SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

最新イベントはこちら!

EnterpriseZine Day Special

2024年10月16日(火)オンライン開催

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

DB Online Monthly Special

データベース暗号化の「真実」とトークナイゼーションの「嘘」(後編)


数々の情報漏えい事件が相次ぐ中、企業はデータベース(以下DB)のセキュリティ見直しが即急の課題となっている。DBセキュリティと言えばWeb/Appの脆弱性対応やDBそのものの暗号化、適切なアクセス制御などが挙げられるが、その中でもDBの暗号化についてはその技術的な障壁から敬遠され、一般的には正しい暗号化とは何なのか、何をすればよいのかが理解されないまま、暗号化の考慮ないし導入が検討されている。情報漏えいに対する抜本的対策であるDB暗号化に関する正しい知識と運用ができなければ、効果的な情報漏えい対策を取ることなどできない。本記事ではデータベース暗号化にまつわる真実と、それに取って代わると言われ始めているトークナイゼーション(Tokenization)の嘘について、それぞれの技術的な違いと正しい「使いどころ」について解説する。

トークナイゼーションの「嘘」

トークナイゼーションとは何か

 最近「トークナイゼーション」という言葉を耳にすることが多くなってきた。これは“Token-ization”、直訳すれば「トークン化」である。この時点で認証トークンを思い浮かべる人は少なくない。別にこれは二要素認証でセキュリティを強化しましょう、というお話ではない。

 発端はやはりIT先進国・コンプライアンス大国のアメリカ。PCI DSSの準拠が法制化されているアメリカでは、QSAに支払う年次監査費用が1000万円を超えるケースが少なくない。いくら法とは言え、それを守るためにITシステムに投資しなければならない額は大金なのだから、PCI SSC(PCI DSSを設定している本丸)には多くの不満が寄せられた。

 PCI SSCではこれを受けて、“Emerging Technology”と呼ぶ一連の先進技術―PCI DSSへの準拠が容易になるためのソリューション―を紹介している。E2EE(End to End Encryption)やTokenizationがその主だったものだ。

 従来の暗号化よりもトークナイゼーションがクレジットカードの保護(PCI DSS)の分野で取り立たされたのには大きな理由、メリットがある。

 まずはトークナイゼーションを初めて聞く方に、トークナイゼーションとは何なのかを簡潔に説明したいと思う。

 トークナイゼーションが保護対象とするのはいわゆる個人を特定するIDが主だったものである。クレジットカード番号やアカウント番号等がそれに該当する。

 これらの番号は個人に紐づいているにもかかわらず、通例様々なアプリケーション処理で利用され、場合によってはオペレーターがこれらIDを元に検索・統計などを行う。もちろん、これらの処理の流れで情報漏えいが起きてもおかしくないし、こういったアクセス権限を持つ管理者・オペレーターによる情報漏えい事件は数多い。

 DBでこれら情報が暗号化されていたとしても、暗号化されていると検索もできなければ照合もできない。

 よって上記処理では復号されて照合・検索が行われる。暗号化している以上遅延が発生するのは当然考えられる。

トークナイゼーションと暗号化の違い
トークナイゼーションと暗号化の違い

次のページ

この記事は参考になりましたか?

  • Facebook
  • X
  • Pocket
  • note
DB Online Monthly Special連載記事一覧

もっと読む

この記事の著者

髙岡 隆佳(タカオカ タカヨシ)

ゼットスケーラー株式会社 エバンジェリスト&アーキテクト   セキュリティ業界で18年の経験を活かし、製品やソリューションに捉われない、セキュリティ投資の方向性について啓蒙活動を実施。2019年よりゼットスケーラーのエバンジェリスト&アーキテクトとして、国内大手企業に対して...

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/3598 2012/02/10 18:18

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング