暗 号 化 の 要 点 とトークナイ ゼーションに 向 けたロードマップ (PCI DSS 要 件 3 審 査 範 囲 縮 小 ) EMCジャパン 株 式 会 社 RSA 事 業 本 部 マーケティング 部 シニア マーケティング プログラム マネージャー 関 真 (makoto.seki@rsa.com) 2012 年 7 月 25 日 1
キーワード 多 重 的 セキュリティ データ 保 護 へのロードマップ 暗 号 化 エンタープライズ 鍵 管 理 トークナイゼーション 実 績 のRSA DPM 2
ポリシー 監視 認証 監査 データ 保護 検出 アクセス管理 ログ解析 セキュリティ教育 3
1 暗 号 化 2 エンタープライズ 鍵 管 理 3 トークナイゼーション 必 要 なデータ 保 護 へのロードマップ 4
ステップ1: 暗 号 化 5
どこで 暗 号 化 するか? 保 護 範 囲 レベル アプリケーション ベース DB/ ファイル ベース ホスト ベース ファブリック ベース ストレージ ベース データベース LAN SAN ストレージ クライアント サーバー スイッチ バックアップ 機 密 データの 流 れ 6
各 暗 号 化 手 法 と 特 徴 ホストベース アプリケーションベース サーバー 上 でデータを 暗 号 化 データ 暗 号 化 を 行 うソフトウエアを 使 用 ネットワーク 上 のトラフィックは 暗 号 化 サーバーのCPUを 消 費 Data ストレージベース ストレージデバイスでデータを 暗 号 化 システムに 影 響 を 与 えない ネットワーク 上 のトラフィックは 暗 号 化 されない データ 書 き 込 み/ 読 み 取 り 時 のパフォーマンスを 要 考 慮 Data Data ファブリックベース 暗 号 化 機 能 付 きのSANスイッチでデータを 暗 号 化 システムに 影 響 を 与 えない ストレージ 機 種 混 在 環 境 に 対 応 可 (ディスク テープ) スイッチ-ストレージ 間 のトラフィックは 暗 号 化 Data SAN Data 7
セキュリティ 効 果 vs 導 入 時 の 複 雑 さ 高 度 なセキュリティは アプリケーションレベルでのデー タ 保 護 によってのみ 可 能 セキュリティ アプリケーション データベース ファイル メディア 導 入 時 の 複 雑 さ より 高 度 なセキュリティには より 複 雑 な 設 計 構 築 作 業 が 伴 う セキュリティ 効 果 と 導 入 時 の 容 易 さ/ 複 雑 さはトレードオフ 2009 年 1 月 に 最 大 規 模 のカード 情 報 漏 洩 事 故 を 起 こし た(1 億 件 ~6 億 件 ) 決 済 代 行 大 手 の 米 Heartland Payment Systemsは カードデータが 入 力 された 時 点 で 暗 号 化 しなければ データ 漏 洩 の 再 発 を 防 ぐことはで きない そうすれば 暗 号 化 されていないカードデータ がネットワーク 上 を 流 れることはなくなる と 述 べていま す Source: BusinessWeek July 6th 2009 8
RSA Data Protection Manager (DPM) アプリケーション 暗 号 化 とその 鍵 管 理 注 目 機 密 データ PAN RSA DPM 6011 2548 5246 7563 アプリケーション 暗 号 KJaSA^)(#E&HLgh rs$lja(*&gfbe$%ic 暗 号 化 アプリケーション 上 での 機 密 データの 暗 号 化 およ び 暗 号 鍵 の 中 央 集 中 ライフサイクル 管 理 9
ステップ2: エンタープライズ 鍵 管 理 10
どこで 暗 号 鍵 の 管 理 をするか? アプリケーション ベース DB/ ファイル ベース ホスト ベース ファブリック ベース ストレージ ベース データベース LAN SAN ストレージ クライアント サーバー スイッチ バックアップ それぞれ 暗 号 鍵 の の 場 所 で 暗 号 鍵 の 暗 安 管 理 が 分 号 全 鍵 な を生 成 と 受 け 渡 し 断 複 雑 に 管 理 暗 号 鍵 の ライフサイ クル 管 理 が 困 難 暗 号 鍵 が 暗 号 化 し 古 くなり 脅 暗 威 号 にさらさ 鍵 のライフサイクル た 意 味 管 理 と 保 存 れる がない 11
RSA Data Protection Manager (DPM) エンタープライズ 鍵 管 理 注 目 機 密 データ PAN RSA DPM その 他 様 々な 暗 号 化 6011 2548 5246 7563 ストレージ テープ DBな どの 暗 号 化 / 統 合 鍵 管 理 アプリケーション 暗 号 KJaSA^)(#E&HLgh rs$lja(*&gfbe$%ic 暗 号 化 アプリケーション 上 での 機 密 データの 暗 号 化 およ び 暗 号 鍵 の 中 央 集 中 ライフサイクル 管 理 12
幅 広 い 機 器 にDPMクライアントを 事 前 に 組 み 込 んでいます RSA Data Protection Manager Virtual Desktops and Servers BusTech Virtual Tape Library Oracle Retail Point of Sale Database Encryption 様 々な 暗 号 化 機 器 との 事 前 統 合 により 企 業 内 の 暗 号 鍵 を 一 元 管 理 KMIP 1.0 EMC Backup to Disk EMC Symmetrix Encryption EMC PowerPath Encryption Connectrix Encryption Switch Encryption Futures Tokenization トークナイゼーション Application Encryption Native Tape Encryption (Sun, Quantum) Celerra (NAS) Encryption VNX Host Encryption 13
ステップ3: トークナイゼーション 14
トークナイゼーションとは トークナイゼーション(Tokenization)とは PANを トーク ン と 呼 ばれる 代 替 えの 値 に 変 換 するプロセスの 事 を 言 い ます(トークン 化 とも 言 う) また デ トークナイゼーション (De-Tokenization)は その 逆 で トークンから 対 応 した PANを 取 得 するプロセスのことを 言 います(デトークン 化 と も 言 う) PAN( 機 密 データ) 6011 2548 5246 7563 トークナイゼーション (Tokenization) デ トークナイゼーション (De-Tokenization) トークン 6011 5872 6325 5564 PCI DSS トークナイゼーション ガイドライン 1.3 Introduction to Tokenization より 15
暗 号 化 データとトークン 化 データ PANデータを 含 む 暗 号 化 技 術 と 含 まないトークナイゼーションのイメージ PAN 暗 号 化 6011 2548 5246 7563 トークン 化 6011 2548 5246 7563 6011 5872 6325 5564 数 学 的 関 係 性 あり データ 形 式 変 更 あり 数 学 的 関 係 性 なし データ 形 式 変 更 なし 16
トークナイゼーションの 一 般 的 な 特 徴 PCI DSSの 審 査 範 囲 を 縮 小 可 能 (コスト 削 減 ) セキュリティ 能 力 を 向 上 (PANの 散 在 を 防 ぎ PANを 集 中 管 理 ) 既 存 システムへの 影 響 が 最 小 限 (データタイプ 変 更 無 し) 業 務 プロセス 上 の 運 用 メリット (クレジットカードの 下 4 桁 を 保 持 など) PAN 以 外 の 様 々な 機 密 データにも 対 応 ( 柔 軟 なトークンフォーマット) 17
PCI DSS トークナイゼーション ガイドライン 審 査 範 囲 (スコープ)の 例 トークンを 保 持 せず CDEからセグメント 化 された 環 境 アプリケーション トークン トークンを 保 持 し トークンからPANを 取 得 できる 環 境 トークン アプリケーション トークン スコープ 外 スコープ 内 PAN トークナイゼーションと 関 係 は ないがCDEに 接 続 された 環 境 トークンは 保 持 するが CDEからセグメント 化 された 環 境 トークン PAN アプリケーション アプリケーション トークン トークナイゼーション システム トークン スコープ 外 PAN スコープ 内 スコープ 内 各 環 境 におけるCDEの 最 終 的 な 評 価 については QSA 様 に ご 相 談 いただく 必 要 があります 18
注 意! 支 払 手 段 として 使 用 可 能 なトークン High-value Token" ( 高 価 値 トークン) もし トークンがカード 取 引 においてPANの 代 わりに 使 用 できたら もはやトー クンはPANなのでは? ご 参 考 支 払 手 段 として 使 用 可 能 なトークン High-value Token 高 価 値 トークン 犯 罪 者 にとって 収 益 源 になりえたり 不 正 トランザクションを 実 行 できる 可 能 性 あり 犯 罪 者 のターゲットになり 得 る PANを 直 接 取 得 することができない 環 境 においても カード 支 払 処 理 が 可 能 セキュリティ 上 の 黄 色 信 号! PCI DSSの 審 査 対 象 となる 可 能 性!? 4.1 Tokens as Payment Instruments より より 全 体 セキュリティを 考 えた 信 頼 出 来 るデータ 保 護 の 導 入 が 必 須 19
RSA Data Protection Manager (DPM) トークナイゼーション (ガイドライン 準 拠 済 ) 利 用 環 境 および 目 的 に 応 じて 暗 号 化 とトークナイゼーションの 両 方 が 完 全 統 合 された 環 境 で 利 用 可 能 強 力 で 柔 軟 なデータ 保 護 が 可 能 注 目 機 密 データ PAN RSA DPM その 他 様 々な 暗 号 化 6011 2548 5246 7563 ストレージ テープ DBな どの 暗 号 化 / 統 合 鍵 管 理 アプリケーション 暗 号 KJaSA^)(#E&HLgh rs$lja(*&gfbe$%ic 暗 号 化 アプリケーション 上 での 機 密 データの 暗 号 化 およ び 暗 号 鍵 の 中 央 集 中 ライフサイクル 管 理 トークン トークナイゼーション 6011 5872 6325 5564 アプリケーション 上 での 機 密 データの 差 し 替 え (トークナイゼーション)およびトークン 化 された データの 中 央 集 中 ライフサイクル 管 理 20
RSA DPMの 特 徴 まとめ 高 信 頼 性 の 統 合 データ 保 護 ソリューション 柔 軟 強 力 実 績 のある 統 合 データ 保 護 ソリューション RSAの 実 績 ある 暗 号 化 / 鍵 管 理 にトークナイゼーションをシームレスに 統 合 PCI DSSのトークナイゼーション ガイドラインに 全 て 対 応 ワールドワイドでのノウハウを 蓄 積 大 規 模 環 境 における 実 績 多 数 いち 早 くサービス 化 (2009 年 11 月 ) 製 品 化 (2010 年 11 月 ) 順 次 バージョンアップ 幅 広 い 機 器 をサポートするエンタープライズ 鍵 管 理 事 前 インテグレーションおよびKMIP 対 応 により 実 現 ポリシーベースによる 暗 号 鍵 およびトークン 両 方 の 自 動 ライフサイクル 管 理 柔 軟 な 導 入 形 態 ソフトウェア 版 アプライアンス 版 仮 想 アプライアンス 版 を 提 供 暗 号 化 とトークン 化 の 両 方 を 利 用 可 能 (ハイブリッド データ 保 護 ) 実 績 ある 導 入 支 援 サービスを 利 用 可 能 21
N E X T トークナイゼーションの 全 体 と 注 意 点 を 理 解 したい PCI DSS トークナイゼーション ガイドライン 解 説 させていただきます トピック: トークン 化 とは トークン フォーマット 判 別 可 能 なトークンの 注 意 2つのトークンの 利 用 形 式 機 能 コンポーネント 処 理 オペレーション 3つのトークン 生 成 方 法 審 査 範 囲 の 考 え 方 審 査 範 囲 縮 小 のための 推 奨 事 項 セキュリティ 検 討 事 項 3つの 導 入 方 法 協 力 会 社 との 責 任 分 担 高 価 値 トークンの 注 意 リスクの 理 解 使 用 時 間 : 1 時 間 ~1 時 間 半 程 度 とりあえず 追 加 資 料 を 見 たい PCI DSS 解 説 冊 子 プレゼントさせていただきます トピック: PCI DSS 2.0 解 説 トークナイゼーション ガイドライン 解 説 月 刊 消 費 者 信 用 2011 年 2 月 号 3 月 号 2012 年 5 月 号 掲 載 お 声 掛 けください! その 他 も 聞 いてみたい トピック: PCI DSSを 考 えた 全 体 セキュリティ 暗 号 化 / 鍵 管 理 サイバー 攻 撃 対 策 マルウェア 感 染 システム 発 見 サービス 仮 想 デスクトップ 認 証 などなど 22
trust in the digital world ありがとうございました 23