最近ではシステムで利用するパスワード増えて管理するのが大変になってきています。もちろん暗号化サービスでもパスワードは必須です。しかもかなり長いパスワードを要求されます。長い場合はパスフレーズと呼ぶこともあります。このとき、パスワードを忘れたら単純に再発行すればよいと考えているかもしれません。しかし、実は簡単なことではありません。というのも、

「暗号化サービスではパスワードの再発行はできない」

のです。

なぜなら、もし、簡単に再発行ができたらそこを攻撃されデータを奪われるかもしれません。通常、高度な暗号化システムでは、サービスを複数人で利用する共通パスワードというものは存在せず、必ず責任者に対して一対一でパスワードを割り当てることが要求されます。暗号化サービスのスタート時は、データ管理者の認証をもってサービスがスタートします。このデータ管理者がパスワードを忘れてしまった場合、当然、サービスは利用できなくなります。このような場合、パスワードを再発行するというようなことはなく、このデータ管理者の権限を無効化し、新しいデータ管理者への権限の移譲が行なわれます。

このとき、「データ管理者」を統括するのが情報セキュリティ責任者である「セキュリティオフィサー」です。セキュリティオフィサーはデータ管理者の作成と権限の付与のみを行う役割を持ち、暗号化サービスを直接操作することはありません。

このように、高度な暗号化サービスでは、パスワードの再発行という処理はなく、データ管理者の取消、権限移譲をもって、パスワードの紛失に備えています。

暗号化のシステムを構築のお手伝いをしているといつも聞かれることがあります。

「再起動したとき自動で暗号化サービスをスタートできますか？」

システム運用の効率化の観点からすると再起動のあとにすべてのサービスが自動で起動するのはあたりまえのように感じるかもしれません。しかし、機密性を重要視するシステムではそうではありません。

特にシステムがクラウド運用されることが多くなった昨今では、システムを丸ごとコピーするのはワンクリックでできてしまいます。重要なデータの入ったシステムのコピーが簡単に別の場所で起動してしまうのはデータセキュリティ上は非常に問題があります。

セキュリティの高いシステムでは、サービスの起動前にOSのユーザとは別のデータ管理者の認証を求めるようになっています。データは暗号化サービスの起動さえしなければ、データを閲覧することは、ほぼ不可能ですので、この起動時の認証というのはセキュリティを確保する上で、非常に重要な機能となります。それを自動スタートするとなると起動時の認証パスワードをサーバ内に保存することになり、セキュリティ上の脅威となってしまいます。

このようなことから、暗号化サービスは自動スタートさせてはいけないのです。

セキュリティを高めるといのは、一定の不便さを担当者が許容する必要があります。すべてが自動化されてブラックボックス化されるとセキュリティに対する危機意識がなくなります。不便すぎるのは困りますが、セキュリティシステムの構築はそのバランスが大事になってくることを意識していただければと思います。

セキュリティ対策というのは非常にコストがかかるイメージがあるため、どうしても対策が後手になりがちです。特にデータ暗号化はエンドユーザから見えない部分なので考慮されないことが多くなります。

しかし、それは大きな視点を見過ごしています。データの暗号化はサービスの差別化のチャンスと捉えることができます。つまり、コスト以外の営業的メリットが非常に大きいのです。
例えば
「我社のサービスはお客様のデータの安全を第一と考え暗号化して保存しています。」
と宣言した場合、そのサービスに対するブランドイメージやお客様の安心感は格段に向上します。

また、これだけではありません。セキュリティを意識したサービスの構築を心がけることで従業員のセキュリティ意識も同時に向上します。自社のサービスへの信頼を心から持つことで、その溢れ出る自信がお客様にも伝わり営業的な効果も上がっていきます。

「暗号化の必要性を感じない」と思う方は、「お客様に安心を提供する」「ブランドイメージ向上」「従業員のセキュリティ意識向上」という新たな付加価値が生まれることに注目していただきたいと思います。