データプライバシーと組織のセキュリティを確保する方法

F5エコシステム | 2021年1月28日

本日1月28^日は、米国、カナダ、イスラエル、およびこの日を記念するEU加盟47か国で「データプライバシーデー」（欧州連合では「データ保護デー」）として知られています。

プライバシー、特にデータプライバシーは極めて重要です。実際、150を超える国の憲法で「プライバシーの権利」が言及されています。また、国連の世界人権宣言にも明記され、欧州人権条約でも保護されています。EUの一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）をはじめ、多くの国、地域、州でさまざまなプライバシー規制が制定されています。

データプライバシーデーは、ユーザーとその個人情報のプライバシーを保護する重要性について、企業と消費者の意識を高めることを主眼としています。また、企業と消費者がユーザーの個人情報をより適切に管理、制御できるよう、啓発を行い、ツールの開発を促進することも目的としています。さらに、GDPRやCCPAなど、既存のプライバシー関連法規制への準拠を強化することも目指しています。国際機関や各国の政府機関、省庁、評議会に加え、教育機関や業界団体も、消費者とユーザーのデータプライバシーをより適切に保護する方法について議論を始め、または継続する機会として、データプライバシーデーを位置付けています。

実践への取り組み

保存中か転送中かを問わず、消費者やユーザーのデータのプライバシーを強化するうえで、暗号化は最も広く利用されている効果的な方法の1つです。消費者やユーザーのデータとその転送方法を暗号化することは、個人を特定できる情報の機密性を維持するために不可欠です。

現在、暗号化は広く普及しています。ユーザーとデータのプライバシーへの関心が高まったことで、暗号化トラフィックが急増しました。また、オンラインセキュリティを向上させ、ユーザー、消費者、企業にメリットをもたらすため、現在では多くのベンダーが無料または低価格の証明書を提供しています。つまり、Web全体を暗号化しようとしているのです。F5 Labsによると、Webページ読み込みの86%がSSLまたはTLSで暗号化されるようになっています。また、現在の暗号化されたWebトラフィックの96%以上で、Advanced Encryption Standard（AES）暗号が使用されています。前述のGDPRやCCPAなどのプライバシー規制および要件の多くは、ユーザーデータや個人データの暗号化を義務付けてはいませんが、暗号化の導入を後押ししています。ただし、多くの組織は、こうした規制や要件に抵触しないよう、ユーザーデータや通信を暗号化しています。

避けられないデメリット

暗号化は、ユーザーとそのデータのプライバシー保護に非常に有効です。しかし同時に、ユーザーと企業の双方に深刻なジレンマをもたらす問題もあります。攻撃者やハッカーも、マルウェアやランサムウェアなどの攻撃ベクトルを隠すために暗号化を好んで利用するからです。残念ながら、暗号化によってセキュリティ上の死角が生じます。

たとえば、フィッシングやスピアフィッシングのキャンペーンで使われる不正なWebサイトでは、本物らしく見せるためにHTTPSを使用するケースが増えています。これは、疑うことを知らないユーザーをだまして、マルウェアに感染したリンクをクリックさせたり、本物そっくりの偽ログインページにユーザー名とパスワードを入力させたりするためです。さらに、アドレスバーに表示される小さな南京錠のアイコンを、安全でセキュアなWebサイトの証しだと思い込んでいるユーザーさえ欺きます。F5 Labsによると、現在、フィッシングサイトの72%が暗号化を使用しています。さらに深刻なのは、攻撃者やハッカーなどの悪意ある者が、脅威を隠すために暗号化を使用しているだけではないことです。暗号技術によって得られるプライバシーを悪用し、マルウェアやフィッシングサイトを含む特定の攻撃キャンペーンを被害者1人につき1回だけ使用することで、事後フォレンジックによる検出も回避しています。

フィッシングは、人間の心理を突き、ソーシャルエンジニアリングや誤情報、偽情報を利用するため、防御が非常に困難な攻撃です。恐怖など、人間の本質や感情につけ込みます。これは特に、新型コロナウイルス感染症のパンデミック下で顕著でした。攻撃者はこのことを理解し、悪用しています。F5 Labsは、調査により、「covid」または「corona」という単語を含む新しいHTTPS証明書が、COVID-19の感染者数の急増と同時期に増加していたことを明らかにしました。世界保健機関（WHO）や米国疾病予防管理センター（CDC）など、広く知られた保健医療機関でさえ、攻撃者による標的型フィッシングキャンペーンでなりすましの対象となっており、現在もその状況は続いています。こうしたキャンペーンでは、被害者を悪意のあるドメインに誘導してマルウェアなどの悪意のあるプログラムをダウンロードさせたり、偽のログインページにユーザー認証情報を入力させたりしようとします。

対策としてできること

では、今日の組織は、さまざまな攻撃や侵害から自らを守りながら、ユーザーや消費者のデータおよび個人情報のプライバシーをどのように保護できるのでしょうか。

組織は、日々大量に発生する受信と送信の暗号化トラフィックを大規模に復号できるソリューションを導入する必要があります。現在の暗号化トラフィック量、ユーザーおよび消費者のデータプライバシーを確保する必要性、さらに復号と再暗号化に多大な計算処理が必要であることを考えると、既存のセキュリティソリューションにセキュリティ対策とトラフィックの復号・再暗号化という二重の役割を担わせるのは適切ではありません。過負荷状態で稼働し続けるセキュリティデバイスは、暗号化トラフィックを検査せずに通過させたり、本来の導入目的であるセキュリティ機能を果たせなくなったりする可能性があります。

ユーザーおよび消費者のデータのプライバシーとセキュリティを確保し、プライバシーに関する規制や要件に抵触しないようにするため、組織は、金融情報や医療情報などの機密性の高いユーザーおよび消費者のトラフィックをインテリジェントに復号対象から除外できるソリューションを導入する必要があります。ただし、このようなトラフィックを無条件に通過させるのではなく、セキュリティスタック内の限定されたソリューションで検査する必要があります。これを実現するには、セキュリティスタック内のソリューションを静的なデイジーチェーンで接続するのではなく、動的なセキュリティサービスチェーンに組み込めるようにする必要があります。これにより、コンテキスト認識型ポリシーを活用し、受信した暗号化トラフィックを復号後に適切なセキュリティサービスチェーンへルーティングできます。

これはSSLオーケストレーションと呼ばれます。上記の説明から、組織のセキュリティを確保するだけでなく、ユーザーや消費者の情報が保護され、プライバシーが維持されていることを確認するうえでも、今日これが不可欠である理由をご理解いただけたのではないでしょうか。

F5 SSL Orchestratorの詳細については、こちらをクリックしてください。

注目のブログ記事

F5、NVIDIA Cloud Partnerリファレンスアーキテクチャで大規模なAI推論を高速化・保護

妥協のないAIモデルとエージェントのセキュリティ：F5によるCalypsoAIの買収で実現する、エンドツーエンドのAIランタイム保護

量子時代への備え：F5でPQCを有効化するための実践ガイド