GDPRを契機にデータを守る重要性が高まっている
GDPRの第32条にはデータを守ることが明確に謳われており、その際に「適切なセキュリティレベルで技術的および組織的な対策を実施しなければならない」とある。多くの企業が、GDPRに対応するために多層防御などの対策を行い、安全性を担保することに努めているだろう。とはいえさまざまな対策を行っても、攻撃者からの攻撃も高度化しており情報漏洩のリスクをゼロにすることはできない。
実際、2018年6月にはフランスのホテル予約サイト「ファストブッキング」のサーバーに不正アクセスがあり、国内計43ホテルに予約した約12万4900件の個人情報が流出するインシデントが発生したことで、GDPRに違反する可能性が指摘された。
その他にも、データをしっかり守らなければならない脅威は多数存在する。その一つがランサムウェアの攻撃だ。アクロニス・ジャパン セールスエンジニア マネージャの佐藤匡史氏は、「2018年に入りランサムウェアの攻撃が減っているとも言われています。しかしこれは、ばらまき型攻撃が減っただけで標的型は減っていません。さらに次世代のランサムウェアは、GDPRの対象となるようなデータを狙っています。GDPRの制裁金が高額なのでランサムウェアの身の代金が安く見え、払ってしまうこともあるようです」と指摘する。
アクロニス・ジャパン セールスエンジニア マネージャ 佐藤 匡史氏
GDPR対象のデータが盗られたことが公になると、その企業の信用は大きく失墜するだろう。さらに感染先のコンピューターのあらゆるデータを破壊するワイパー型マルウェアも増えており、より一層データを安全に守ることの重要性は高まっている。
もう一つ佐藤氏が指摘するのが、データ改ざんへの対応の必要性だ。日本政府でも公文書の改ざんがあったことは記憶に新しい。ずさんな文書管理が大きな問題となり、結果的に決裁文書の管理徹底を閣僚会議で明確化するに至った。その中では公文書の電子化による管理を行うことになっている。「電子化すれば、データは安全なのでしょうか、それで改ざんされなくなるのでしょうか」と佐藤氏は疑問を呈する。
実際政府機関よりも、日本の民間企業では文書の電子化が進んでいる。一方で企業のファイルサーバーが「ゴミ箱化」している問題もある。情報が重複し使われてないデータも大量に蓄積されているのだ。そのようなファイルサーバーを日々監視している企業も少ない。「ファイルサーバーから何かデータがなくなっても、誰も気付かないでしょう」と佐藤氏。このような管理下では、データが改ざんされても当然ながら分からない。
また電子化を進めているはずの大手製造業などでも、検証結果データを意図的に改ざんした事件も発生しており、これも大きな問題となっている。つまり、文書を電子化するだけではデータの改ざんを防ぐことはできないのだ。
データ保護の強化に加えデータ改ざん対策機能も提供
GDPRへの対応については、システムのセキュリティを強化し、合わせて適切にデータを確実に保護することで行う。アクロニスのソリューションでは、バックアップを確実に取得しその暗号化も実施する。ランサムウェア対策も、アンチウィルスソフトと併用する形でシステムバックアップを取得する方法を提供している。最新機能では、AI技術を用いシステムの破壊やデータの改ざんをいち早く見つけて対策できる。たとえばワイパー型マルウェアの動きを分析し、被害に遭う前に対策するのだ。
さらに未知の脅威に攻撃されても、キャッシュから瞬時で復元する機能も提供する。これはどのプロセスが何をしたかを記録しておき、その情報をもとに攻撃されたところだけを自動で瞬時に復元するのだ。「これは今までの実績から、ランサムウェアに暗号化されてしまうことに特化することで実現されている機能です」と佐藤氏は説明する。
最近では、システムバックアップを取得してランサムウェア対策していることを攻撃者も分かっているので、バックアップファイル自体が攻撃対象となる状況も増えている。そのためアクロニスのアプリケーションも狙われており、そういった攻撃から守る仕組みもアクロニスでは実装している。
これらデータ保護の機能に加え、アクロニスが新たに提供するのがデータ改ざん対策だ。「ブロックチェーン技術を利用し、中央集権型ではなく分散型でデータを管理する仕組みです」と佐藤氏。分散型にすることで、単一障害点がなくなるメリットがまずある。さらには冗長性が確保され、止まらないシステムが実現できるのだ。また低コストで信頼性の高い仕組みを実現できる点も、ブロックチェーン技術を活用する大きな特長となる。
Acronis Notaryは、ブロックチェーン技術を使いデータが本物であることの証拠を残す仕組みだ。取得したバックアップのデータは、全てがブロックチェーンにひも付けられる。データに対してベリファイ処理を行いハッシュ値と比較して本物かどうかを判断する。ブロックチェーン技術には、既に実績の多いイーサリアムを採用している。改ざんされていないことを証明するのに、ユーザーの特別な操作は必要ない。機能をオンにすれば自動で改ざんを監視し、すぐに改ざんされていない証明を取得できるようになる。
「データの改ざん対策のソリューションについては、企業の経営層がかなり高い関心を持っています」とアクロニス・ジャパン リージョナルプロダクトマーケティングマネージャの古舘與章氏は述べる。例えばエストニアでは公文書のデータ化を含む国家全体のデジタル化を推進し、ブロックチェーンを使用したスマートコントラクトを採用している。Acronis Notaryは、ブロックチェーンの難しさを隠蔽する仕組みになっており、海外を中心にAcronis Notaryを利用している企業や組織が増えているという。こうしたデータの信頼性を高める取り組みが、国内の企業・組織においてもますます重要となるだろう。
アクロニス・ジャパン リージョナルプロダクトマーケティングマネージャ 古舘 與章氏
「まだデータ保護の領域でブロックチェーン技術を活用している例は世界でも少ないです。バックアップベンダーでブロックチェーンを活用しているところは、さらに少ないでしょう」（古舘氏）
データにまつわる“あらゆるもの”を保護していく
Acronis Notaryはバックアップのデータが改ざんされていないことを証明する機能を無償で提供する。さらにアクロニスでは、データを改ざんから保護する次なるステップも考えている。通常データはシステム間などを流れており、その過程で改ざんされるリスクがある。そこでNotary Filterという機能の提供を予定しており、データをフィルターに通すことで本物かどうかを証明できるようにする。この機能を利用すれば、データが流れている途中で改ざんされたかどうかを簡単に確認できる。
他にもFile Notarizationの提供も予定している。これはファイルに対し改ざんを監視するものだ。たとえばDropboxのようなサービスを利用していて、そこに保管しているファイルに改ざんがあったかどうかを監視し証明できる。さらにAcronis ASignは、電子署名をブロックチェーンにひも付けることで証明を行う機能となる。これらデータの改ざんを監視する機能が、今後アクロニスから順次提供される予定だ。
「アクロニスとしては、これからはデータ保護のプラットフォームを提供していきます。バックアップや災害対策機能、さらにNotaryの機能は、そのプラットフォームを構成する要素となります。それらを組み合わせることで、ユーザーの利便性を損なわずにデータを厳重に保護していきます」（佐藤氏）
アクロニスでは、将来的にはさらに守る対象を広げる。データそのものを保護するデータ保護から、データにまつわるあらゆるもの、つまりやプライバシーやAuthenticity（信憑性）、サイバーセキュリティなども含め、それら全てを守っていく。「まずはGDPR対応などから入り、順次守っていくものを拡大します。最終的にはそれで、サイバープロテクションを目指します」（古舘氏）と今後の展望を語った。
注目ホワイトペーパー『Acronis Notary ブロックチェーンベースのデータノータリゼーション（公証）』（全20ページ、無料PDF）
