DSPMによる可視化と暗号鍵管理で
量子時代の非構造化データを保護

　多くの企業が、業務効率化や新規事業の創出に向けたAI活用を加速させている。一方、AIアプリケーションや非構造化データを対象としたサイバー攻撃も拡大しており、セキュリティーツールの乱立や、ITインフラのハイブリッド／マルチクラウド化とも相まって、セキュリティー運用はますます複雑化している。

　「当社にも、自社専用のAIインフラやLLM環境を構築するに当たって、学習データや機密データの保護をどうすべきかという相談が急増しています。これまでと同じやり方でAIインフラやデータを守りきれるのかと、多くの方が課題感を持っています」と、タレスDISジャパンの舟木 康浩氏は指摘する。

　その背景にあるのが、自律型AIによる高度な攻撃や量子コンピュータの実用化による暗号技術の無力化だ。タレス本社（フランス）が毎年実施しているグローバル調査の結果からも、その懸念は明らかだ。AIセキュリティーへの支出が年々増加しているにも関わらず、クラウドデータの約半分しか暗号化されていないこと、非構造化データの大半が管理所在の不明確な状態にあること、地政学的リスクの高まりでデータ主権の再形成が必要なことなどを多くの企業が認識している。

　「そこで当社はAI活用とデータ主権の確保を両立させるため、データの所在と状態を常時把握するDSPMを中核にしたデータセキュリティーの再構築を提唱しています」と舟木氏は話す。

　DSPMは組織のデータ環境全体を可視化し、データの種類や所在、アクセス権限、リスクレベルを継続的に監視・管理するフレームワークである。タレスが定義するDSPMの活用ステップは大きく5つに分かれている。

　1つ目の「データ発見」では、クラウド、オンプレミス、アプリケーションなどのハイブリッド環境全体から構造化・非構造化を網羅した機密データを自動検出。2つ目の「データ分類」では、個人情報、財務、医療、知的財産などを自動タグ付けし文脈も含めて分類する。3つ目の「リスク評価・姿勢管理」では、リスクスコアを算出し、脆弱性や設定ミスを継続監視しながらコンプライアンスを自動評価。4つ目の「アクセス権の可視化」では、誰が何のデータにアクセスできるかを把握してAI利用リスクを含めた評価・統制を行う。

　「5つ目が暗号化・鍵管理による『データ保護』です。適切な鍵管理技術で、あらゆる場所に存在するデータに暗号化を適用し、鍵を集中管理することで機密データを強力に保護します」（舟木氏）

　今、求められているのは、「データ管理から鍵管理へ」という設計思想のシフトだ。AI活用によって無限に増殖・分散するデータのすべてを追いかけ、境界防御で守るアプローチは既に限界を迎えている。だからこそ、管理対象を「データそのもの」から「有限である暗号鍵」へとシフトさせ、守るべき対象の数を桁違いに減らすのである。この方法であれば、インフラがどれだけ複雑化しても、データを止めずに鍵で守ることができる。これこそがデータ主権を100％握り続けるための、「最も現実的で強力なアーキテクチャー」だと舟木氏は強調する。

　ではDSPMによって、どのようなビジネスリスクを無力化できるのか。舟木氏は4つの例を挙げる。

　1つ目は、暗号化されていない機密データベース、ファイルに対して、ストレージやデータベースエンジン層で透過的に暗号化を行うことで、アプリケーション変更を最小化しつつ既存システムにも適用可能とする。

　2つ目は、ファイルシステム層での「鍵とデータの分離」により、システム管理者やOS特権などの権限を完全に無力化。特権IDでもデータを読み取れない、鍵を使えない状態にする。

　3つ目は、クラウド事業者に対し、顧客自らが生成・保有する鍵のライフサイクルを管理する顧客管理鍵（BYOK）によって、インフラはクラウドに委ねつつ、データ主権（鍵の支配権）は100％顧客が掌握する設計とすることだ。

　4つ目は、バックアップ媒体を高度な暗号化方式であるAES-256で全面暗号化することで、廃棄時は鍵を破棄するだけで物理媒体が残っても実質的な消去証明を実現する方法である。

　このようにDSPMと暗号化技術を組み合わせれば強力なデータ保護が実現する。だが本当に考えなければならないのは、暗号化を支える鍵管理をどうデザインするかだ。どれほど複雑な鍵を使っていても、その鍵が盗まれたり、不安定な場所に置かれていたりすると、中のデータは簡単に盗み出されてしまうからだ。

　こうした課題を解決するため、タレスはDSPMの要件を満たしながら、鍵をオンプレミス、クラウド、仮想環境で一元管理するデータセキュリティープラットフォーム「CipherTrust Manager」を提供している。同製品は暗号鍵の管理とデータのアクセスポリシーを一元化し、暗号化対象のデータと暗号鍵を分けて管理することでデータ保護をより強固なものとする（図1）。 　また、企業のあらゆる環境に散らばる機密データの所在を正確に特定し、セキュリティーリスクやコンプライアンス違反を継続的に監視・管理するソリューションとなるのが「CipherTrust DSPM」である。

　さらに2023年に買収したImpervaのWAFと組み合わせることで、侵入を防ぎ、万が一侵入されてもデータを読めなくする二重防御を実現。フロンティアAIの脅威に一気通貫で対応している（図2）。 　中央集権型の鍵管理がどのように運用できるのかを、舟木氏はデモを交えて紹介。CipherTrust ManagerはWebブラウザ上からGUIと統合管理コンソールで、ポリシーの設定やデータの検出・分類、機密データの保護などを円滑に行うことができる。暗号鍵のライフサイクル管理の一元化はもとより、REST APIを使ったアプリケーション連携や、管理者目線、経営者目線によるダッシュボード開発も容易に行える。

　「どこから手を付ければいいのかと悩んでいる担当者も多いと思いますが、今すぐ始めるべきステップは、自社のデータ管理の健康状態の可視化、AIが利用する構造化・非構造化データの保護、AI／ポスト量子時代に向けた暗号資産インベントリの作成、この3つです。どこから始めても構いません。重要なのは自社のデータ主権を握るため、具体的な一歩を踏み出すことです」と舟木氏。

　多発する情報漏えいとAIリスクに悩む企業は、まずは包括的なデータセキュリティーで実績豊富なパートナーに相談することから始めてもよいだろう。