【 ここから本文 】
セキュリティ・マネジメント
ソーシャルブックマークに登録 ：
印刷用ページの表示
データ漏洩・盗難対策を“完璧”に近づける「マルチレベル暗号化」のすすめ
ライフサイクル全般にわたるデータ保護を実現する
（2007年01月25日）
暗号化ポリシーの策定手順
暗号化の導入に際しては、綿密な調査がまず不可欠である。ポリシーの策定作業を効率よく進めるには、経営層、マネジメント層、IT/IS部門の主要メンバーにかかわってもらうことだ。
まずは、各部門のキーパーソンを集め、ポリシー策定の目的を説明する。その際、該当する法規制・ガイドライン、暗号化製品の購入・導入に関する判断に影響を及ぼすその他の要因を確認した後、特にリスクの高い要素（ノートPC、無線LAN、バックアップ・データなど）の洗い出しを行う。
暗号化を導入したとしても、暗号を解くための情報を簡単に得られるようであったら、何の意味もなさない。したがって、ファイルのアクセス権、パスワード、2要素認証を組み合わせて強固なアクセス制御の仕組みを構築することが不可欠である。IT/IS部門は、このアクセス制御の仕組みの有効性を維持するために定期的に点検しなければならない。
次に、自社で導入する暗号化製品の検討を行う。各種の評価記事に目を通し、興味が湧いた製品を利用しているユーザーに話を聞いてみたうえで、購入前に試用していただきたい。というのも、暗号化製品は、ある企業でうまく機能しているからといって、自社でも同様に機能するとは限らないからだ。自社に最適な暗号製品を見極めることが重要である。
製品を購入する前の作業としては、ポリシーを書面にまとめ、マネジメント層の承認を受けてから、ポリシーとその運用手順をエンドユーザー（機密データを取り扱うビジネス・パートナーなどの第三者組織も含む）に知らせることも必要だ。暗号化は義務とし、それが守られない場合の対処法も決めておく。
さらにこの段階で、機密情報の漏洩・盗難を監視・検出するツールの導入も検討する。ポリシーには、データが漏洩・盗難した場合には直ちに主要な利害関係者に報告するよう定める文言を盛り込み、その対処の手順を明記しておく。だれにいつまでに報告するのか、顧客にはいつ通知するのか、それはだれがどのようにして決定するのか、クレジット・カード番号が流出した場合にカード明細書を顧客に送付するのかなどを、事前に決めておく。
なお、暗号化とは直接関係ないが、データのライフサイクルにのっとり、データの破棄に関するポリシーも同時に定めておくことを勧める。これは情報漏洩の予防対策になるからである。本来であれば破棄されているはずのデータが盗まれたというケースは多く、不要になったデータの破棄は、リスクの軽減につながる。具体的には、データを保護・破棄する方法とともに、データを作成・入手してから保有する期間を決めておけばよい。
5つのレベルに分類できる暗号化製品
現在利用可能な暗号化製品は、暗号化対象として、ファイル／フォルダ、ボリューム／パーティション、メディア、フィールド、通信という5つのレベルに分類することができる。以下、この5つの暗号化のレベルについて説明しよう。
（1）ファイル／フォルダ・レベルの暗号化
ファイル／フォルダを対象とする暗号化製品としては、PGPの製品が最もよく知られている（オープンソース版と商用版がある）。ファイル、フォルダの暗号化は厳密にはそれぞれ異なる。
ファイル・レベルの暗号化では、論理的なファイル単位でデータを保護する。ハードディスク上でファイルやフォルダを暗号化する製品のほか、「PKZIP」のようにアーカイブ・ファイルをパスワードで暗号化する製品もある。ファイル・レベルの暗号化の利点は、特定のファイルだけを暗号化することができるため、重要度の低いファイルの暗号化／復号に余計なリソースを消費せずに済むことである。
ファイル・レベルの暗号化は、OSレベルで行われることが多く、WindowsにはEFS（Encrypting File System）、Mac OS XにはFileVaultという暗号化システムが装備されている。ただし、OSレベルの暗号化は最新のリムーバブル・メディアや異機種のボリュームには対応できないため、サードパーティのファイル暗号化ソフトウェアも数多く提供されている。
 |
| 画面1：WindowsでEFS（Encrypting File System）を利用する画面 |
一方、フォルダ・レベルの暗号化は、フォルダ全体を単一のオブジェクトとして暗号化するわけではない。実際には、各ファイル専用の暗号鍵またはフォルダ専用の暗号鍵（あるいはその両方）を用いて、フォルダ内のファイルを個々に暗号化しているのだ。
例えば、現行のWindowsに備わるEFS（画面1）は、暗号化の対象がフォルダ全体の場合でも、ファイルごとに専用の対称鍵を用いて暗号化を行う（ただし、この対称鍵は全ユーザー共通）。そして、各ユーザーが所有するファイル別の（全ユーザー共通の）対称鍵を、ユーザー専用の非対称鍵で暗号化する。
ファイル／フォルダ・レベルの暗号化は、暗号化製品の中でも最も普及・成熟しているが、ある大きな弱点を抱えている。そしてそのために、次第に製品力が失われつつある。
その弱点とは、一時ファイルなど、暗号化されないファイルを盗み見られてしまうおそれがあることだ。例えば、個人用ドキュメント・フォルダ内のファイルをすべて暗号化しているとしよう。この場合、フォルダに保存されているファイルは確かに保護されるが、ファイルを開いたり、コピーしたり、転送したりしたときにアプリケーションやOSによって作成される一時ファイルは保護されないことが多い。つまり、暗号を利用しているユーザーが、データが一時的に保存される可能性のある場所をすべて把握していて、それらに暗号化の設定を行っていないかぎり、ディスク分析ツールなどによって、暗号化されていない一時ファイルを見つけられてしまうことがありうるのだ。
