全7354文字

 「BYOK」という、あまり耳慣れない言葉への関心がにわかに高まりつつある。機微性の高い情報を取り扱う際に必要とされる技術だ。

 背景にあるのはクラウド事業者によるデータの取り扱いに対する懸念だ。2021年3月にはメッセージサービス「LINE」のアプリ利用者の個人情報が、運営企業であるLINEの中国にある関連会社から閲覧できたことが判明。多数の地方自治体がLINEの利用を停止するなど波紋が広がった。こうした問題を根本的に解決するには、保存されているデータをクラウド事業者が閲覧できなくする仕組みが求められる。それを実現するのがBYOKだ。

 BYOKは政府クラウドや公共機関などを中心に導入する動きが見られる。例えばデジタル庁の前身組織である内閣官房情報通信技術(IT)総合戦略室は「ガバメントクラウド」のセキュリティーを担保する技術として、BYOKを「最新かつ最高のデータ保護策」を実現するために必要な技術と位置付けた(図1)。

図1●政府情報システムにBYOK
図1●政府情報システムにBYOK
政府情報システムの共通基盤となる「ガバメントクラウド」において、BYOKなどを導入する動きが見られる。内閣官房情報通信技術(IT)総合戦略室が2021年8月に開催した「デジタル庁創設に伴う記者勉強会」配布資料から抜粋。
[画像のクリックで拡大表示]

暗号鍵をユーザー企業が管理

 BYOKを直訳すると「自身の鍵を持ち込む」となる。持ち込む先はクラウドサービスだ。すなわちBYOKとは、IaaSやSaaSなどのクラウドサービスを利用する際に、利用者が自分で用意した鍵を適用してデータを暗号化して保存する仕組みである(図2)。

図2●利用者が用意した鍵を使ってデータを暗号化
図2●利用者が用意した鍵を使ってデータを暗号化
BYOKは利用者が用意した鍵からデータの暗号化用の鍵を生成。これを使ってデータを暗号化する。BYOKを使わない場合、クラウド事業者が用意した鍵を使って暗号化する。
[画像のクリックで拡大表示]

 通常、クラウドサービスではIaaSであればディスク全体を、データベースなどのSaaSであればデータを暗号化して保存する。その際、暗号化に利用する鍵はクラウド事業者が用意する。復号の際も同様にクラウド事業者が用意した鍵を使う。

 クラウド事業者は、鍵の保管場所を他のデータとは別にして取り出しづらくしたり、ログを取得して鍵へのアクセス履歴を監視したりして、内部不正を防いでいる。

 だが運用による対策では、クラウド事業者が鍵にアクセスしてデータを復号し、利用者のデータを読み取ることを本質的に防げない。

 クラウド事業者が利用者のデータを読み取れる可能性があるということは、データの中身が機微なものになるほど、重要な意味を持つ。例えば国防関連のデータを、技術的には読み取ることができる海外ベンダーのクラウドに保管することは、多くの国や企業が危険だと考えるだろう。

 それに対しBYOKはクラウドの利用者が、自ら準備した鍵をデータ暗号化のプロセスに取り込む。暗号化プロセスの大元となる鍵を利用者が準備し、それを基にデータの暗号化を利用者自ら管理できる。