情報機関やIMFも利用するDRMとは？米国政府の事例に学ぶ、データ中心型セキュリティのアプローチ #AdobeDocCloud

情報漏えいがセキュリティ上の最大の脅威の１つになっている今、クラウドファースト、デジタルファーストに取り組み、データの利活用を推進する日本政府は、ネットワーク周辺を保護するだけでなく、最も重要なデータそのもののセキュリティ対策ができるように進化していくことが求められています。

2018年3月30日、慶應義塾大学と笹川USAが主催する「第6回サイバーセキュリティ国際シンポジウム」では、「データ中心型セキュリティのアプローチ」をテーマにセキュリティソリューション担当テクニカルディレクターのスティーブ ゴトワルズがスピーカーとして登壇し、セミナーでは米国政府におけるデータ中心型セキュリティのアプローチとその事例を紹介しました。

米国政府は既に動き出している。データ中心型のセキュリティ対応

セミナーでは、米国連邦政府機関等と連携しながらデータ中心型セキュリティを進めているスティーブ ゴトワルズが、その取り組みについて紹介。米国では2017年に発効された米国大統領へのレポート「Federal IT Modernization」において、従来、ネットワークレベルだったセキュリティをクラウドの世界へと移行する中で、データレベルで保護する必要性が報告されており、データ中心型セキュリティが進められることになりました。

そこで、国土安全保障省（DHS）が進めているCDM（Continuous Diagnostic and Mitigation）のセキュリティプログラムを説明。これは、連邦機関が組織全体としてセキュリティの向上に取り組むものであり、４つのフェーズでロードマップが構成されています。一つ目は、ネットワーク上に何があるのかを把握するフェーズ。二つ目はクラウド上に何が存在しているのかを把握するフェーズ。三つ目は、ネットワークで何が起きているのかを把握するフェーズ。そして四つ目が、データ中心型のセキュリティに対応するフェーズです。

国土安全保障省（DHS）は、このプログラムのフェーズ１から始めるべきか、あるいはいきなりフェーズ４から始めるべきかを、各連邦機関のセキュリティの成熟度に応じて見極めており、フェーズ４の重要なテクノロジーがエンタープライズ向けのDRMなのだと指摘しています。

データレベルのセキュリティ対応へ、DRMがもたらす確かなメリット

DRM（Digital Rights Management）は、データへの利用、アクセスをコントロールする技術です。このDRMがもたらすメリットについて、スティーブ ゴトワルズの答は明快です。まずは、暗号化により常にデータが保護されていること。暗号化を文書レベルで行うことで、保存場所のストレージや輸送手段などに関わらず、常にデータは暗号化されます。

また、データがコマンド＆コントロールセンターと呼ぶサーバに対してテザリングされていることにも言及。ドキュメントにアクセスする人やドキュメントの印刷を許された人は誰なのか、あるいは修正をかけたり、コンテンツをコピーしていい人は誰なのかを、サーバ側で判断します。同時にサーバ側では、文書に対する監査のイベントを収集しているため、文書を開いたのは誰か、開いた時間は何時だったのかはもちろん、IPアドレスをもとに、どこで開いたのかも追跡できます。これにより、万が一、文書が漏洩しても、その保護や検知後の対応が可能になります。

情報機関やIMFも利用。米国の最新事例に学ぶ、DRMの実践活用法

続けてスティーブ ゴトワルズは、米国政府におけるDMRの具体事例を紹介。一つ目に挙げたのが、ダムや橋などのインフラを建設する政府機関「U.S. Army Corps of Engineers」の事例です。プロジェクト開始にあたって彼らは、まず、応札業者に対し入札のパッケージを配布します。この入札パッケージをDRMで保護することで、応札業者に対しては文書へのアクセスを維持しながら、他の業者に対してはファイヤウォールの外からでも文書にアクセスできない仕組みを整えているのだと言います。

次に、情報機関での事例を紹介。そこでは、安全保障などに関連する重要データを自分たちのネットワーク内に保存しておきたいというニーズが顕著であり、その対応としてデータイベントをアナリティクス機能によって分析をかけることで、インサイダー脅威に備えています。

さらに国際通貨基金（IMF）の事例も紹介。この機関は機密性の高い財務データを世界各地にあるパートナーと共有しているため、データの保護が極めて重要です。万一、機密性の高い財務データが漏洩し、それが通貨の操作といった不正行為につながることを防止するために、DRMが有効な働きをしています。

ここまで秘匿性をテーマにした事例を紹介してきたスティーブ ゴトワルズが、データ中心型のセキュリティのアプローチの中でもう一つ重要なポイントとして挙げたのが、データの完全性、真偽性です。日本では、現在、公文書管理が課題になっていますが、米国連邦政府に関連する法律・政策・予算などの公文書を発行しているGPO（Government Publishing Office）では、公開するAdobe PDFはすべて電子署名がなされています。AdobeのAcrobat Readerを所有していれば誰でも公開文書を開ける一方で、文書が改ざんされていないか、本当にGPOが届けたものなのかを確認できるのです。

スモールスタートで始めるデータ中心型のセキュリティ

データ中心型のセキュリティを実現するためには、DRMなどのテクノロジーを活用し、漏洩する可能性のあるデータに対して保護、検知、対策をしっかり担保すること。そして電子署名、タイムスタンプなどのテクノロジーを活用し、データの完全性、真偽性も担保することが重要なのだと、スティーブ ゴトワルズは力説しています。

最後にスティーブ ゴトワルズは、こうアドバイスを送ります。「データ中心型のセキュリティはまずは小さく始めてください。最初は最も重要なドキュメントを選定し、できるだけシンプルに、ワークフローも一つに絞った形でシステムを組むようにしてはいかがでしょう。エンドユーザーにもシステムを使い慣れることが重要です。その段階でうまくいけば、さまざまなドキュメントに適用しやすくなります。最初はハイハイ、慣れてきたら次は歩くようにして、最後には走る、というイメージで進めましょう」