データはどこへ渡っても守れるのか──暗号化だけでは不十分

サイバーセキュリティ政策は長らく、データ保護をシステムの問題として捉えてきました。データベースを暗号化し、ネットワークを守り、アクセスを制限し、活動を監視し、攻撃者を寄せ付けない。こうした対策は今も重要です。しかし、これらの防御には大きな死角があります。壁の内側に入ったデータそのものが危険にさらされるという点です。データを使用、コピー、移動するたびに、悪意ある攻撃者にデータを盗まれ、公開されるリスクは大幅に高まります。政策立案者は、機密情報が漏えいしても、その価値を下げられる実証済みの手法を検討する必要があります。

病院、銀行、防衛関連企業、政府機関は、永久に読めない状態のデータでは業務を進められません。記録を処理し、情報を共有し、インテリジェンスを分析し、人工知能(AI)モデル向けにデータを準備する必要があるからです。現実には、データは移動します。クラウドプラットフォーム、ベンダー、バックアップ、分析ツール、決済処理業者、ソフトウェアサービス、AIパイプライン、パートナーのシステムなどを経由します。受け渡しのたびに、情報がコピーされ、キャッシュされ、ログに記録され、インデックス化される場所が増えます。同時に、情報が不適切に扱われたり盗まれたりする場所も増えていきます。

これが、暗号化では埋められないギャップです。暗号化が確実に守れるのは、保存中や通信中のデータです。送信時には部分的にしか保護できず、処理中のデータは全く守れません。認可されたシステムが誰かの利用のために情報を復号した時点で、データは再び読み取れる状態になります。つまり、防御によって情報の機密性が下がったわけではありません。攻撃者が暗号化されていないデータを盗めば、機密情報は攻撃者の手に渡ります。盗んだデータを、量子コンピューターが広く使えるようになった将来に復号する場合も同じです。

総じて、暗号化は不可欠ですが、それだけでは十分ではありません。ワシントンはこの点を真剣に受け止める必要があります。

有望な答えの一つが、保管庫(ボールト)もキーも使わない「ボールトレス・キーレス型の仮名化」です。専門的に聞こえますが、考え方は単純です。データが拡散する前に、機密の値を本物らしい代替の値に置き換えます。

名前は別の名前に置き換わります。社会保障番号(SSN)は、有効に見える別の社会保障番号になります。決済カード番号、患者ID、住所も、基本的な形式はそのままです。構造は見慣れた形式のままなので、データベースや請求プラットフォーム、分析ツールはレコードを処理できます。一方で、本人の身元が、データに触れるすべてのベンダー、プラットフォーム、下流の利用者にさらされることはなくなります。

これは、サイバーセキュリティ政策で主流の考え方とは異なる発想です。私たちは、機密データを扱う可能性のあるあらゆるシステムの保護に、膨大なエネルギーを注いでいます。その努力は続けるべきです。しかし、クラウドサービスやサプライチェーンがあり、追跡しにくい形で情報を保持するAIシステムがある現在、下流のすべてのシステムを完全に管理することはかつてなく難しくなっています。問われているのは、もはやシステムの保護だけではありません。露出したり盗まれたりしたデータが、どのような経路で脅威アクターの手に渡っても役に立たないようにすることも重要です。

従来のトークン化モデルは、本物の値を「トークン」と呼ばれる語に置き換え、名前、パスワード、クレジットカード番号といった元の値を中央のボールトに保管します。これで露出を減らせますが、明白な標的も生まれます。ボールト自体にアクセスされれば、トークンの裏にある機密の値が露出するおそれがあります。

ボールトレス・キーレス型の仮名化は、中央のボールトやマスターキーが招く単一障害点をなくすよう設計されています。民主主義防衛財団(FDD)のTransformative Cyber Innovation Labが評価したモデルでは、保護されたデータを復元できるのは、必要な関係者全員が管理された条件下で承認した場合に限られます。仮名化されたトークンを、一者だけで元に戻すことはできません。

テストでは、この手法が機密コンテンツの形式を保ちつつ、背後にある本物の値へのアクセスを制限できることが示されました。権限のない復元の試みは失敗し、ログに記録されました。複数の関係者が承認した復元では、正しい値が返されました。傍受されたトークンから、元のデータの値が明らかになることはありませんでした。さらにこのシステムには、トークンがどこに存在していても、下流での再識別を遮断してトークンへのアクセスを取り消せる独自の機能がありました。

この評価からは、機密データを正当な業務には使い続けられる一方で、攻撃者や権限のない利用者にとっての価値は大幅に下げられる可能性が見えてきました。盗まれたり露出したりしたデータに本質的な価値がなければ、ボールトレス・キーレス型の仮名化によって、データ侵害やランサムウェア攻撃の影響を大きく減らせます。 

連邦政府は、この手法を評価し、実際の運用環境で機能させるために何が必要かを見極めるべきです。現状では、各機関がこの種の技術を無視しかねません。暗号化やアクセス制御など、既存のサイバーセキュリティ施策のカテゴリにきれいに収まらないからです。これは誤りです。   

米国立標準技術研究所(NIST)は、この技術が何を行い、どのリスクを減らし、どのような新たな依存関係をもたらすのかを評価すべきです。あわせて、実運用で信頼できるようになるまでに、どんな証拠が必要かも見極める必要があります。NSA(米国家安全保障局)も、機密ネットワークについて同じ問いを検討すべきです。 

調達規則も、より賢明なものにすべきです。トークン化、仮名化、データ層の保護、量子耐性といった特性をうたうベンダーには、次の点の説明を義務づけるべきです。生データが自社のインフラに入るのか。トークンと元データの対応付けが存在するのか。誰が元の値を復元できるのか。どのような独立した審査を完了しているのか。

サイバーセキュリティ政策は数十年にわたり、攻撃者を締め出そうとしてきました。その取り組みに終わりはありません。しかし、二つ目の目標も必要です。機密データが避けられず流出したときに、被害を小さくすることです。