暗号化するデータをどのように決めるのか?

データの暗号化をする場合には、どのデータを暗号化するのかを決めなくてはなりません。しかし、これはどのように決めればよいのでしょうか?

いわゆる企業内では秘密情報と呼ばれるものがそれに当たるのですが、いったい誰が、いつ決めているのか、そして、その判定基準はと言われると、すぐに答えられる人は少ないのではないかと思います。

ちなみに個人情報保護法の施行や、プライバシーマークなどの普及により、個人情報は秘密情報であるという認識は一般的に共通のものとなりつつありますが、それ以外の情報については、あまり気にかけない方も多いようです。

経済産業省は、平成28年2月に「秘密情報の保護ハンドブック ~企業価値向上に向けて~」という114ページもある冊子を発行しています。これはISMS(ISO27001)をベースにした記述になっていますが、非常にわかりやすくまとめてあるので一読されることをおすすめします。

この中で秘密情報を簡単に定義するのであれば、例として漏洩した場合に次のようなことが起こるものです。
・法令または契約違反となる
・取引先や他社に損失を与える恐れがある
・社会的な信用の毀損の恐れがある
・自社の競争力が低下する恐れがある

会社によって何が秘密情報になるのかは、上記のような基準を元に十分に話し合って決めていく必要があります。それを決めていないと何でも機密情報にしてしまったり、逆に知らずに機密情報を漏洩してしまったりするかもしれません。

このような基準が先に決まっていれば、簡単にシステム上でも何を暗号化するかを判断することが可能になります。

Linux上の暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

クラウドセキュリティに対する意識の変化と不安

安価なクラウドサービスが増えたこともあって、企業におけるクラウドシステムの利用の実態は大きく変わりつつあります。以前までは当然のように不安視していたセキュリティも、実際に利用してみて問題なく利用できることが分かれば、その後、多くのシステムをクラウド上に構築するようになり、新サービスのほとんどはクラウド上で構築されるようになってきました。

不思議なもので、多くの人や企業がクラウドを利用し始めると、急に安心感が出るのか、「クラウド」=「安全」という単純な考えを持つ人も現れ始めました。弊社が独自に行ったアンケートでは企業がクラウドを利用する理由として「セキュリティ面で安心できる」と答えた人が39%ともっとも多く、「システムの管理を任せられる」が35%と続きました。つまり、もはやクラウドのイメージは「不安」から「安心」に変わりつつあるのです。

これはクラウドサービスを提供している会社にとっては喜ばしいことだと思いますが、この単純なイメージの変化はセキュリティ意識の薄れととらえることもできます。どんなサービスでもある程度普及すると、よく中身を知らないまま利用する人が一定数現れてきてトラブルを引き起こします。

たしかに、クラウドサービスのセキュリティ機能は大きく向上していますが、それをどのように利用するのかは、利用者の判断になります。セキュリティ意識の低い人が何も分からず利用すると、正しい設定ができずに逆にリスクが大きくなります。

「クラウド」だから「安心」ではなく、どのようなセキュリティ対策をとっているのかしっかりと把握し利用していただければと思います。

Linux上の暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

「Vault 7」で明らかになった暗号化前の盗聴

今年の3月の初めにウィキリークスは「Vault 7」というCIAの機密文書を公開しました。
ここではCIAがどのようにして監視対象者のコンピュータを盗み見るのかという具体的な方法が記されており、多くの人がその内容に驚かされました。それはコンピュータのネットワークインターフェースのファームウエアを書き換えてEFIに感染して情報を送ったり、通信アプリで暗号化がされる前に盗聴されたりします。

ここで特徴的なのは以下の2点です。

「ファームウエアを書き換えてEFIに感染する」
EFIとはコンピュータの起動時にファームウエアやOSを管理するもので、昔で言うSystem BIOSから発展してきたものです。このファームウエアやEFIというのはコンピュータのOSとは関係なくハードウエアと密接に関係した部分で通称OSの起動前に実行されます。これではOS側でいくらセキュリティ対策をとっていたとしても効果がありません。一度EFIに感染すればハードディスクを交換しても感染が続くことになるというのが恐ろしいところです。

「暗号化する前に盗聴する」
これはアプリケーションの構造に詳しくないとできませんが、今回は「ワッツアップ」などのメッセージアプリの暗号化が対象となったようです。暗号化される前にデータを盗むというのは、OSがウイルス等に感染してしまえば、簡単に実現可能ですので、OSのセキュリティ対策を万全にしておく必要があります。

CIAの場合、監視対象者をFBIなどに別件で逮捕させて、抑留されているあいだに、本人の持ち物に監視ウイルスを忍ばせるというのが、具体的な手口として紹介されています。

日本でもつい先日警察が勝手に操作対象の人物とそのまわりの人たちの所有している車にGPS発信器をつけて監視した事件で、令状なしなしの捜査が違法と裁判所が判断しました。しかし、テロ等準備罪(共謀罪)が今年中にも国会で成立しそうですし、知らない間に自分が当局の監視対象になっているという事態が起こる可能性は高まっていくでしょう。

これからは以前にも増して自分のデータは自分で守るという意識をもって、セキュリティ対策をする必要があると思います。

Linux上の暗号化でお困りではありませんか?
http://www.softagency.co.jp/products/server-general/

データを簡単に見せたくないなら、MySQLでカラム暗号化をしてみませんか?
http://www.softagency.co.jp/products/mydiamo/

MySQLの管理や監視を管理者任せにしていませんか?
http://www.softagency.co.jp/products/mysql/#Enterprise

もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

Gmailの暗号化を可能にするE2Emailとは

前回のMLでメールの暗号化が全く普及しない理由に暗合鍵管理の複雑さがあるといいましたが、それを解消しよう試みるプロジェクトのテスト版が公開されました。それは「E2EMail」というプロジェクトです。このプロジェクトはgoogleも参加しているプロジェクトで、chromeの拡張機能として、PGP/MIMEでメールを暗号化する機能を提供するものです。

PGP/MIMEというのはPGPという公開鍵暗号の仕組みをメールで利用するものですが、公開鍵暗号でのメール送信について簡単に説明しますと、
「送る相手の公開鍵を入手する」
「相手の公開鍵で暗号化して送る」
と表すことができます。

メールを受け取る場合も同様で、事前に自分の公開鍵を送信者に渡しておかないと暗号化してもらえません。暗号化されたメールは対応する秘密鍵をもっている人しか復号化できませんから、受け取った相手しか開けないということになります。

しかし、ここで問題はどうやって公開鍵を入手するのか、また、その公開鍵を信用していいのかなど、さまざまな問題が発生するのですが、E2EMailでは鍵管理サーバを用意し、googleの認証機構を用いてユーザ確認をする仕組みなっているのが特徴です。

いままではPGP/MIMEを利用するには自分で送信先の公開鍵管理をしなければならず、とても不便だったのですが、それを解消しようとする試みですが、いかにユーザ側の簡便さとセキュリティを確保するかが重要になってくるのではないかと思います。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/

MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/

MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise
もし、ご興味があればお気軽にご連絡をいただければと思います。
よろしくお願いします。

「一歩先ゆくクラウドセキュリティ」
ブログ
http://sg-blog.softagency.net/
ツイッター
https://twitter.com/server_general/
フェイスブック
https://www.facebook.com/ServerGENERAL.JP/

添付ファイルの自動暗号化がもたらした功罪

最近、情報漏えい対策ということでメールの添付ファイルを自動で暗号化するサービスを導入する企業が増えてきました。

仕組みとしては、メールをサーバに送ると添付ファイルを取り出して自動で暗号化してパスワードをつけて再添付して送りなおすものが多く、ほとんどの場合、その次のメールで自動で作成されたパスワードも送られていきます。最近では一定のサイズを越える大きな添付ファイルの場合は別サーバに保存してダウンロードURLを自動で生成して送ってくるものも出てきました。

確かに便利になったのかもしれません。しかし、誰が便利になったのかといえば、添付ファイルを送る側のみです。受け取る側は、機密情報がないものでも、毎回、添付ファイルが暗号化されて、解除にパスワードが必要になって迷惑、この上有りません。しかも、それによってファイルのコピーが増えていき、データの一貫性が損なわれていきます。このようなメールの受信側の受難は長らく続くことになりそうで、困ったものです。

なぜ、こんなことになってしまったのでしょうか?

メールには、そもそもS/MIMEやPGP/MIMEといった立派な標準暗号化規格があるのですが、まったく普及しませんでした。これは両方共に公開鍵管理方式を採用していて、非常に強固なしくみなのですが、暗号鍵の鍵管理をしなければならず、送信者、受信者ともにそれなりにセキュリティ知識を要するからです。

この添付ファイルの自動暗号化は、パスワードは次のメールで来る場合は、誤送信時や、盗聴されている場合は役に立たないと思いますが、それでも「暗号化している」という変な安心感だけで独り歩きしているのではないでしょうか。

※ここからセミナーのご案内

2週間後に、このMLでよく話題にする「暗号鍵管理」のウェブセミナーを開催することになりました。今回は、MySQL5.7から機能追加された透過的テーブルスペース暗号化を利用する場合の利点と欠点、そして、どのように鍵管理をすべきかについて具体的な方法をご紹介したいと思います。

インターネットをご利用可能な環境でしたら、簡単に参加可能ですので、お気軽にお申し込みいただければと思います。
http://www.softagency.co.jp/webinar/20170309/
【ウェブセミナー開催概要】
タイトル: MySQLの暗号化機能を活用するための鍵管理入門

MySQL5.7では無料のCommunity版を含むすべてのバージョンでInnoDBの透過的テーブルスペース暗号化機能が利用できるようになりました。しかし、暗号化というものは暗号鍵の管理がとても重要になります。この暗号鍵をどのように管理すればよいのか、実際の動作を確認しながら、Community版でも活用できるノウハウを含めて紹介します。

日時:      2017年3月9日(木)16:00 – 17:00
参加費:     無料(事前登録制)
参加方法:    インターネットに接続可能なPCとヘッドセットをご用意ください。
         前日までに参加するためログインURLをご連絡します。
主催:      株式会社ソフトエイジェンシー
         ( MySQL 5 Specialization認定パートナー )
協力:      日本オラクル株式会社
申し込み方法:  下記、お申込みフォームよりご登録をお願いします。
         http://www.softagency.co.jp/webinar/20170309/
申し込み締切:  2017年3月8日(水)まで
お問い合わせ:  電話: 050-5505-5509
メール:     sales@softagency.co.jp

以上、よろしくお願いします。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/

MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/

MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise

MySQLの暗号化機能を活用するための鍵管理入門

2週間後に、このMLでよく話題にする「暗号鍵管理」のウェブセミナーを開催することになりました。今回は、MySQL5.7から機能追加された透過的テーブルスペース暗号化を利用する場合の利点と欠点、そして、どのように鍵管理をすべきかについて具体的な方法をご紹介したいと思います。

インターネットをご利用可能な環境でしたら、簡単に参加可能ですので、お気軽にお申し込みいただければと思います。
http://www.softagency.co.jp/webinar/20170309/

【ウェブセミナー開催概要】
タイトル: MySQLの暗号化機能を活用するための鍵管理入門

MySQL5.7では無料のCommunity版を含むすべてのバージョンでInnoDBの透過的テーブルスペース暗号化機能が利用できるようになりました。しかし、暗号化というものは暗号鍵の管理がとても重要になります。この暗号鍵をどのように管理すればよいのか、実際の動作を確認しながら、Community版でも活用できるノウハウを含めて紹介します。

日時:      2017年3月9日(木)16:00 – 17:00
参加費:     無料(事前登録制)
参加方法:    インターネットに接続可能なPCとヘッドセットをご用意ください。
         前日までに参加するためログインURLをご連絡します。
主催:      株式会社ソフトエイジェンシー
         ( MySQL 5 Specialization認定パートナー )
協力:      日本オラクル株式会社
申し込み方法:  下記、お申込みフォームよりご登録をお願いします。
         http://www.softagency.co.jp/webinar/20170309/
申し込み締切:  2017年3月8日(水)まで
お問い合わせ:  電話: 050-5505-5509
メール:     sales@softagency.co.jp

以上、よろしくお願いします。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/
MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/
MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise

クラウド内の暗号鍵マネジメントは主流になるか

先月、米グーグルはクラウドベースの暗号鍵マネジメントサービス(CLOUD KMS)を発表しました。

暗号鍵マネジメントとは、データを暗号化するときに必要な暗号鍵の「生成」「利用」「ローテーション」「破棄」の暗号鍵のライフサイクルを管理することです。いままでもグーグルは自社のクラウドプラットフォームで暗号鍵の管理ができましたが、ほとんど自動化されていて暗号鍵を意識する必要があまりありませんでした。

しかし、今回のサービスでは、ユーザ側で管理できる項目が増え、暗号鍵の管理に加えて、暗号化と復号化のためのREST APIも提供されています。また鍵のローテーションも自動と任意を選べるようになっています。

そもそも、本気でセキュリティを考える人の中では、鍵管理をグーグルのサービスに依存させることを嫌う人も多いでしょうが、このようなサービスが普及していくことで、暗号化における鍵管理の重要性が話題になり、セキュリティ対策を考えるきっかけになればよいのではないかと思います。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/
MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/
MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise

無料VPNアプリの恐怖

前回、VPNによって通信の暗号化ができるというお話をさせていただきましたが、最近ではスマートフォンでも多くのVPNアプリケーションが提供されています。しかし、スマートフォンでVPNを利用するにはかなり注意が必要なようです。

昨年の8月にオーストラリアのCSIRO(Commonwealth Scientific and Industrial Research Organisation)が発表した論文によると、AndroidのGoogle Playで提供されている283個のVPNアプリのうち18%が実際には暗号化をしておらず、さらに、38%にマルウエアが含まれていました。また、82%が個人情報データへのアクセス権限を要求しているとのことです。中には悪意をもって個人情報を収集していたアプリも存在したということですので、本当に恐ろしいことです。

このように氾濫しているアプリの中から、信頼のおけるVPNアプリを探すのは容易ではないかもしれませんが、少なくとも開発元のホームページなどを確認して、個人なのか法人なのか、オープンソースなのか、他にどんなサービスを提供しているのか、など自分なりの判断基準をもって選択することが必要でしょう。

VPNアプリの場合は、ルータやスイッチなどのネットワーク機器メーカが提供しているアプリは素性がはっきりしているので比較的安心して使えると思います。しかしながら、特定の機種やサービスにしか繋がらないような機能の制約があったりするので注意が必要です。次にオープンソースソフトウエアも選択肢としては良いと思います。人気のあるものは脆弱性の対応も素早いですので、十分実用に耐えることができます。

暗号化の重要度が増すにつれて、詐欺まがいのツールも増えてくると思いますので、そういったものに注意しながらVPNアプリの選択をしていただければと思います。

Linuxサーバデータ暗号化ソリューション「Server-GENERAL」
http://www.softagency.co.jp/products/server-general/

MySQLのカラム単位で暗号化を実現する「MyDiamo」
http://www.softagency.co.jp/products/mydiamo/

MySQL監査のための操作記録を残せる「MySQL Enterprise Edition」
http://www.softagency.co.jp/products/mysql/#Enterprise

VPNと通信の秘密

中国ではグレートファイアウォールというインターネットの検閲システムがあるのは有名ですが、その監視を逃れるためにVPNを使うユーザが多くいました。しかし、最近、中国政府はそれを取り締まるために、無許可のVPNを禁止すると発表しました。どういう場合にVPNが許可されるのかは詳しくは分かりませんが、おそらく政府が必要い応じて検閲できない通信は不許可になるのでしょう。

ちなみに、日本国憲法では、第21条 第2項において
「検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。」
とありますので、VPNに制限はないと考えるのが一般的ですが、実際には犯罪捜査などの名目で警察などによる通信の盗聴等は許可されており、米国のスノーデン事件にも見られるようにインターネット上においても諜報機関が盗聴をしていることが明らかになっており、現状では通信の秘密はかなり侵されています。

VPNとは、そもそもバーチャルプライベートネットワークの略で、通信を暗号化して情報の漏えいを防ぐ技術です。インターネットで利用する場合はインターネットVPNとも呼ばれ、企業間の通信のために専用線を使わずに安価なインターネットを利用することでコストを削減し、安全な通信を実現しています。

では、なぜ暗号化しているのに盗聴が可能になるのでしょうか?
盗聴が簡単なのは、サーバを経由する通信です。通常はサーバ内では必ずデータは復元されていますので、盗聴はとても簡単になります。捜査機関がサービス事業者に協力を依頼するのはそのためです。SNSなどのサービスは必ず事業者のサーバを経由しますのでこれはとても簡単になります。

しかし、サーバを経由しないピアツーピアと呼ばれる1対1のVPN通信では、かなり盗聴は難しくなります。それを盗聴するには通信の暗号鍵が入手できないと不可能ですので、そのような暗号鍵を入手できるバックドアがないと中国ではVPNを利用できなくなるのかもしれません。

データセキュリティライフサイクルと暗号化

ライフサイクルとは、一般的にはある商品を生命に例えて、「導入」「成長」「成熟」「衰退」という4段階をたどるとするものです。期間の長短はあると思いますが、ほとんどこのライフサイクルに当てはめて考えることができます。

データに関しても同様のライフサイクルがあります。CSA(クラウドセキュリティアライアンス)の作成したガイダンスによると
「作成」「保存」「利用」「共有」「アーカイブ」「破棄」
の6段階となります。このライフサイクルは必ずこの順番になるという意味ではなく、これらの状態を行き来するとされています。そして、これらのあらゆる段階で暗号化を利用することが推奨されています。

最近はストレージの単価が安価になったことにより、データを破棄するということが、ほとんどありません。データを破棄するためには将来的にデータを再利用することがないことを十分に検討しなければなりませんが、そのような合意形成をすることは難しいので、「アーカイブされたあと最終アクセスから○年以上経過後に強制的に破棄する」というようなルールを決める場合も多いようです。

データを長期に渡って保存する場合、従来はどのようなメディアに保存するかが重要でした。保存したメディアが将来において読み出せるかどうかわからないからです。テープやフロッピーディスクもほとんど使われなくなり、バックアップもUSBメディア、外付けHDDやNASに置き換わっていきました。そして、今ではクラウド上でオブジェクトストレージが容量制限なしで利用できます。これらも10年後、20年後に利用可能か誰が予測できるのでしょうか?

そうなると、長期保存で一番重要なのは、実はデータを複数の方法で保存することなのです。あらゆる商品やサービスにライフサイクルがあるのであれば、将来何が生き残るかは予測はできません。複数の方法でデータを保存してあれば、すべてが読めなくなるリスクは減らすことができます。

暗号化も同様です。過去に暗号化したファイルが必ず復元できる保証はありません。共有ディスクに保存された暗号化ZIPファイルを開けようとしてパスワードを忘れてしまったことはありませんか? ZIP程度なら解析可能ですが、これが高度な暗号化ソフトを使っていたらどうでしょう?

データセキュリティライフサイクルにおいて「破棄」をしないということは、逆に破棄しない限り、安全にデータを取り出せなくてはいけません。つまり、データが「破棄」されない世界では、さらに暗号化の重要度は増していくことになるでしょう。