DX推進などの文脈で、ビジネスにおけるデータ利活用が進んでいる。いまや企業のあらゆる社員が日々データに触れる機会を持っている状況で、IT部門にはこれまで以上のデータ管理が求められるようになった。そこで注目したいのがデータをやり取りする際の通信暗号化であり、暗号化されたデータの可視化だ。本記事では、ロードバランサやリモートアクセス、セキュリティ製品などの販売を手掛けるアレイ・ネットワークスの営業・マーケティング 部長 対馬浩明氏に、企業がいま取り組むべきデータ管理について伺った。
DX時代に重要性が増す暗号化/復号化
――近年、DXの推進やAI活用、テレワークの浸透などによって、企業のIT部門はデータ管理により一層気を配らなければならなくなっています。この時代におけるセキュリティの課題について教えてください。
対馬氏：いまサイバー攻撃の脅威が高度化・巧妙化しています。外部からやってくる攻撃はもちろんのこと、組織内部の人物による不正アクセスがクローズアップされていますし、テレワークでのデータ盗難・漏洩も発生しています。
そうした事態が起きると、やはりステークホルダーから批判を受けますし、企業イメージが傷つきます。さらには、個人情報流出があれば補償問題にも発展するでしょう。そのような状況でデータ管理の重要性が以前よりも増してきています。
データそのものだけでなく通信の管理、そしてその際に用いる暗号化/復号化にもいま一度注目したほうがいいと思います。
-
アレイ・ネットワークス株式会社
営業・マーケティング 部長
対馬 浩明 氏
――データ管理自体はどの企業も実施しているはずですが、なぜ最近、データ管理をめぐる脅威が高まっているのでしょうか。
対馬氏：たしかに、企業は基本的にデータ管理を行っています。ですが、いまは社内でデータに触れる人が増えており、事業部門ごとにデータ管理を行うケースもあるため、管理自体がさらに難しくなっていると考えられます。
――データの暗号化にも注目すべきとのお話でしたが、その理由を教えてください。
対馬氏：今はすべての通信が暗号化されています。かつてのようにHTTPの通信を行うことは、もはやないでしょう。ビジネスの通常のやり取りだけでなく、サイバー攻撃すらも暗号化された状態でやってきます。このような状況になれば、暗号化により中身が見えない通信を「見える化」することは、企業ガバナンスの観点からもきわめて重要ということになります。
これまで多くの日本企業は、どちらかといえば性善説の立場で通信を利用してきました。しかしながら、暗号化された通信の中にマルウェアが含まれていたり、社員が情報流出に加担する場合が出てきたりしている現在、性善説ではサイバー攻撃の脅威と情報漏洩のリスクに対応できないと、多くの企業が気づき始めました。その流れで、いまゼロトラストも注目されています。
データセキュリティで求められるSSL/TLSの可視化
――通信の暗号化というと、すぐに思い浮かぶのが「SSL（Secure Socket Layer）/TLS（Transport Layer Security）」です。もちろんIT部門のみなさんはご存じだと思いますが、当たり前の存在でありすぎるがゆえに、その重要性が忘れられている傾向も見られます。改めて、SSL/TLSとは何か、またSSLとTLSの違いを教えてください。
対馬氏：SSL/TLSは、インターネット上の通信を暗号化する仕組みです。もともとの規格がSSLで、新しい規格がTLS。つまり旧バージョンと新バージョンの関係といっていいでしょう。諸説ありますが、SSLに脆弱性が見つかり、TLSにアップデートされたのです。基本的にほぼ同義の規格なので、SSL/TLSと併記されるケースが多いですが、以前からの習慣で単にSSLと呼ばれることもあります。ちなみに直近ではTLS1.2、1.3が主流になっています。
――SSL/TLSはどのような仕組みで通信を暗号化するのでしょうか。
対馬氏：クライアントとサーバーの間で、セキュアな鍵が掛けられた箱に情報を入れてやり取りするイメージです。この箱を開ける鍵はクライアントとサーバーだけが持っており、その鍵がなければ中にある情報を取り出すことはできません。つまり、秘匿通信が可能になるということです。
――いま改めてSSL/TLSの重要性に着目すべき理由を教えてください。
対馬氏：やはり、DXやデータ活用の推進、あるいはリモートアクセスの浸透などにより、企業において社内外の通信を行う業務が広がったからでしょう。企業が行う通信では、機密情報や個人情報もやり取りされます。そうしたデータをインターネットで暗号化せずに送受信するのは、裸で外を歩くのと同じようなことですから、安全性を確保するにはやはり暗号化が必須です。
――暗号化は当然重要である一方、暗号化された通信が逆にセキュリティ上のリスクとなってしまう場合もあると聞きます。
対馬氏：データ管理の観点から見ると、通信の中身が見えないことはリスクにもつながります。なぜなら、外部に流出させられない会社の機密をうっかり書いてしまう社員がいるかもしれませんし、顧客の個人情報が入っているかもしれないからです。あるいはマルウェアが含まれている可能性もあり、社員が知らないうちにサイバー攻撃の起点となってしまうことも考えられます。実際にセキュリティインシデントが起きてしまった場合にも、通信内容が把握できていないとフォレンジックの対処ができません。
――その対策として、いま企業がなすべきことは何でしょうか。
対馬氏：企業のリスク対応、ガバナンスの観点からも、通信の中身を見える化し、把握しておくべきだと思います。たとえばインシデントが発生した際、フォレンジックサーバーで通信内容を解析できるようにするため、SSL/TLSトラフィックの証跡情報を残すことが必要です。また攻撃を防御するため、セキュリティ機器に暗号化通信の内容を解読して送ることも必要になります。
暗号解読処理の負荷を軽減するソリューションとは
――SSL/TLSによる通信を可視化するソリューションとして、アレイ・ネットワークスのArray APVシリーズがあります。これはどのような製品ですか。
対馬氏：いわゆるアプリケーションデリバリコントローラです。もともと当社の事業の祖であるロードバランサ、つまり複数のサーバーに負荷を分散する装置がベースになっており、そこに複数サイトへの分散やWAF（Web Application Firewall）、DDoS防御といったセキュリティ機能、そしてSSL/TLSトラフィックの見える化機能までを加えた製品です
――他社製品にはない魅力や優位性を教えてください。
対馬氏：開発コンセプトとして、他社製品より性能を20％高めつつ、価格を20％低くすることを目指しています。入手しやすい価格でありながら、SSLIインスペクション以外のオプションを別途購入することなくWebシステムに必要な機能を1台で一通り利用できるコストパフォーマンスの高さ、すぐに使い始められる簡単さが強みです。
-
Array APVシリーズはWebシステムに必要とされる多彩な機能を1台に統合している
――Array APVシリーズは、ここまで見てきたセキュリティ課題に対してどういった役割を果たせるのでしょうか。
対馬氏：いまは公開鍵暗号方式の一つであるECC（楕円曲線暗号）で暗号化レベルが深くなるなど、暗号化の仕組み自体が高度化しています。暗号化/復号化をサーバーなどに任せようとすると処理が重くなるので、SSL/TLSの復号化は外の機器にオフロードすることにメリットがあると考えます。
Array APVシリーズはSSL/TLSを高速に解読できるアクセラレーションカードを本体内に搭載しているので、SSL/TLS処理を有効にオフロードできます。これによって暗号化された通信をほかの機器に負荷を与えることなく見える化できますし、ネットワークやその他の資産を変更せずとも新たなセキュリティ対応が可能になります。
――インターネットテクノロジーに関するイベント「Interop Tokyo」では、2018年に現行製品のArray APV x800シリーズがBest of Show Awardのセキュリティ部門 審査員特別賞を受賞しています。今年も6月に開催されますが、出展の予定はあるのでしょうか。
対馬氏：性能を向上させた新たなArray APVシリーズを出展する予定です。ぜひブースまでお越しいただいて、実物を見ていただきたいです。
――最後に、企業に向けてメッセージをお願いします。
対馬氏：企業には、顧客やステークホルダーに対して情報をきちんと管理していく責任があります。ビジネスでデータ利活用が進む現在、暗号化通信はさらに増えていくでしょうし、その通信を中身まで管理することはますます重要になってきます。SSL/TLSの可視化をオフロードすることで、ネットワークやセキュリティ機器への負荷軽減を実現できるArray APVシリーズに、ぜひ注目いただければと思います。
[PR]提供：アレイ・ネットワークス
メルカリで相次ぐ不正行為、どう対処しているのか? 不正対策部門の責任者に直撃
