【コラム】マイナンバーセキュリティ、暗号化さえすれば終わりか?

2015年12月、国民健康保険の加入者の個人情報が流出し、その一部が利用された事故が発生した。名前、住所、生年月日、電話番号や保険証番号などの個人情報が漏洩した被害者は、事故を報道した「共同通信」により確認されただけでも、47都道府県に居住する加入者10万3千人を超える。医療関連情報がこれほどの規模で漏洩した事故は、これまで前例がなかったので、前代未聞の大規模な情報漏洩事故と言える。

厚生労働省は不法漏洩された情報が病院や薬局などの複数の医療機関に流れた可能性があると見て、調査を着手した。医療機関にとって医療情報とは、潜在顧客リストと同様なので、まず被害者たちは、しばらくあらゆる客引き行為に悩まされるものと予想される。 しかし、被害がその程度に止まるなら幸いだ。健康保険証を悪用すれば、銀行の口座を開設したり、クレジットカードを申請するなどの金融取引が可能だし、公的に個人の身元を確認するときにも健康保険カードさえあればできる。つまり、名義盗用の犯罪の危険があるという意味だ。さらに、漏洩した保険証番号、名前、住所の情報があれば、健康保険証そのものを再発行できる危険性もあるため、その後相次ぐ被害が相当になると予想される。

たまたま今年の1月から施行された「マイナンバー」制度と連携し、個人情報管理に対する懸念の声が普段よりはるかに高まっている。これは杞憂ではない。実際にマイナンバー制度の施行後に上記のような漏洩事故が発生したら、マイナンバー情報の性格上、さらに大きな被害が発生するはずだ。なので、この時点で下の質問を一度振り返ってみるしかない。

「マイナンバーは今、安全なのか?」

そうではない。マイナンバー通知カードが市民に配達された数は2015年11月に52％で、12月に９％の追加配達が進む計画だったが、現在、約60％が配達済と推定される。まだ配達中である。

それなら、マイナンバー情報セキュリティシステムの普及率はどの程度だろうか?まだ正確な統計は出ていないが、マイナンバーの配達率に比べては比較もできないほど不十分な状態である。政府機関や大手企業などの大規模機関さえ導入の必要性を検討しているぐらいで、まだ「普及」を話す段階でもない。中小企業では、それが何かすら把握もできていない場合が多い。しかし、情報とは、いつどこでも漏洩する危険性がある。前の情報セキュリティ漏洩事例だけ見ても大きな穴より小さな穴がより危険だということが明らかになっている。したがって、情報セキュリティシステムの適用対象を政府や企業などの巨大組織に限ってはいけないし、マイナンバーを取り扱って保管するすべてに適用が終わってからこそ「マイナンバーは安全だ」と言える。今は、安全ではない。

「マイナンバーを暗号化すると、安全なのか?」

そうかもしれないし、そうではないかもしれない。

答えはどのような暗号化システムを構築したかによって完全に違ってしまう。現在市中に流通しているマイナンバー暗号化ソリューションをざっと見てみたら、意外にも単純暗号化製品が多い。単純暗号化製品を導入しても、安全性は保障できない。というのも、情報を暗号化したとしても、すぐ安全になるわけではないためである。暗号化というのは、システムの環境全体に適用される一種の情報文化の意味で理解すべきものなのだ。したがって、暗号化を通じて十分な安全性を確保しようとするなら、データ暗号化プラットフォームの概念に立脚した統合型の暗号化ソリューションを導入しなければならない。

つまり、システムの環境的な特性に沿った要求やニーズに合わせながら、既に十分に検証された様々な暗号化アルゴリズムをすべてサポートし、一方向暗号化やカラム単位暗号化など、業務的なニーズに対応する適切な方法論を十分備えていて、暗号化の情報セキュリティ効果の中核とも言える暗号・復号化鍵に対する安全な管理及び運営が可能で、データの閲覧および操作に対するユーザーへのアクセス制御やセキュリティ監査が徹底的に行われるという、上記の条件を全て備えた統合型暗号化ソリューションでなければならない。

「単純暗号化ソリューションと統合型暗号化ソリューションを区別する方法は?」

先に調べた要求事項だけ見ても分かるように、技術的に検討すべき内容は非常に多様である。まず簡単に最も重要な三つの必須要素だけを見てみよう。統合型暗号化ソリューションは「暗号化+アクセス制御+セキュリティ監査」機能をすべて備えていなければならない。

考えてみよう。ある情報があって暗号化をした。これで安全か?　暗号化された情報は復号化権限を持った人なら誰でもその内容を見ることができる。見ることができるというのは、盗むこともできるという意味だ。したがって、暗号化および復号化権限を管理しても、アクセスを制御する機能がなければ、その情報は安全とはいえない。そんな暗号化はしても無駄だ。重要な暗号化情報に対するアクセスは当該ユーザーのレベル及び権限、使用するアプリケーション、接続時間や場所、期間、日付など条件別に制限することができなければならない。

そして、アクセスが許可されたユーザーの活動に対する適切な監視機能もなければならない。それがなければ、事故が発生しても誰の責任かを分からないので調査も不可能になるだけではなく、すべてのセキュリティ装置が当初の目的である犯罪の動機を抑制する効果も期待できない。全ての暗号化情報は誰が何を閲覧して、処理したかの内訳を分かることができなければならず、これはデータベースのテーブル名、カラム名などクエリーの類型によって検討が可能でなければならない。このような「セキュリティ監視」機能は、上記の「アクセス制御」とともに、暗号化ソリューションの必須要素だ。

したがって、暗号化製品の中で、アクセス制御とセキュリティ監視機能が欠けていたら? その製品は導入してはならない。暗号化別に、アクセス制御別に、セキュリティ監視別に導入して、三つを統合して適用する方法も考えられるが、その三つの機能がお互いにどれほどスムーズに繋がるかは分からない。今までの数多くの技術的統合の失敗事例やその副作用を反面教師とするならば、当然避けるべきだ。さらに、ソリューションの導入及び運用過程で社内技術者が直接処理しなければならないことも必要以上に多くなるので、コスト面でも損害になる。したがって、円滑なアクセス制御とセキュリティ監視機能を含めている暗号化製品を選択するのが最も懸命な判断である。

「それで、統合型暗号化ソリューションというものを選んだら、安全か?」
これもまた、そうかもしれないし、そうではないかもしれない。

上に述べたように、まともな暗号化ソリューションとは、データ暗号化プラットフォームの概念に立脚した統合型暗号化ソリューションである。 「プラットフォーム」という言葉に内包された「環境」の意味を振り返ってみよう。

いわゆる「ソリューション」というのは、ビジネス問題を解決して工程を自動化するためのソフトウェア(またはソフトウェアを搭載したハードウェア)である。したがって、ソリューションは使用するところの環境的な特性によって特殊性を持とうとする傾向がある。しかし、特殊性のみ強調すると、ソフトウェア工学的に見て、結合度(coupling:ある要素が他の要素に依存する程度)は高まるし、凝集度(cohesion:各要素が一つの機能を完全に担当する程度)は低くなる副作用が発生する。そうなると、維持及び保守が困難になり、以後の状況はますます迷宮に入りこんでしまう。だからといって、むやみに一般性だけを強調することはできない。あらゆる環境のすべての要求に対応するソフトウェアは非効率的になるしかない。それで、一般性と特殊性をともに充足するための解決策として台頭してきたのが「プラットフォーム」概念に立脚したソリューションである。プラットフォームとは、一般的標準モジュールで構成して、構造化した特殊な環境の全領域を意味する。したがって、「プラットフォームの概念に立脚した」という言葉は、標準化されたモジュールとして普遍的一般性を備えると同時に、使用環境全体に対する構造的な理解を基に各要素を適材適所に配置して統合することで、環境的な特殊性も備えたことを意味する。それで、プラットフォームという言葉には「環境」の意味が内包されたのであり、これは製品設計段階から環境に対する理解があればこそ、可能なことだ。

いくら性能が良い製品であっても、その製品が実際に使用される環境に対する理解を基にして設計された製品ではないと、完全に無駄になる危険性がある。実際の運用のため、試行錯誤をすることもたくさんある。一般的な企業活動のための統合型暗号化ソリューションは多い。しかし、「マイナンバー」という日本特有の個人情報インフラに対する環境的な悩みを基にして設計された製品は何個ぐらいあるだろう？ほぼない。したがって、「マイナンバー制度が要求する情報環境に最適化された統合型暗号化ソリューション」であればこそ、本当に安全だと言えるだろう。

製品を宣伝するカタログは華やかだ。さらに、開発販売会社は世界的に有名な会社だ。販売社員の話術もものすごくうまいとなると、ついその気にさせられる。契約書にはんこさえ押せば、すべてが安全になる気がするし、セキュリティ事故のようなものは完全になくなるような気がする。それでは、最後にもう一度聞いてみよう。「この製品は、マイナンバー制度に対する理解がどれほど反映された製品ですか?設計段階からマイナンバー暗号化のために設計された製品ですか?」　たぶん、たいていは答えられないし、ぐずぐずとするだろう。そんなときは、「お帰りはあちらです」という案内さえすれば良い。これ以上の対話は時間の無駄だ。

製品に関するお問い合わせ

E-Mail : japan@pentasecurity.com / TEL : 03-5361-8201