キー管理、あるいは暗号鍵管理とは、暗号化されたデータのセキュリティーを確保するために暗号鍵を生成、交換、保管、管理するプロセスのことです。キー管理が不十分だと不正アクセス、データ損失、データ侵害につながる可能性があるため、効果的なデータ暗号化のためにはキー管理が極めて重要になります。
暗号化は、読み取り可能なプレーン・テキストを読み取り不可能な暗号文に変換することで機密データを保護します。暗号鍵は、暗号化プロセスにおけるデータ・セキュリティーの基盤となるものです。暗号鍵を持っている人は誰でも、その鍵を使用して暗号化されたデータを元のプレーン・テキスト形式に変換できます。
暗号鍵が盗まれたり誤って処理されたりした場合、権限のないユーザーでもその鍵を使って機密データにアクセスすることができてしまいます。暗号鍵を紛失すると、権限のあるユーザーであっても、データへのアクセスが永久に失われてしまう可能性があるのです。
そのため、暗号化の安全性は暗号鍵の安全性と同じレベルにしか保てません。
キー管理により、組織は暗号鍵をライフサイクル全体にわたって安全に保ち、データの完全性を保護して、不正アクセスやデータ侵害のリスクを最小限に抑えることができます。この暗号鍵のライフサイクルには、鍵の生成、保管、配布、使用、ローテーション、および最終的な破壊または失効が含まれます。
キー管理システムは、キーポリシーの自動化と適用に役立ち、プロセスをさらに効率化し、エラーを削減できるうえ、組織がデータ・セキュリティーを強化し、不正アクセスを防ぎ、規制基準を遵守するのに役立ちます。
今日、組織はサイバーセキュリティーを強化するために暗号化とキー管理をますます優先しています。データ侵害のコストに関する調査によると、暗号化を使用する組織は、データ侵害による財務上の影響を20万米ドル以上削減することができます。
Thinkニュースレター
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
サブスクリプションは英語で配信されます。すべてのニュースレターに登録解除リンクがあります。サブスクリプションの管理や解除はこちらから。詳しくはIBMプライバシー・ステートメントをご覧ください。
データはあらゆる組織にとって最も価値のある資産の1つです。機密データの量が増えるにつれて、不正アクセスから保護する必要性も高まります。データ侵害のコストに関する調査によると、世界平均のデータ侵害コストは444万米ドルです。
多くの組織にとって、暗号化は機密データを保護するための最も効果的な手段の1つです。暗号化の原理を適用して、読み取り可能なデータを暗号化アルゴリズムにより暗号文へと変換し、権限のないユーザーがアクセスできないようにします。
暗号化が有効であるためには、Advanced Encryption Standard（AES）などの強力なアルゴリズムが必要なだけでなく、そのデータをロックしたりロック解除したりする暗号鍵を安全に管理することも重要になります。
このプロセスは、思ったほど簡単ではありません。組織は多くの場合、ライフサイクルのさまざまな段階で、異なる複数のシステムや環境にまたがって何千もの暗号鍵を管理する必要があります。
暗号鍵は、部門間で、または外部パートナーと、安全に共有する必要がある場合もあります。このような複雑さにより、すべての鍵をライフサイクル全体にわたって適切に保護、追跡、維持することが困難になる場合があります。
キー管理では、キー制御を一元化し、キーのライフサイクル・プロセスを自動化し、堅牢な監視および監査機能を提供することで、このプロセスが容易になります。これにより、暗号鍵がベスト・プラクティスに従って一貫して管理されるようになり、鍵の紛失や悪用のリスクが軽減されます。
組織が適切なキー管理を行わないと、暗号化の利点を事実上無効にするリスクが生まれ、不正アクセス、データ侵害、データ損失につながる可能性があります。
例えば、Microsoft社は最近、中国が支援するハッキング・グループが同社のシステムから重要な暗号署名鍵を盗んだことを発表しました。 1この暗号鍵により、脅威アクターは正規の認証トークンを生成し、複数の米国政府機関を含む25の組織のクラウドベースのOutlook Eメールシステムにアクセスすることができました。
さらに、新しいテクノロジーの登場に伴い、堅牢なキー管理の重要性が高まり続けています。たとえば、量子コンピューティングの出現は、現在の暗号化アルゴリズムに大きな脅威をもたらし、組織や専門家らに量子耐性のある暗号化技術やキー管理システムへの投資を促しています。
このような動きを先取りし、高度なキー管理のソリューションとシステムに投資することで、組織は暗号化の実践を将来にわたって確実かつ効果的なものにすることができます。
キー（鍵）管理の役割を理解するために、金庫とそれを開けるために必要なコードについて考えてみましょう。
金庫が貴重な品を保護するのと同じように、暗号化は機密データを保護します。金庫のコードが悪人の手に渡った場合、権限のない人がそれを開いて、内容を盗む可能性があります。同様に、コードを紛失したり忘れたりすると、金庫やその中の貴重なアイテムに永久にアクセスできなくなる可能性があります。
この例えでは、金庫は暗号化データを、コードは暗号鍵を、そしてコードを安全に保つことはキー管理を表しています。
データ暗号化にはさまざまな種類の暗号鍵があり、それぞれが2つの主要な暗号化方法に関連付けられています。
対称暗号化では、データの暗号化と復号化の両方に単一の鍵が使用されます。この対称鍵のセキュリティーは非常に重要です。これが侵害されると、すべての暗号化データが危険にさらされることになります。対称暗号化のキー管理では、鍵（キー）を安全に生成、保存、配布し、許可されたユーザーのみがアクセスできるようにすることに重点を置いています。
非対称暗号化では、暗号化用の公開鍵と復号化用の秘密鍵という二つの鍵が使用されます。公開鍵はオープンに共有することができますが、秘密鍵は機密性を保つ必要があります。この方法により、認証、デジタル署名、安全な鍵交換などの機能をサポートする公開鍵インフラストラクチャー（PKI）を含む、最も安全な暗号化操作の一部が可能になります。
非対称暗号化では、キー管理には、鍵の安全な生成、その保管場所の管理、アクセスの制御、および侵害を防ぐための定期的な鍵のローテーションが含まれます。
どちらの暗号化方法においても、データをしっかり保護し、暗号化システムの完全性を維持するためには、適切なキー管理が不可欠です。
暗号鍵の管理はいくつかの段階で構成されており、それぞれの段階が暗号化システムのセキュリティーと有効性にとって非常に重要になります。これらの段階は、暗号鍵の作成から最終的な破壊までの全過程をカバーするキー管理ライフサイクルを形成します。
ライフサイクル管理は、不正アクセスやデータ侵害を防ぐための特定の管理を導入し、あらゆる段階で鍵を安全に扱うことができるようにします。
鍵の生成では、安全なアルゴリズムを使用して暗号鍵を作成します。暗号鍵は、本質的にはランダムまたは擬似ランダムなビットまたは数値の文字列になります。鍵をランダムで予測不可能なものにすることで、暗号化プロセス全体を危険にさらす可能性のある弱点を軽減できます。
ハードウェア・セキュリティー・モジュール（HSM）とキー管理システム（KMS）は、安全な環境で鍵を生成するのに役立ちます。（詳細については、「一般的なキー管理ソリューションとテクノロジー」を参照してください。）
暗号鍵が生成されると、必要なエンティティに配布されます。例えば、対称鍵は安全なランダム数値ジェネレーターを用いて作成され、鍵交換プロトコルや事前共有チャネルを通じて安全に配布することができます。
対称鍵は常に機密に保持される必要があるため、この鍵の配布は特に困難です。
一方、非対称鍵システムでは、秘密鍵を安全に保ちながら公開鍵をオープンに配布することで、セキュリティーの課題を軽減することができます。また、Transport Security Layer（TLS）プロトコルなど、安全な配布方法を使用することで鍵の安全な送信を確保することもできます。
ユーザーが暗号鍵を取得したら、不正アクセスから鍵を保護するためにも、安全な鍵の保管が不可欠となります。HSMは、改ざん防止環境を提供し、暗号モジュールのセキュリティー要件を指定するFIPS 140-2（連邦情報処理標準）などの厳格なセキュリティー基準を満たしていることが多いため、鍵の保管によく使用されます。
鍵をソフトウェアに保管すると便利ですが、HSMなどのハードウェアベースのストレージ・ソリューションよりも高いセキュリティー・リスクが伴う可能性もあります。
鍵は、データの暗号化、文書の署名、ユーザーの認証など、さまざまな暗号化操作を実行できます。指定された目的に厳密に使用すれば、セキュリティー・リスクを軽減できます。ロールベースのアクセス制御（RBAC） や多要素認証（MFA） などのアクセス制御により、許可された個人またはシステムのみがこれらの鍵にアクセスできるようにし、鍵の使用をさらに安全に保つことができます。
鍵のローテーション（キー・ローテーション）とは、古い鍵を新しい鍵に定期的に交換することです。定期的に鍵のローテーションを行うことで、鍵の漏洩リスクを軽減し、鍵が漏洩した場合の潜在的な損害を最小限に抑えることができます。キー管理システムは、一貫性とセキュリティーのために自動キー・ローテーション機能を備えていることがよくあります。
暗号鍵が不要になった場合、または暗号鍵が侵害された疑いがある場合は、暗号鍵を失効させることでそれ以上使用できないようにすることができます。暗号鍵を安全に破壊することで、権限のないユーザーがそれらを回復させて悪用する可能性を排除するうれでも役立ちます。
暗号化がサイバーセキュリティーにおいて不可欠になるにつれ、業界全体でキー管理の重要性が高まっています。
キー管理の最も一般的なユースケースには、次のようなものがあります。
クラウド・キー管理では、保存データを含むデータが複数の場所に分散され、SQL Databaseやサービスとしてのソフトウェア（SaaS） アプリケーションなどのさまざまなサービスによってアクセスされることが多いクラウド環境で暗号鍵を管理します。
クラウド・サービスのプロバイダーはよく、組織がクラウド内の暗号鍵を安全に管理できるようにするキー管理サービス（KMS）を提供しています。
多くのKMS製品には、「Bring Your Own Key（独自の鍵使用）」（BYOK）機能もあります。この柔軟なオプションにより、企業はサードパーティのクラウド・サービスを使用している場合でも、キー管理を維持することができます。
BYOKを使用することで、クラウド・プロバイダーに関係なく、暗号鍵を組織固有のセキュリティー・ポリシーに従い管理し、NISTガイドラインやFIPS 140-2などの業界標準に準拠させることで、データ・セキュリティーを強化できます。
DevOpsでは、アプリケーションは継続的に開発、テスト、デプロイされ、多くの場合、これらが速いペースで実行されます。この急速な開発サイクルにより、セキュリティー上の脆弱性が生じ、データ保護に課題が生じる可能性があります。
シークレット管理ツールは、これらのリスクを軽減するために設計された特殊なソフトウェア・ソリューションです。データベースのパスワード、APIキー、トークン、その他の認証情報などの機密データへのアクセスを安全に保存、管理、制御します。
これらのツールは多くの場合、キー管理システムと統合してシークレットの取り扱いを自動化し、機密データを確実に暗号化し、厳格なアクセス制御で保護します。
モノのインターネット（IoT）では、デバイスの数が多く、計算能力が限られているため、キー管理において多くの課題があります。
サーモスタットや監視カメラなどのスマート・ホーム内のIoTデバイスについて考えてみましょう。これらのデバイスは、他のデバイスや中央ハブと頻繁にデータを交換し、機密情報を保管することがよくあります。これらのデバイスで暗号鍵の生成、保存、使用が安全に行われなかった場合、攻撃に対して脆弱になってしまう可能性があります。
効果的なキー管理を行うことで、IoTデバイスはデバイス自体を認証し、安全な接続を確立し、収集したデータを保護できるようになります。
一般データ保護規則（GDPR）やPayment Card Industry Data Security Standard（PCI DSS）などの規制基準では、データ保護に関する厳格なルールが施行されており、違反した場合は厳しい罰則が科せられます。
たとえば、GDPR違反の場合、最大2,000万ユーロ、または企業の世界年間収益の4%のいずれか高い方の罰金が科される可能性があります。
キー管理は、高い評価を得ているNIST基準を含め、組織がこれらの規制を満たすのに役立つ基準の多くで重要な役割を果たしていることがよくあります。
効果的なキー管理の実装には、いくつかのソリューションとテクノロジーが不可欠です。それには、以下が含まれます。
キー管理サービス（KMS）やオープンソースのキー管理ツールなどの一部のソリューションでは、柔軟でカスタマイズ可能なオプションが用意されています。その他には、ハードウェア・セキュリティー・モジュール（HSM）などの特殊なテクノロジーや、キー管理相互運用性プロトコル（KMIP）などのプロトコルもあります。
その機能はさまざまですが、暗号鍵管理ソリューションには次のような機能が含まれることがよくあります。
HSMは、安全な鍵管理と暗号化操作を提供する特殊なデバイスです。これらのデバイスは、改ざんに対する耐性を備えた環境で暗号鍵を生成、保存、管理するため、金融取引、デジタル署名、公開鍵インフラストラクチャー（PKI）管理などの高セキュリティー・アプリケーションに最適です。
CloudHSMサービスは、これらの機能をクラウドに拡張し、クラウドベース環境で同レベルのセキュリティーを提供します。PCI DSSやGDPRなどの厳しいコンプライアンス要件を満たす必要がある組織は、鍵が安全な環境から離れることはないと想定して、HSMを選択する場合があります。
キー管理サービスは、サードパーティのプロバイダーが提供するクラウドベースのソリューションです。これらのサービスは、生成、保管、ローテーション、破壊を含む暗号鍵のライフサイクルを管理します。BYOKのような機能により、サードパーティーのクラウド・サービスを使用している場合でも、組織は暗号化キーを制御し続けることができます。
キー管理サービスは、オンプレミス・インフラストラクチャに多額の投資を行わずにキー管理のニーズを動的に拡張したい企業に最適です。使いやすさ、拡張性、さまざまなクラウド・サービスとの統合を提供します。
オープンソースのキー管理ソリューションは、柔軟で透明性の高いキー管理オプションを提供できます。これらのソリューションにより、組織は主要な管理手法をカスタマイズし、オンプレミスかクラウドかを問わず、既存のインフラストラクチャと統合することができます。
オープンソース・ツールは、高い柔軟性を必要とする組織、ベンダー・ロックインを回避したい組織、または透明性のあるセキュリティー対策を確保する必要がある組織にメリットをもたらします。
KMIPはキー管理ソリューションではなく、さまざまなプラットフォームやプロバイダー間でのキー管理システムの相互運用性を促進するために設計された標準プロトコルです。
基本的に、KMIPは、さまざまなキー管理システムが通信し、シームレスに連携するための共通言語を提供します。
KMIPを採用することで、組織はマルチクラウド環境やハイブリッドクラウド環境でもキー管理プラクティスの一貫性とセキュリティを確保できます。
この標準化により、キー管理が簡素化され、一貫したセキュリティ体制がサポートされます。これは、複数の鍵管理ソリューションを使用したり、異種システムのデータを扱ったり、プロバイダーを変更する必要がある組織にとって非常に重要です。