず、口座を確認します。OO銀行の口座番号OOOOOOOがOOさんの口座で間違いありませんか?」と聞くのであれば?誰だって不安になるのは当然だ。

また、これはどうか。「OOOさん、私は厚生労働省に務めているOOOと申します。OOOさんの国民健康保険に問題があって電話いたしました。OOOO年O月OO日、OO病院で診療を受けたことがございますね。その時、OOOさんの名義が盗用されたみたいです…」とか。このような電話を受けたら、当然相手が公務員と信じれるしかないんじゃないか?実際、振り込め詐欺(フィッシング詐欺)犯罪に騙されて財産を失った被害者たちの記録をみると、相手が自分の個人情報、特に、住所や診療記録などの詳しい情報を知っているという事実に最も不安を感じたという。

フィッシング詐欺は、「釣り」という意味だ。釣り師は、釣りに個人情報というえさをかけ、被害者たちを狙う。一応、不安を感じた被害者は、相手が言うとおりに自分の口座にあるお金を全部送金してしまって、無一物になったり、犯罪に悪用される架空口座を作ることなどに名義を盗用されたことで、2次的な被害を被ることになる。じゃあ、その餌はどこから得たのだろう?

忘れないこと。流出されたた個人情報は必ず犯罪に悪用される。そうでなければ、ハッカーがなぜ自分たちの貴重な時間と費用を投資して情報を盗み出そうとするのだろうか。ハッキングにかかる費用も少なくない。だからハッカーは、情報を売らざるを得ないし、情報を買う人もその費用を回収するためにも、情報を利用するしかない。難しいことでもない。「火車」に戻って話を続けてみると、新城喬子は、関根彰晃を偽装するために関根彰晃を殺人するなど、仕事を複雑にするしかなかった。だが、よく起こる個人情報の悪用犯罪は、簡単に利用してしまえばそれで終わりなので、本当に簡単にそしてあっという間に起きる。誰かが私の個人情報を盗んだというのは、私も知らないうちに自分の名義の通帳が作られ、その通帳を利用して私金融から融資を受け、自分の名義の自動車が道路を通って、自分の名義の携帯が犯罪に悪用される危険にさらされているという意味だ。

マスコミの「個人情報漏えい事故」報道は珍しくないが、珍しくないからといって普通のことだと考えてはいけない理由がここにあるわけだ。

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として2,100ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

902214eb-1024x768

【コラム】 JTB個人情報漏えい事故、データを守るのは暗号化

ジェイティービー(JTB)から約793万人の個人情報の流出が疑われる事故が発生した。事故の経緯はこうである。

JTB個人情報漏えい事故の経緯

2016年3月15日、旅行商品のインターネット販売を行う子会社であるi.JTBに問題のメールが送られてきた。約250人のオペレーター体制で顧客に対応していて、既存の取引先の社名でのお問い合わせメールであり、通常の業務処理を行った。メールに添付されていた圧縮ファイルの中にはPDF形式の電子航空券(eチケット)が入っており、圧縮を解除しファイルを開いたが、航空券には申請者の名前が書かれていなかった点と、本文にもこれといった内容がなかったため、「無効」メールに分類し、処理を終えた。

このオペレーターのコンピュータは、この時から添付ファイルに仕組まれていた内部ネットワーク侵入用マルウェアに感染されていたが、これを検出するアンチウイルスワクチンプログラムは、その役割を果たせなかった。

3月19日、社内Webサーバから外部への異常な通信が発覚、3月19日、当のWebサーバを一旦物理的に分離した後、問題になった回線を遮断すべく、ブラックリストに登録するなどの措置を行った。その後も、異常な通信はまた発生していた。

4月1日、顧客向けの広報メールやアンケート調査などに使用される個人情報データを保存する「実績データベース」内部に外部からの侵入によりCSV(Comma-Separated Values:データフィールドをコンマで区分したテキストデータファイル、主にお互いに互換されないフォーマットを使用するプログラム同士で資料を受け渡すとき使用される)ファイルが生成され、削除された痕跡が発見された。生成ルートは不明、削除命令は商品情報などの情報を社内の各サーバーに転送する制御サーバにより実行されたとみられる。

5月13日、生成された後、すぐ削除されたCSVファイルの復元中に該当ファイル内部に顧客の個人情報が含まれていたことが発見された。6月10日、問題のファイルを復元してみると、約793万人の個人情報が漏洩された可能性が確認された。そして6月14日、JTB社は、顧客の個人情報漏えい可能性をメディアに公表した。事故が発生した以後、状況分析までかかった時間がとても長いとは思うが、とにかく隠蔽せずに、公表したことは、ほめられるものである。

事故発生後、論争の空しさ

JTBの発表後、とても騒々しくなった。実質上日本は深刻な情報セキュリティの死角地帯と言っても過言ではない。他の先進国に比べ情報セキュリティ関連法律は、極端に言うと、あまりにも不十分である。「平和ボケしているからね」と日本のお客様からよく聞く。今回のような大規模の情報漏えい事件が発生すると、その原因の分析やセキュリティ対策のお粗末さを非難するに走り、その論争で盛り上がる。

その一部だが、次のようなことが議論されているようだ。

-勤務者のセキュリティ意識が希薄
-情報セキュリティの責任者が不在で、セキュリティポリシーが甘い
-データベースに対するセキュリティ対策が不十分
-データ暗号化をしなかった。

これは、セキュリティ関連問題で常に議論される話である。すべて正しい。もう情報漏えいされてしまってからには、議論することすら空しさを感じてしまうが、ここからどのような実質的な対策を見出していくのかは、勉強にあるのである。
「勤務者のセキュリティ意識の希薄」だが、もちろん、最も言いやすい原因ではあるが、セキュリティ意識が高くても、事故は起こる。その確率を下げることはできるが。そして、現実問題として大きな大企業では情報セキュリティの専門部隊と責任者を別途設置し運用することができるかもしれないが、みんなができるわけではないのだ。

オペレーターの250人が一日処理しているメールは何通あるのだろうか。「不明な送信先からのメールは開けない」といった社内ルールがあったとしても既存のお客様を装ったメールであれば、通常の業務として処理をする。JTBも「問題のメールを処理した人の過ちとは思えない」と話す。これは責任回避ではなく、事実がそうであり、セキュリティ意識が希薄とは違う気がする。

JTBの発表内容からセキュリティ対策自体、不十分とは言い難い。通常の対策は行っていた。事故当時も問題になった「実績データベース」に関するセキュリティ対策の甘さはあったものの、普通にセキュリティ措置を行っていたとみられる。実績データベースのデータを暗号化しなかったということは、痛いんだが、データ暗号化を実施していない会社は、実に結構あるものだ。マイナンバー制度の施行後この半年、個人情報を保管している企業でどれほど、暗号化を実施しているんだろうか。だから今回の事故は、個人情報を持っている企業なら、どこにでも起こり得ることであり、JTBの肩を持つわけではないが、「運が悪かった」とも言えるだろう。事故後はもう遅いが、今後の対策はより具体的かつ、現実的でなければならない。

内部ネットワーク侵入は、実はいとも簡単に起きる

言うまでもなく今回の問題は、極端にいえばデータを暗号化しなかったことに尽きる。データ暗号化さえすりゃ、今回の問題は起こらなかったことを言っているわけではない。まず、内部ネットワークへの侵入だ。ありとあらゆる方法でいとも簡単に内部ネットワークに侵入できるわけで、情報漏え事故はいつ、どこでも起こり得るのだ。打つ手がないとでも思ってしまうかもしれないが、セキュリティ対策は、事故発生の確率を減らすための日々の努力を意味するということを理解して頂きたい。

この言葉を覚えて頂きたい。「内部ネットワーク侵入は、必ず起こる」

悪意のある者は、忍者のように忍び込んでくるために、知らないうちにやられるわけで、しかもやられたのかも認識できずいるケースも多々ある。ここで、セキュリティ対策として、暗号化の出番になる。暗号化を実施していなかったことが今回の漏えい問題の至らないところである。その故に名前や性別、生年月日、メールアドレス、住所、電話番号、パスポート番号、パスポート取得日などが含まれた、なんと793万人分の個人情報がこっそり抜かれたしまったのだ。データ暗号化を実施しておいたならば、最悪の結果にまでは至らなかったのではと、私は思う。

でも、ハッカーがルート(Root)の権限をどうやって奪取できたかは不明らしい。この点も、極めて重要だ。DBAにスーパーAdminの権限を持たしているのであれば、ゲームオーバーである。したがって、暗号化、そしてDBAとセキュリティ管理者の権限分離は同時に考慮すべきものである。もちろん暗号化には適切な鍵管理は必須である。

情報社会、その利便性とリスク

JTBは、「これから専務取締役をトップとするITのセキュリティの専任統括部門を設置し、グループ全体のITセキュリティの更なる向上に努める」とした。本件の発生経緯と事故後の対応から一応は、応援したくなる気持ちでいるが、最大手のJTBの会社イメージはガタ落ちし、失った顧客の信頼を回復するまでは、かなりの時間はかかるでしょう。

今年は、国民背番号制度、マイナンバーの元年でもある。マイナンバーの利用領域は、制限された部門となっているが、今後ありとあらゆるサービスと連携することで、無数の個人情報と紐づいていくことになる。これは、マイナンバー制度施行の目的でもある社会構造改善による利便性につながるだろうけど、その分のリスクも同時に抱え込むことになるのだ。個人情報漏えいを懸念していた、まさしくこの時期に、行った今回の大規模の漏えい事件である故に、その余波は大きいのだ。痛い分、予防接種だと考え、これからの情報セキュリティについて、社会全体で真剣に考える良いチャンスではないか。予防接種は、効くものである。

D’Amo(ディアモ)

 

今年2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として2,100ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

ペンタセキュリティのD’Amo、暗号鍵管理製品に「セキュリティー強化パッケージ」として機能アップグレード

ペンタセキュリティのD’Amo、
暗号鍵管理製品に「セキュリティー強化パッケージ」として機能アップグレード

ディアモ(D’Amo)に量子乱数発生器(QRNG)とHSM追加し、強化された鍵管理提供

データベース暗号化とWebセキュリティ専門企業ペンタセキュリティシステムズ株式会社(日本法人代表取締役社長 陳貞喜、www.pentasecurity.co.jp、以下ペンタセキュリティ、ソウル/韓国本社、ヒュースト/米国法人)は、6月20日、暗号鍵管理システムであるD’Amo SG-KMS(ディアモ・エスジ・ケイエムエス)に量子乱数発生器(QRNG)やハードウェアセキュリティモジュール(HSM)を追加した「セキュリティー強化パッケージ」をリリースしたことを明らかにしました。

ペンタセキュリティのD’Amo SG-KMSは、暗・復号化に使用する鍵を物理的に安全に管理できる鍵管理システムです。鍵管理は、暗号化ソリューションの構築の際、最も核心的な技術で、使用者はD’Amo SG-KMSを通じて、鍵の生成から廃棄までライフサイクルを全般的に管理し、別途の安全なところに鍵を保管することができます。セキュリティ脅威がますます増加している状況で、ペンタセキュリティはより高度化されたセキュリティが要求されることにより精巧かつ安定的な暗号化及び保存のために量子乱数発生器とHSMを追加するようになったと説明しました。

新たに追加することになった「量子乱数発生器(Quantum Random Number Generator、QRNG)」は、量子技術に基盤して純粋な乱数(True Random Number)を生成する方法で、従来の擬似乱数(Pseudo-Random Number)生成方法に比べて高いセキュリティを持っている暗号鍵の生成が可能です。乱数(Random Number)とは、完璧に無秩序な数字で、暗号化技術の核心要素です。今までは「疑似乱数」すなわち、コンピュータプログラムで作った擬似乱数を使用しました。しかし、擬似乱数の生成方法はコンピューティング技術が発展することにより乱数の予測や再現が可能になりましたし、ハッキングの危険も高まりました。しかし、量子乱数発生器を導入することにより予測することが難しくなったため、以前に生成された数字と関連されず、どんな方法でも推定が不可能な、完璧な暗号化を構築できるようになりました。

これとともに、生成された鍵を安全な場所に保管できるハードウェアセキュリティモジュール(HSM)が追加されてより安定的な鍵管理も可能です。ハードウェアセキュリティモジュール(Hardware Security Module、HSM)は、物理的な演算装置で、保存されたデータに対する偽・変造を防止できるセキュリティプロセッサーであるが、ここに保存された鍵は、ストレージまたはメモリに保管してきた既存の鍵保管方式より安全で、ハッキングも不可能です。また、物理ハードウェアなしには、利用ができないため高いセキュリティレベルで暗号化構築が可能です。

ペンタセキュリティの最高技術責任者であるDS Kimは、「D’Amo SG-KMSのセキュリティー強化パッケージは、多様化された金融サービスやモノのインターネット(Internet of Things、IoT)のセキュリティ脆弱性に完璧に対応することになろうと期待している。」とし、「D’Amoが韓国1位の暗号プラットフォームであるだけに、鍵管理システムを中心にPOS、SAPのような多様なコンポーネントに対して強力な暗号化を通じたレベルの高いセキュリティを提供する予定。」と述べました。

D’Amo(ディアモ)

 

2014年リリース10周年を迎えたD’Amoは、韓国初のDBMS暗号化ソリューションを商用化した以来、セキュリティ市場No1として3,200ユーザ以上の安定された稼働実績を誇ります。長年の経験とノウハウ、そして研究を重ねてきた暗号化のコア技術をもとに、さらなるステージへとセキュリティソリューションの進化をリードしてまいります。

 

 

D’Amoに関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201

 

【コラム】 マイナンバーセキュリティを無視したら、韓国のようになる

話を始める前に、先に言っておきたい。私は韓国のマイナンバーである住民登録番号のセキュリティ専門家だ。大学院で暗号化を専攻して、この仕事を始めたてから住民登録番号を含む様々な個人情報の暗号化、そして個人情報が最もたくさん流通されるチャンネルであるWebセキュリティの最前線を離れず、現場を守ってきた。長年の経験を通じて断言するが、マイナンバーは保護できる。ただし、積極的に保護しようとするときにだけ。

ハッカーより怖いのは、楽天主義者

情報セキュリティの戦場で起こられる大小の戦いの絶対的多数は、ハッカーとの戦いではなかった。当然保護すべきのそしてしようとすれば十分保護することができる情報セキュリティをおろそかにして「まさか。私にそんな事故が起こるはずないじゃん。」と呑気に考える楽天主義者たちとの戦いだった。非常に強い敵である。到底かなわない。長い悪戦苦闘に私はほとんど敗北し、その結果、韓国から流出した住民登録番号の数は算術的にいえば韓国の人口数よりも多い。それによる被害額もとてつもない。もっと大きな問題は、住民登録番号の当初の目的と機能をほとんど失ってしまって、これを代わりになる新しいものを探しているという事実だ。国家的に膨大なコストがかかるに違いない。何の無駄な浪費か!

韓国の住民登録番号と趣旨が似ている個人識別番号である日本のマイナンバー制度の導入も2016年1月以来、半年が経った。韓国はこのざまだが、日本はどうであろうか。導入後の状況が知りたくて、あれこれ調べてみたところ、結構驚いた。どうしてこんなに韓国と同じ状況であろうか!と。マイナンバーの暗号化措置を十分にしている企業がほとんどない。このまま放置されると、結局韓国の住民登録番号と同じ道を歩むことになるのは明らかだ。

マイナンバーセキュリティに対してどう措置しているかを調査してみて驚いたのは、たぶん日本は韓国に比べて安全問題に敏感であるはずだという先入観のせいかもしれない。なぜ、我々はどの国についても根拠もない先入観から脱することができないのか?と思った。そして、マイナンバーの現況調査のために進めた日本企業に勤務する電算担当者とのインタビューを通じて、たくさんのことに気付いた。韓国と日本は、似てるところも多く、また異なるところもたくさんあるんだなーと。当然なことなのに、改めて驚いた。

韓国と日本。両国とも「後の祭り」

両国の似ている点は、危険が目に見えるのにそのまま無視して、セキュリティ事故が起きた後になって慌てて対策を立てるという事実だ。韓国には、このような諺がある。「死後の処方箋」。これは、患者が死んだ後に薬を処方するという意味だ。また、「牛を失ってから牛舎を直す。」という諺もある。泥棒が盗んだ後、育てる牛もないのに牛舎を直すという意味だ。知人に聞いてみたら、日本にも同様の諺があるという話をしてくれた。「後の祭り」。祭りが終わった後に無駄な花馬車を準備するいう意味。

「盗人を見てなわを綯う」という言葉もおもしろい。昔から非常によくある情けないことだったから、このような諺もあるのだろうが、苦い経験を通じても学習できないというのは…。ため息しか出ない。

韓国と日本、両国のセキュリティ文化の違い

それでは、似ている点よりもっと意味深いはずの韓国と日本の違う点について見てみると、まず情報セキュリティに対する考え方が完全に違う。韓国で情報セキュリティは、したくなくても無理やりにしなければならないものだ。韓国の企業は、必ず法を中心にしてセキュリティシステムを構築する。これは、韓国の情報セキュリティの関連法規内容がかなり具体的であるためでもある。韓国の法規は、かなり技術的な内容までいちいち指示していて、これに応じない場合の処罰内容もかなり具体的だ。したがって、韓国企業は法律が要求することをそのまま従って、セキュリティシステムを合わせようとする傾向がある。だから、韓国のセキュリティ文化は嫌がっても無理やりにしている感じがする一方、日本企業は普段安全を最優先とする社会文化にふさわしく、強引にするのではなく、本当に安全なシステムを作るために導入計画を立てるのが一般的のように見える。両国のセキュリティ状況の違いは、このようにシステム構築の哲学からもはっきりした違いがある。

そして、日本は各種の情報セキュリティ製品の選択において「ビジネスにどれほど役に立つか」をまず念頭に置く傾向があり、これは安全なシステムの構築に邪魔になったりもする。

韓国は、前に言及したように具体的で処罰が強力な法的規制があるため、規制を満足させることができる製品をまず探す。韓国の場合、長所と短所がある。短所は、セキュリティに対する態度の積極性が下がるというのがとても深刻な短所であり、長所は法律による強制を通じてでも全般的なセキュリティレベルはとにかく総体的に高くなるということだ。もちろん、このような短所を改善するための努力と長所を活かすための努力も当然存在する。

そして速度の違いもある。韓国のIT市場では、日本とは違って新しいものをとにかく早く受け入れようとしている雰囲気なので、新しい製品が登場すれば、すぐ導入しようとする傾向がある。つまり、速さの危険があるということだ。日本は、韓国に比べてより慎重な方である。したがって、性急に何かをすることから発生する危険もはるかに少ないようだ。

ここまでは、両国の文化に対する一般的な先入観とだいたい一致している。しかし、今度日本企業の電算担当者とのインタビューを通じて、他の側面の違いも分かるようになった。両国いずれも住民登録番号やマイナンバーセキュリティをおろそかにするというところは同じだが、その理由と背景は両国が相当違っていた。

「マイナンバーセキュリティが必ず必要か?」

ところで疑問が沸いてきた。安全を優先視する文化なら、いまだにマイナンバーセキュリティ措置が不十分な理由が説明できないのではないか?と。それで、インタビューを通じて日本企業の電算担当者に聞いてみた。「マイナンバー漏洩の危険を知りながらも、まだデータ暗号化などのセキュリティ措置をまったく取らない理由は何ですか?」

返ってきた答えは、3つだった。

第一.お金が結構かかることなのでより慎重に判断することにした。
第二.わが社は、マイナンバーなどの重要情報は、印刷して金庫に入れて保管しているので、すでに安全だ。
第三.他社がセキュリティシステムを導入する過程や導入後の結果を見てから判断しようとする。

それでは、簡単に上の答えに対して反論してみよう。

第一.お金がたくさんかかることではない。事故発生の際、被害規模によって比較してみると、マイナンバー保護措置は、同規模の他のセキュリティ措置に比べて最も低い。
第二.すべての情報がWebを通じて流通して処理される「本格Web時代」に、どんな情報であれ、それを印刷して金庫に保管するというのは、その情報の効用性を最初から諦めることだ。
第三.セキュリティ事故はいつでもどこでも発生できるが、先に動いたら起きない。だから、導入した後の結果を見ることができなかったはずだ。適切な措置を取らなかった会社でだけ、事故が発生すから。

そしてこのような話も聞いた。

「いつ発生するか分からない事故のためにあらかじめ備えるというのがちょっと理解できない概念なので…」

これじゃ、いつ泥棒が来るかも知らないのに、会社の防犯はどうしてして、いつ火事が起こるかもしれないのにどうしてきちんと保険金を払い込むのでしょうか。

もしかしたら「有事の際」の出口戦略?

脈絡をすこし変え、再び質問した。「日本にもマイナンバーのセキュリティをおろそかにすると、処罰が伴わないですか?」
そして、反ってきた返事を聞いてやっと現況をまともに判断することができるようになった。「規制の内容を見ると、有事の際、マイナンバーセキュリティのために適切な技術的措置を取らなかった場合、処罰を受ける恐れがあるというぐらいの内容でしたよ。」

そうか! これが、まさに韓国と日本の決定的な違いだな、と思った。もし韓国だったら、当該法律は「マイナンバーの保護のため、データベースを暗号化するものの、アルゴリズムはこれ、またはこれ、これを使わなければならず、一定の周期でセキュリティ点検監査を受けなければならず、これを違反すれば、セキュリティ担当者のほか、CEOを含めた関連者はいくら以上の罰金、またはいくら以上の禁固刑になる」というふうに書かれているわけだから、これは避けたくても避けることができないことだ。

といっても、法律を変えろうとは言えないので、一つの事実だけ知っておこう。

「適切な技術的措置を取らなかった場合、処罰される」という言葉は、「セキュリティ事故が発生すると処罰される」と似たようだが、違う。やや危険な発言ではあるが、前の場合、もしセキュリティ事故が発生したとしても、適切な技術的措置を取って置いてあれば、処罰されない場合もあるという意味だ。これは、非常に重要である。世の中のすべての事故はいつか必ずしも発生するようになっている。先立って、積極的に保護しようとすれば、情報は保護できると言ったので、矛盾のように