Data Encryption Toolkit for Mobile PCs – セキュリティ分析

2019-12-06

第 5 章 : 適切なソリューションを選択する

公開日: 2007年8月20日

ダウンロード Data Encryption Toolkit for Mobile PCs を入手する (英語)

適切な組み合わせの暗号化テクノロジを選択するには、保護が必要なデータに対して、どのようなリスクがあるのかを理解する必要があります。リスクを理解すれば、データに価値 (必ず直接コストと間接コストの両方を考慮してください) を割り当て、十分なレベルの保護を確立しつつ、最大限の投資効果を実現できるソリューションを選択できます。

次のリスク軽減の要約表は、各データリスクについて、このガイドで説明する単体の暗号化テクノロジまたはその組み合わせの中で、どのオプションが有効かを示しています。該当のオプションで軽減されるリスクには Y という文字、軽減されないリスクにはハイフン – が記載されています。

表 5.1 リスク軽減の要約

トピック

リスク軽減の要約表を利用する結論

リスク軽減の要約表を利用する

この表を利用すると、組織にとって望ましいセキュリティ体制を実現するために、展開すべき適切なテクノロジと構成を選択できます。暗号化テクノロジはオペレーティングシステムの構成とポリシーにも影響を受けるため、その他のセキュリティポリシーの暗号化ソリューションに対する影響を理解するために、この表でそのリスクを参考にすることもできます。

たとえば、この表を参照してわかることは、このガイドで説明している Microsoft テクノロジで適切なセキュリティレベルを実現するには、ほとんどすべてのオプションで「スタンバイから回復」機能を構成する必要があるということです。ユーザーインターフェイスに [スタンバイから回復するときにパスワードの入力を求める] と表示されるシステム設定は、グループポリシーによって、またはレジストリ設定を調整するスクリプトを実行することによって、構成することができます。

脅威が少ない環境にセキュリティを追加する

セキュリティに対する要件は比較的小さい環境でありながら、モバイル PC のデータ暗号化を意識して、保護機能の追加を望んでいる組織もあります。このような組織のために、TPM と PIN を使用する BitLocker は、最低限の運用コストで、強力なセキュリティを提供します (認証されたユーザーが保護されたデータを回復できるようにするという要件は除く)。組織で BitLocker を展開できない場合、Microsoft Windows® XP と Windows Vista™ は、認証された不正ユーザーによるデータアクセスの脅威にさらされますが、このリスクは EFS によって軽減されます。 Windows Vista で EFS を実行すれば、システムページングファイルからデータが漏えいするリスクも軽減されます。ただし、オペレーティングシステムに対するオフライン攻撃やキーマテリアルを盗もうとする試みなど、その他の攻撃に対しては、リスクを軽減する追加の保護機能が必要です。

個人識別可能情報を保護する

従業員のラップトップに保存された個人識別可能情報 (PII) を外部の脅威から保護する必要があり、リスク評価によって通常の難易度の攻撃に対して保護は十分であるとわかった場合は、TPM と PIN を使用する BitLocker を選択することができます。このソリューションにおいて、主に部外者からのリスクにさらされており、追加のリスク軽減機能が必要とされるのは、保護されていないスタンバイまたはスリープモードでコンピュータが放置されている場合です。このリスクは、グループポリシーまたはレジストリ設定を調整するスクリプトで軽減できます。

PII を保護する必要があり、TPM を使用する BitLocker が利用不可の環境では、Microsoft 暗号化ファイルシステムアシスタントツール (EFS アシスタント) と組み合わせた EFS の展開を検討する必要があります。このオプションは、難易度が低い多くの攻撃に対処するために役立ちます。さらにセキュリティを強化したい場合は、スマートカードを使用する EFS の利用を必須にして、認証要素を追加することができます。

ただし、ソフトウェアキーストレージを使用する EFS を展開する場合、EFS で保護されるデータのセキュリティは、ユーザーのログオン方法に左右されることを忘れないでください。強度の低いログオンパスワード、共有のコンピュータアカウント、またはその他のセキュリティの脆弱性により、EFS のセキュリティが低下する可能性があります。EFS を展開すると共にこれらの脆弱性を軽減する必要があります。

極めて機密性の高いデータを保護する

部内者と部外者の両方に対して最も強固なセキュリティ保護が必要とされる組織では、このガイドで説明しているように、BitLocker と EFS を組み合わせたソリューションにより、中程度から非常に難易度が高い攻撃に対して、保護機能を確立することができます。たとえば、キースペースサイズに対して特別な制限または要件が組織にある場合、EFS の調整可能なキー長と BitLocker によるボリューム全体の暗号化機能を組み合わせることで、広範な脅威を効果的に軽減することができます。

ページのトップへ

結論

このガイドで説明した BitLocker と EFS の 2 つは異なるテクノロジですが、どちらもデータの暗号化を補完するものです。 EFS はユーザー単位でファイルとフォルダのデータを保護し、BitLocker は Windows Vista コンピュータ上のシステムボリュームに対するボリューム全体の暗号化機能を提供します。 BitLocker では、起動前の整合性チェックと暗号化が可能で、広範なオフライン攻撃に対してシステムボリュームが保護されますが、ユーザー認証機能は利用できません。 EFS は、暗号化されたファイルへのアクセスを、実行中のコンピュータで適切に認証されたユーザーのみに制限することで BitLocker を補完します。

この『セキュリティ分析』ガイドでは、BitLocker と EFS を利用して広範なセキュリティリスクを軽減する方法を説明しました。組織にある実際のリスクと、このガイドで説明したその軽減方法を慎重に評価すれば、機密データに対して必要な保護を提供するテクノロジとオプションの組み合わせを選択できるようになります。