ハイブリッド・クラウド上のデータ・セキュリティーでITをモダナイズする

クラウド・ネイティブ・テクノロジーと、データ/AIツールの進歩により、開発者やデータ・サイエンティストは、エンタープライズITシステムをモダナイズして、よりスマートなアプリケーションを開発できるようになりました

さらに、企業が継続して俊敏性と運用コストを最適化するにつれて、技術的理由だけでないさまざまな理由から、ミッション・クリティカルなシステムをオンプレミスに保ちながら、アプリケーションを限定してSaaSプロバイダーに移行するケースが増えています。

重要なのは安全なデータの統合

しかし、基盤となるシステムが分断される割合が増えるにつれて、分散環境全体でのデータの統合とオーケストレーションの必要性が高まっています。たとえば、パブリック・クラウド上で、データとAIの最新機能を活用したスマートな販売推奨システムを構築するには、データサイエンティストはさまざまなデータソースの顧客データを統合する必要があるという場合があります。このようなデータソースには、SalesforeなどのSaaSアプリケーションもあれば、受注管理と財務処理に関するオンプレミスのシステムもあれば、クラウド上のマーケティング・システムなどもあるでしょう。

主なセキュリティー上の懸念事項

こうしたさまざまな環境で横断的にデータにアクセスしたり、データを移行したり、処理・使用したりするとき、データを確実に保護することは、セキュリティー上の大きな考慮事項です。したがって、ハイブリッド・クラウドでのデータ・セキュリティーとコンプライアンスを理解して管理するには、データがこうした環境の間を移動する際に、データが生成されてから廃棄されるまでの、データ・ライフサイクル全体を理解して管理する必要があります。

データ・セキュリティーは、インフラストラクチャー・セキュリティー用のツールやプロセスから、アプリケーションやエンドポイント・セキュリティーに至るまで、連続してつながっています。

データ・セキュリティーを扱う場合には、いくつかの要件に対処し、一貫して管理する必要があります。これを満たすためには、データの分類、データの保護、および継続的なコンプライアンス管理が必要です。

データの分類

データ・ライフサイクルの管理は、データ分類から始まります。まず、データの機密性に関するラベルを定義して割り当て、次にデータをパブリック、プライベート、ならびに制限付きクラスなどといった広範なカテゴリーに分類します。次に、データのコンテンツ(例:機密性の高い個人情報、クラウンジュエル、機密情報など)や、データ・コンテキスト(例:データの場所、規制、SLAなど)に応じて、よりきめ細かな分類がなされます。

データ分類における重要な課題のひとつに、エンタープライズITシステム、アプリケーション、ならびにエンド・ポイントが分散していることによっておこるデータの無秩序なスプロール現象があります。コンプライアンスや監査に対応し安全に事業を運営するには、企業全体でデータを適切に分類することが必要ですが、すべてのデータを適切に分類することは困難です。

しかし、人工知能(AI)や機械学習が進歩したおかげで、ますます高度なモデルのトレーニングが可能になり、機密データの抽出と分類を自動化することもできるようになっています。 [注1(英語)]

データの分類について詳しくは、こちら(英語)をご覧ください。

データの保護

データ保護は、データの保存、共有、または使用している際に、データを保護する際の一連のプロセスとメソッドの定義および実装をさします。適切なセキュリティー方法の決定は、通常、データの分類と、関連する規制、ビジネス要件などによって異なります。

暗号化は、データセキュリティーの基盤です。適切な暗号化方法を選択するかどうかは、データの種類、保護のレベル、および暗号化されたデータの使用目的によっても異なります。

イベントストリームの暗号化

Apache Kafkaなどのスケーラブルなメッセージング・ツールを使用した、ハイブリッドデータ統合の開発により、データ・サイエンティストと開発者は、大量のデータを確実にかつスケーラブルに移行することができるようになり、基盤となるデータ・ソースの瞬時の変更にも反応できるようになるなど、よりスマートなイベント駆動型のアプリケーションを構築できるようになりました。Kafka暗号化の進歩によって、ユーザー自身の暗号鍵を保持しながら、データが転送中であっても保存されていてもトピックごとにデータを暗号化することができます。

ファイルの暗号モジュール

分析などの目的で、データ・ファイルをある環境から別の環境に移動して、複数のユーザー/アプリケーションで利用できるようにする必要がある場合には、データ所有者は、対象となるユーザー/アプリケーションごとに複数のファイルの暗号化バージョンを生成する必要なく、異なるキーを使用して同じファイルの機密性の高いレベルを選択的に暗号化し、関連する列のキーのみを必要なユーザー/アプリケーションと共有することができるようになります。 [注4(英語)]

Parquetのモジュラー暗号化を利用したビッグデータ・セキュリティーの新しいオープン・スタンダードの開発についてはこちら(英語)で解説しています。

順序保存暗号化(OPE:Order preserving encryption)

ユーザーが機密データをオンプレミスなどのデータベースからパブリッククラウドのデータベースに移動して、データを複合化せずにアプリケーションをサポートしたり、分析を行なったりする場合もあります。順序保存暗号化(OPE)などの暗号化スキームを使用することにより、データ所有者はデータを暗号化して必要なユーザーと共有し、ユーザーは暗号化データに対してRange Queryを実行できます。 [注5(英語)]

完全準同型暗号化(FHE:Fully homomorphic encryption)

OPEなどの暗号化スキームは、さまざまな状況で役立てられていますが、データの複雑な操作を必要とする様々な分析やAIアプリケーションには向いていません。たとえば、ニューラル・ネットワーク・モデルのトレーニングには、データに対して後半なスカラー計算とテンソル計算が必要です。ここで最近開発された完全準同型暗号化 (FHE)が役立ちます。FHEスキームは、暗号化されたデータに対して直接、より後半な計算を可能にし、複合化されたときにクリアデータに対する同じ計算結果と一致する暗号結果を生成します。  [注6(英語)]

機密コンピューティング

IT ハードウェア・ベンダーは、データと処理の分離機能を改良してシステムに追加しています。たとえば、AMDは最近SEV(Secure Encrypt Virtualization) を発表しました。これは、組み込み型のセキュリティー・プロセッサーによって生成・管理されるVMごとの専用キーを使用してVMメモリーを暗号化する高度なセキュリティー機能です。

トークン化

クレジットカード取引での機密データ保護の目的で2000年初頭に導入されて以来、大きな注目を集めているデータ保護のアプローチの一つです。トークン化は、機密データの要素を代替値に置き換えて使用されているため、引き続き処理を継続することができます。トークン化には、結果に応じて多くのアプローチがあります。たとえば、その値に変換して戻すことができるように 可逆的なトークンを生成したり、逆変換を防ぐために一方通行のトークンを生成したりできます。

データ所有者が、データを別の信頼できない環境にに移動したり、支払い用のPCIなどの規制要件に対応するために別のITシステムと共有したりする前に、データをトークン化する必要がある場合があります。

パブリッククラウドなどの環境でのアプリケーション・テストは、その一例で、テスト・データが安全で、コンプライアンスに準拠していることを確認しながら、効果的なテストの実施には実際のデータとできるだけ近いデータが必要とされているからです。

耐量子暗号化

データの保持は、データのセキュリティーとコンプライアンスを遵守するための重要な要件です。量子コンピューティングの進歩により、多くの研究者は、将来のコンピュータがRSAや楕円曲線などの暗号化スキームを破ることができると予想しています。したがって、信頼できない環境にある場合、機密データと暗号キーがRSAに基づくTLSを使用してネットワーク経由で転送されているため、そのデータが転送中であっても保存されていても、企業の機密データが、耐量子暗号方式で暗号化されていることを確認することが重要です。現在進行中のNIST Post Quantum Crypto コンテストは、2022-2024年にQSCの新しい標準をリリースすることを目的としています。 [注9（英語)]

暗号鍵ライフサイクル管理

暗号鍵ライフサイクル管理は、あらゆるデータ・セキュリティー・ソリューションにおいて不可欠です。データが暗号化され、ハイブリッド環境間で共有され、暗号鍵、ユーザー、アプリケーションの数が急増するにつれて、安全で一元化されたキー管理システムで、暗号化キーのライフサイクルを一貫して管理することが重要です。データ所有者は、機密データを暗号化し、自分の暗号鍵を管理できます。改ざん防止ハードウェア・セキュリティー・モジュール(HSM)を活用して、強力なマスターキーを生成し管理することが、データ・セキュリティーのベスト・プラクティスとなっています。これらの暗号鍵は、機密データオブジェクトの暗号化に使用される実際の鍵を暗号化するために使用できます。[注10]

 IBMのHyper Protect Crypto Servicesについて詳しくはこちらをご覧ください。

継続的なセキュリティーとコンプライアンス管理

テクノロジーと人がともに情報漏えいの原因となりえる複雑なシステムにおいては、常に予期しないイベントが発生するため、データ・セキュリティーが重要な課題となっています。2020年の Verizon Data Breach Investigation Report によると、データ侵害の30%は内部の関係者が関係しており、侵害の22%は構成ミスや、誤って機密データや資格情報を公開するなどのエラーによるものでした。したがって、あらゆる環境に対応してデータ・セキュリティーとコンプライアンスを確保するためには、継続的に監視、分析、および事前予測的に管理して潜在的に起こりうるインシデントを可能な限り早期に検出(場合によっては予測)する必要があります。

ハイブリッド・マルチクラウド 環境におけるサイバー脅威に関する洞察を得る

ハイブリッド・クラウド環境では、データもセキュリティー・ツールも分断されているため、データ・セキュリティー体勢の継続的な監視と分析が非常に重要です。

企業がマルチクラウド でITを拡張させていく中で、セキュリティー部門は、さまざまなセキュリティー・ツールからのアラートを手動で統合、分析、関連づけなどの作業にますます多くの時間がかかるようになっています。セキュリティーには、脅威を封じ込めるための継続的な反復プロセスが必要であり、脅威は継続的にそのプロセスのギャップを見つけだそうとします。

IBM Cloud Pak® for Security は、あらゆる環境で実行可能なオープン・テクノロジー(Red Hat OpenShift) 上で構築され、セキュリティー・データの統合プラットフォームとして開発されました。

IBM Cloud Pak for Security は、豊富なコネクタと統合された分析機能を備えており、セキュリティー部門は、フェデレーション検索とリアルタイムのインシデント相互相関機能を活用して、すぐれた脅威インテリジェンスを活用することができます。

企業のITがハイブリッド・マルチクラウド環境にまたがる場合には特に、閉じられたセキュリティーは実現できなくても、あらゆるレベルでの適切な戦略とテクノロジーによって、企業の安全性を高めることができます。

IBM Cloud Pak for Securityについて詳しくはこちらをご確認ください。