Z

企業データの暗号化:現状への考察

記事をシェアする:

現在、暗号化は非常に多くの関心と注目を集めています。そして、暗号化は、以下の3つの脅威に対応するとともに、セキュリティーの状況を左右するテクノロジーとしての地位を固めつつあります。

  1. 法規制の遵守をサポート
  2. 拡大を続ける脅威への対抗手段
  3. デジタル・トランスフォーメーションによる企業のリスク負担の抑制

企業データの暗号化は、理想的には、基本的な取り組みとして実施されるべきです。しかし、実際には、セキュリティー・ベンダーやインフルエンサーの期待ほどに、暗号化への取り組みは拡大していません。暗号化そのものは確立された技術であり、IDC の調査では 15億ドルの市場が見込まれています。では、なぜ、暗号化への取り組みが進まないのでしょうか。

テクノロジーの問題?

暗号化への関心と実際の取り組みとの間に隔たりがあるのは、セキュリティーと有用性との釣り合いがとれていないことが要因かもしれません。暗号化は、脅威を与えようとする当事者が企業データを不正に利用することを難しくする一方で、本来データを活用するべきユーザーによるアクセスまでも妨げてしまいます。

例えば、暗号化されたデータは、データ分析ツールでは使用できません。このことが、暗号化の導入がリスクとデータ活用の欲求との兼ね合いとなっている理由です。企業の経営陣が最も恐れているのは、暗号化されていないデータの不正利用による知的財産の喪失ですが、同時に、デジタル・トランスフォーメーションの不足を要因とする市場シェアの損失も恐れています。この不均衡な状況の解決が容易ではないことが、暗号化への取り組みの遅れにつながっています。では、どのようにすれば、この状況を打開することができるのでしょうか。

技術的な観点から言うと、暗号化は「企業データのプライバシーとセキュリティーための総合的なソリューションではない」ことを認識するのが重要なステップとなります。

暗号化は重要ですが、例えば鍵管理ソリューション (またはサービス) などと組み合わせる必要があります。一方、「全方位型暗号化」は、企業が直面している課題への対応をテクノロジー・ベンダーが支援する方法の 1 つです。この「全方位型暗号化」機能は、IBM のメインフレーム・システムである IBM Z にオペレーティング・システム・レベルで実装されているものです。「全方位型暗号化」によって、メインフレームに保存された全てのデータが暗号化されるため、アプリケーション・レベルの暗号化における「どのデータを暗号化するか」という問題に悩む必要がなくなります。

「全方位型暗号化」の詳細と「全方位型暗号化」がIBM Zのパフォーマンスに及ぼす影響については、IBMが金融機関のお客様の協力を得て実施したテスト結果を確認してください。

人的な問題?

IBMとIDCは、暗号化に関するCrowd Chatを共同で実施しました。大半の参加者にとっての課題は、テクノロジーよりも人とプロセスに関連するものでした。正確には、「国や地域」「リーダーシップ」「プロセス」の 3 つが重点領域として挙げられました。

「国や地域」は最も不明瞭な課題ではありますが、暗号化の導入に関してコンセンサスを形成する上では、最も重要な点でもあります。それは、堅牢で優れたセキュリティーを目指す「国や地域」ごとの環境にも、データ暗号化への取り組みへの関連性があるからです。データ・サイロの枠を超えた「全方位型暗号化」のようなコンセプトを採用する土壌は、「国や地域」によって温度差があることは確かだからです。

「リーダーシップ」に関して、Crowd Chat の参加者が興味を持ったのは「暗号化を推進すべき適切な人物は誰か」という点でした。しかし 、「暗号化に対する一貫したアプローチを推進できる、十分な理解と影響力を持った社内の人物は誰か?」は、仕事上の役割で事前に決められるものではありません。企業や組織固有の事情も考慮して決められるべきだからです。

「プロセス」については、「どのデータを暗号化するべきか」という点が、Crowd Chat の参加者の関心事でした。セキュリティーと有用性の不均衡を考慮すると、「全方位型暗号化」は継続的な取り組みの1つであり、目的とする到達点と考えるべきではありません。暗号化への取り組みを始めるにあたり、企業は最も機密性の高いデータを重視するべきですし、最初は小規模に始める必要があります。その後、「暗号化を推進すべき適切な人物」が舵取りをして、暗号化の範囲を拡大していけばよいのです。このとき考慮すべき要素には、データの特質や分類、各種の規制要件、法令遵守、保持されるデータの所有者であるステークホルダーへの責任などがあります。

IDCからの提案

「データのプライバシーとセキュリティーの特効薬」と位置づけて、暗号化を推進することはできません。暗号化はセキュリティー対策における「最後の砦」と評されることがありますが、万能な「特効薬」ではないからです。しかし、幅広い暗号化の導入を実現するためにできることはあります。ビジネス上の意思決定はリスクに基づいて行われ、有用性とセキュリティーの不均衡を考慮しなくてはなりませんが、意思決定者はすべての事実を把握しておく必要があります。例えば、EU の一般データ保護規則(GDPR)が施行された状況下で、企業が「個人データを暗号化しない」選択をする余裕があるのか、などの点です。

IDC は、暗号化を実現に導く要素として、次の 5 つを提案しています。

  1. 単独のソリューションではなく、幅広い製品環境の中で暗号化を取り扱う。
  2. 適切な人物を、自社データの暗号化の推進者として特定する。
  3. 暗号化の推進者は、セキュリティーの進化に幅広く対応しなければならない。
  4. 無理をせず、まずは小規模に暗号化を始めること。
  5. コンプライアンスだけでなく、ブランドの価値やステークホルダーへの責任に基づいて、暗号化するデータを特定するプロセスを構築すること。

IBMは、業界のリーダーの皆様を、IBM IT Infrastructure Blogにお招きして、昨今のテクノロジー動向に関する意見や洞察を共有していただく機会を随時設けています。こうしたブログに掲載される意見は各個人のものであり、必ずしもIBMの見解を反映したものではありません。

*本記事は、Cut through the hype of enterprise data encryptionの抄訳です。


More Z stories

APIで基幹業務をデジタルサービス化する

IBMグローバル経営層スタディによると企業のITは顧客接点と基幹業務の異なる2つの観点の強化が必要となっている […]

さらに読む

業務アプリケーションを作るプログラミング・コンテストに挑戦しませんか?

ジャンルやプログラミング言語の指定があるものから無いものまで、今夏も様々なプログラミング・コンテストが開催され […]

さらに読む