適切な暗号化アプローチを選択する適切な暗号化アプローチを選択する最適なデータ暗号化ソリューションは、使用例や対応する脅威、許容できる導入環境の複雑度によって異なります。経営者レベルでは、データ暗号化は、単純な二者択一の問題として見なされることがあります。データ暗号化を導入すれば会社の資産は安全で、暗号化しなければ大問題になる、といった認識です。機密資産の保護を担うセキュリティチームにとって、現実はそれほど単純ではありません。どのタイプのデータ暗号化ソリューションが自社の要件に最適なのかを判断する上で、考慮事項がいくつかあります。データ暗号化タイプは、テクノロジースタック内のどこで使用されるのかによって大きく分類できます。テクノロジースタックには、一般的にデータ暗号化が使用される場所として4つのレベルがあります。一般に、スタックの下位レベルで暗号化を導入する方が実装はシンプルで、既存環境への影響も少なくなります。その場合、データ暗号化アプローチで対処できる脅威の数や種類も少なくなります。スタックの上位レベルで暗号化を導入すると、通常はセキュリティレベルが向上し、多様な脅威に対応できるようになります。スタックの上位レベルでデータ暗号化を実装すると、セキュリティは向上するが導入環境の複雑度も増すフルディスク暗号化ファイルレベル暗号化データベース暗号化(TDE)アプリケーション暗号化リソースフルディスク暗号化(FDE)と自己暗号化ドライブ(SED)はいずれも、データをディスクに書き込むときに暗号化し、データをディスクから読み取るときに復号する暗号化タイプです。高性能なハードウェアベースの暗号化FDE/SEDの制約:対処できる脅威が非常に限定されている(ストレージメディアを物理的に紛失した場合の保護のみ)APT(高度で持続的な脅威)、悪意のある内部ユーザー、外部の攻撃者は防御できない対応できるコンプライアンス要件は最小限きめ細かいアクセス監査ログを記録できない重要ポイント:主要なクラウドプロバイダーはFDEと同等の機能を提供しているが、付随する上記の制約も同じように当てはまるFDEは、紛失や盗難のリスクが非常に高いノートパソコンに適している。データセンターやクラウド環境で直面することの多いリスクには適していない。マネージャーマルチクラウドBYOKライフサイクル管理の運用効率を高め、一元的レポート機能によってコンプライアンス対応を効率化ファイルレベル暗号化アプローチは、オペレーティングシステム内にインストールしたソフトウェアエージェントを使用してセキュリティ管理を実現します。エージェントは、ディスクに対するすべての読み取り/書き込みコールをインターセプトし、ポリシーを適用して、データを暗号化するか復号するかを判断します。ログ機能も備えています。透過的データ暗号化(TDE)は、MicrosoftやOracleなど、一般的なデータベースベンダーごとに固有の暗号化機能です。メリット:データベース内の機密データを保護できるEstablishes悪意のある内部ユーザーを含め、さまざまな脅威に対する防御手段を確立できる制約:あるデータベースベンダーの製品を他のベンダーのデータベースに適用することはできないため、トレーニングコストや運用コストが増加する複数のベンダーのデータベース全体を一元管理することはできない古いバージョンのデータベースはTDEをサポートしていない可能性があり、データ漏えいのリスクがある暗号化の対象がデータベースのカラムやテーブルだけに限られるため、設定ファイルやシステムログ、レポートには依然として脆弱性が存在する重要ポイント:データベース暗号化テクノロジーは、特定の限定的な要件に対応することはできるが、さまざまな製品が混在した環境全体のセキュリティを確保したり、データベースの外部にあるデータを保護したりすることはできない。そのため、組織内に重大なセキュリティギャップが生じる可能性がある。keys.アプリケーションレイヤ暗号化は、既存のアプリケーションに対して、暗号化やトークナイゼーション、マスキング、その他各種の強力な暗号化機能を効率的に追加できるAPIを公開している製品スイートです。