クラウド利用を諦めてしまう最大の懸案
「機密情報」はどうやって守るか？

クラウドを使いたい業務があるけれど、個人情報や機密性が高いデータが含まれているから情報漏えいが心配…。

そのような悩みを抱えている方も、多いのではないでしょうか？

総務省の調査（令和元年版 情報通信白書）でも、33.3%の企業が、クラウドを利用しない理由として、情報漏えいなどのセキュリティに不安があると回答しています。

確かに、クラウドのセキュリティリスクはゼロではありません。しかし、機密情報を取り扱うリスクを見極めて対策を講じれば、リスクを低減させることができます。

本記事では、厳しいセキュリティポリシーを守りつつ、安全にクラウドサービスを利用するためのアプローチをご紹介いたします。

暗号化だけでは危険？ 知っておくべきクラウドデータ保存のリスク

クラウドのセキュリティにおける一般的な考え方は「責任共有モデル」です。

これは、クラウド上に保存されたデータを守る責任は、クラウド利用者（利用企業）にあることを意味します。

つまり、クラウド利用企業は、インターネット上のさまざまな情報漏えいリスクから、企業やお客様のデータを守らなければなりません。

※責任共有モデルについての詳細は、「クラウドセキュリティの基本」をご覧ください。

データを守るセキュリティ技術としては「暗号化」が広く知られています。多くのクラウドサービスにおいても、ネットワーク経路を暗号化し、保存データについても十分に安全なアルゴリズムと暗号鍵による暗号化が施されています。

ところが、次のような情報漏えいリスクは、暗号化だけでは対処できない問題を抱えています。

• 第三者によるインターネット経由での不正アクセス
• データ所在地の政府や法執行機関などによるデータ開示要請
• データの長期保存に伴う暗号化方式の危殆化
• ストレージの物理的な盗難
• クラウド事業者の従業員による内部犯行
• クラウド利用企業の従業員による内部犯行

まず、標的型攻撃などの方法で第三者にアカウントが乗っ取られてしまえば、簡単にデータを盗まれてしまいます。

また、暗号化に使用した秘密鍵をクラウド事業者が保持している場合、クラウド事業者が政府や法執行機関からデータ開示要請を受けると、データの所有者であるクラウド利用者の同意を得ずに、データを提供してしまう可能性があります。それをクラウド利用者がコントロールすることは困難です。

他にも、長期保存データに関しては、保存期間中に暗号が破られてしまう「暗号危殆化」というリスクもあります。

さらに、機密情報においては、暗号化だけでは情報漏えい対策として不十分とみなされるケースもあります。例えば、個人情報保護法は、「個人情報は暗号化されていても個人情報である」という考えに基づいています。そのため、暗号化されたデータであっても、個人情報保護法に則った管理が必要です。

クラウドを利用する企業には、このような情報漏えいリスクや個人情報保護への対応が求められています。

それでは具体的にどのような対策を講じるべきでしょうか？

有効策を探っていきましょう。

クラウドのデータを守るためのさまざまな方法

クラウド利用者側がクラウドのデータを守るために実施できる対策には、下表のようなものがあります。

対策を検討する際には、次の点を明確にしたうえで、最適な対策を選ぶ必要があります。

• どのような脅威から何を守るのか
• どのような法律やルールに従う必要があるのか

一例として、クラウドを利用する目的が、統計処理などの個人情報を必要としない用途であるケースを考えてみましょう。

この場合、マスキングや匿名化などの処理を施し、機密性が低いデータに変換したうえで、クラウドに保存する対策が有効です。第三者による不正アクセスや内部犯行に遭っても、機密性が高い情報の漏えいを未然に防ぐことができ、より安全なクラウド活用を実現できます。

クラウド特有の「利用者による鍵管理」

先ほどの表の中でも、クラウド特有の方法として知られているのが「利用者による鍵管理」です。

クラウドサービスにデータを保存する際に、利用者側（例えば、利用企業のプロキシサーバなど）でデータを暗号化してからクラウドに保存します。また、保存されたデータを参照するときは、データを平文に復号して表示させます。

このような仕組みを用意して、クラウド上に保存された暗号化データの鍵をクラウド利用企業が管理することで、クラウド事業者側でのデータ漏えいリスクと、第三者による不正アクセスリスクへの対策となります。

図：利用者による鍵管理のイメージ

最適なデータ保護対策でさらなるクラウド活用を

機密情報を扱うため、クラウドの利用が難しいと思われる業務であっても、クラウドをうまく使いこなす方法があることがおわかりいただけたでしょうか。

NTTテクノクロスでは、NTTの研究開発で培った暗号関連技術のノウハウがあり、データの暗号化・トークン化や匿名化のためのソリューションも提供しています。クラウドのデータ管理にお困りの際は、ぜひNTTテクノクロスまでご相談ください。