新暗号化技術を用いたセキュリティ製品開発の背景
TotalFileGuardに見る新暗号化技術と製品化
今回は、前回解説した暗号化と新しいDRM技術をもとに開発したSecward社の「TotalFileGuard（トータルファイルガード）」がどの様にして生まれたのか。そして、企業の情報漏えい対策に暗号化技術をどの様に活用できるのかについて解説します。
2004年当時のTotalFileGuard（そのころは名前もありませんでした）は倉庫に眠る荷物の様な数多くのソフトウエアのひとつでした。
このソリューションが開発されたのは、ある顧客からユーザーがファイルを操作する際に手間を掛けずに自動暗号／復号化を実現してほしいという強い要望が寄せられたことがきっかけでした。しかし暗号化技術を持っている弊社では、カスタマイズのひとつとしてプロジェクトが終了した後、TotalFileGuardも寝かされたままになっていました。
ある時、パソコン操作や紛失におけるDLP（Data Losses Prevention）ソリューションを提供している大手ソフトウエアメーカーの製品紹介を聞く機会がありました。
彼らは、設定次第で外部とのやりとりを完全シャットアウトするので外部への漏えいは起こり得ないとさかんに強調していました。確かに、これまでのセキュリティソリューションに携わった経験からみると、この様な製品はファイアウォールをはじめ、不正侵入防御システム（IPS）、脆弱性スキャンソフトウエア、さらにセキュリティオペレーションセンター（SOC）などがあり、セキュリティを確保する方法は多種多様です。
しかし、設定の煩雑さや維持管理の難しさ（連載第1回）はどれも同様で、DLP製品もまたしかりです。
セキュリティ製品を導入するとIT運用性に影響が出てしまい、利用者への負担が著しく増加してしまうのです。ひどい場合にはその煩雑さが嫌われてしまい、せっかく導入されたソリューションの使用を止めてしまうこともあります。
こういった、セキュリティ強固性と利便性はトレードオフであるという常識・既成概念を見直すことができないか？また、使い勝手を保ちつつ、強固なセキュリティを確保することは不可能なのか？と自問し続けました。
常識・既成概念を破壊するために
その答えを探すため、研究開発チームの中でセキュリティに関する本質について議論を繰り返し行いました。
- そもそもセキュリティの保護対象は何か？
→ もちろんデータ（ファイル）です。 - 電子ファイルの流れを何か他のものに例えるとすれば？
→ それは「噂」です。特に不注意に流出した電子ファイルは噂の様に一度流されたら一気に広まってしまい、撤回しようとしても不可能です。 - では、「噂」を止める方法？
→人の口をふさぐわけにもいかないですね…。人の噂も75日といいますがデータは75日で消えてはくれません。
そんな時、ひょんなことから解決方法がひらめきました。それは独自の言葉を使うことです。つまり、身近な人にしかわからない言葉を使うことによって、話の内容が盗聴されても意味不明であれば噂にもならないでしょう。
問題の解決は抜本的な措置を講じることではじめて恒久的な解決となります。たとえは悪いですが、水虫を治療する時、靴や環境の改善をせずに投薬のみの対策であった場合、表面的には治ったように見えても完治していないために再発を繰り返してしまいます。根本的な原因や元凶を断たなければ治らないのです。
セキュリティ対策でも同じはずです。保護対象の根本となるデータ自体を暗号化すれば、問題の解決につながるということです。
「漏らさない」から「漏れても安心」の情報漏えい対策
データの暗号化によって以下のことが実現できます。
- ハッキングによって、データが盗まれても読み込み不可能 ≒ 漏れてもOK
- 産業スパイによるデータ盗難事故が発生しても、データの利用は不可能
- 離職した社員によるデータの持ち出しが発覚した場合、データが無効に
- パソコンやUSBの紛失が発生してもデータ解析不可能
- 出張先にいる社員でも通常通りにデータを利用可能
|
|
| 図1：データの暗号化によって実現できることを知る（クリックで拡大） |
これを機に、眠っていた暗号化ソフトウエアがもう一度担ぎ出されることになります。その暗号化のソフトは「TotalFileGuard」と命名され、4つの設計ポリシーで開発されました。
TotalFileGuardの設計ポリシー
- できる限り早いタイミングで暗号化し、できる限り遅いタイミングで復号化する
- 暗号化と復号化のモジュールをセットにする
- 保護したいデータを生成するアプリケーションが暗号化されていないファイルを自動暗号化し、クライアント/サーバー型でサーバーの管理センターからエージェントを利用し一方通行でクライアントを管理する
- 高度なセキュリティ機能に対し、意識することのない操作感
上記のうち「4」は最も重要です。テクノロジーのもとはヒューマニティー（人間性）であり、操作が簡易であればあるほど、操作ミスのリスクが少なくなるからです。
