「BYOK（Bring Your Own Key）」という、あまり耳慣れない言葉への関心がにわかに高まりつつある。機微性の高い情報を取り扱う際に必要とされる技術だ。
背景にあるのはクラウド事業者によるデータの取り扱いに対する懸念だ。2021年3月にはメッセージサービス「LINE」のアプリ利用者の個人情報が、運営企業であるLINEの中国にある関連会社から閲覧できたことが判明。多数の地方自治体がLINEの利用を停止するなど波紋が広がった。
こうした問題を根本的に解決するには、保存されているデータをクラウド事業者が閲覧できなくする仕組みが求められる。それを実現するのがBYOKだ。
BYOKは政府クラウドや公共機関などを中心に導入する動きが見られる。例えばデジタル庁の前身組織である内閣官房情報通信技術（IT）総合戦略室は「ガバメントクラウド」のセキュリティーを担保する技術として、BYOKを「最新かつ最高のデータ保護策」を実現するために必要な技術と位置付けた。
暗号鍵をユーザー企業が管理
BYOKを直訳すると「自身の鍵を持ち込む」となる。持ち込む先はクラウドサービスだ。すなわちBYOKとは、IaaS（Infrastructure as a Service）やSaaS（Software as a Service）などのクラウドサービスを利用する際に、利用者が自分で用意した鍵を適用してデータを暗号化して保存する仕組みである。
通常、クラウドサービスではIaaSであればディスク全体を、データベースなどのSaaSであればデータを暗号化して保存する。その際、暗号化に利用する鍵はクラウド事業者が用意する。復号の際も同様にクラウド事業者が用意した鍵を使う。
クラウド事業者は、鍵の保管場所を他のデータとは別にして取り出しづらくしたり、ログを取得して鍵へのアクセス履歴を監視したりして、内部不正を防いでいる。
だが運用による対策では、クラウド事業者が鍵にアクセスしてデータを復号し、利用者のデータを読み取ることを本質的に防げない。
クラウド事業者が利用者のデータを読み取れる可能性があるということは、データの中身が機微なものになるほど、重要な意味を持つ。例えば国防関連のデータを、技術的には読み取ることができる海外ベンダーのクラウドに保管することは、多くの国や企業が危険だと考えるだろう。
それに対しBYOKはクラウドの利用者が、自ら準備した鍵をデータ暗号化のプロセスに取り込む。暗号化プロセスの大元となる鍵を利用者が準備し、それを基にデータの暗号化を利用者自ら管理できる。
