とっておきのセキュリティの秘密: Cloud EKM がクラウドの信頼性に関するパラドックスの解決にどのように役立つか

※この投稿は米国時間 2022 年 10 月 18 日に、Google Cloud blog に投稿されたものの抄訳です。

クラウド コンピューティングの進化に伴い、組織は、データの制御をさらに強化し、クラウド サービスの透明性をさらに高めることを望むようになってきました。その背景には、政府の政策、業界の規則、地政学的な考慮事項などのさまざまな理由があります。Google Cloud でこのような水準の制御と透明性を達成する最適なツールの一つが、Cloud External Key Manager（EKM）と呼ばれるマジックのような技術です。

Cloud EKM は、クラウドに保存されたデータを、サードパーティの鍵管理システムで保存、管理されている暗号鍵で保護できるようにします。このシステムは Google Cloud のインフラストラクチャの外部にあり、Google の管理は及びません。これにより、暗号鍵とクラウドに保存されたデータの完全な分離を実現できます。Cloud EKM は対称暗号鍵と非対称暗号鍵のどちらにも対応しており、また使用する鍵の種類をきめ細かく制御できる組織のポリシーを提供しています。また、Key Access Justification（KAJ）を介して、クライアントが鍵を使用するごとに制御する方法も用意されています。

仕組み

Cloud EKM のドキュメントに記載しているように、サポートされている外部の鍵管理パートナーで管理対象の鍵を使用して、Google Cloud 内のデータを保護できます。保存データを保護するには、CMEK をサポートしているサービスを利用するか、Cloud Key Management Service API を直接呼び出します。

Cloud EKM には、次のような利点があります。

• 鍵の来歴: 外部管理する鍵の場所と分布を制御できます。外部管理する鍵が Google Cloud 内にキャッシュまたは保存されることはありません。Google はこれらを表示できません。代わりに、Cloud EKM はリクエストごとに外部の鍵管理デバイスと直接やり取りします。

• アクセス制御: 外部管理する鍵へのアクセスを管理します。外部管理する鍵を使用して Google Cloud のデータを暗号化または復号するには、その鍵を使用するためのアクセス権を Google Cloud プロジェクトに付与する必要があります。付与したアクセス権の取り消しはいつでも可能です。

• 一元化された鍵管理: 保護対象のデータがクラウド上にあるか施設内にあるかにかかわらず、鍵とアクセス ポリシーを 1 つの場所とユーザー インターフェースで管理できます。鍵を管理するシステムは、完全に Google の管理外にあります。

いずれの場合でも、鍵はすべて外部システムに存在し、Google に送信されることはありません。

詳細は次のとおりです。

1. サポートされる外部鍵管理パートナー システムで既存の鍵を作成または使用します。この鍵には一意の URI があります。

2. 外部の鍵管理パートナー システムで Google Cloud プロジェクトに鍵を使用するためのアクセス権を付与します。

3. Google Cloud プロジェクトで、外部管理する鍵の URI を使用して Cloud EKM 鍵を作成します。

クラウド EKM 鍵と外部鍵管理パートナー鍵は連携してデータを保護します。外部鍵は Google に公開されることはなく、Google 社員がアクセスすることはできません。さらに、Cloud EKM は Key Access Justifications（KAJ）と連携して、データアクセスに対する暗号化制御を確立できます。

Cloud EKM で KAJ を使用することで、通常であればお客様が制御できない状況（サービスの停止や第三者によるデータ リクエストに対するレスポンスなど）においても、理由を問わず、Google Cloud 管理者によるお客様の保存データへのアクセスを拒否できるようになります。KAJ は、データが復号される明確な理由をお客様に開示することでこれを実現します。お客様はこの機能を利用して、復号とデータ アクセスの許可または拒否をプログラムを使って決定できます。

以前、鍵をクラウドから遠ざけることが本当に必要な場合、またはクラウドベースでの鍵管理よりもメリットが大きい場合について、3 つのパターンをご紹介しました。ここでは、Cloud EKM がこれらの Hold Your Own Key のジレンマの解決に役立つ 3 つのシナリオの概要を簡単に説明します。

シナリオ 1: クラウドに移行しにくいデータ

組織がデータ処理ワークロードをクラウドに移行してデジタル トランスフォーメーションを完了する場合、クラウドに移行できないデータプールが存在することがよくあります。たとえば、極めて機密性の高いデータ、厳しく規制されているデータ、内部の厳格なセキュリティ管理要件が存在するデータなどです。

金融、ヘルスケア、製造などの厳しく規制されている組織では、さまざまなリスク、コンプライアンス、ポリシー上の理由により、データの一部をパブリック クラウド プロバイダに送信することが困難になる場合があります。それでも、企業はこうしたデータセットをできるだけ暗号化してクラウドに移行し、複数の暗号鍵を単独で所有したいと考えているかも知れません。

シナリオ 2: 地域における規制と懸念

企業がどのようにクラウドに移行するか、またパブリック クラウドでワークロードをどのように運用するかを決定する際、特定地域の要件が果たす役割が大きくなってきています。

組織によっては、ある国に拠点を置いていて、別の国に拠点を置くクラウド プロバイダを利用したいが、保存データの暗号鍵にプロバイダがアクセスできるようにすることに懸念があったり、法的に許可されないという状況にすでに直面しています。ここでの状況はさらに多様で、進化する規制要件や業界固有の規制の先手を打ちたいという組織の要望もその一つです。

最終的には、このシナリオでは、企業は物理的および管理的コントロールの下、任意のロケーションに暗号鍵を保管しつつ、Google Cloud を活用することが可能になります。

シナリオ 3: 暗号鍵の一元管理

ここでの焦点は、業務の効率化です。クラウドとオンプレミスの複数の環境に対応するすべての鍵を 1 つのシステム内に保持することで、オーバーヘッドと攻撃対象を削減して、セキュリティを向上させることができます。Gartner の調査担当者がレポート「Develop an Enterprisewide Encryption Key Management Strategy or Lose the Data（企業規模の暗号鍵管理戦略を策定してデータの損失を回避）1」で結論付けているように、組織は鍵管理ツールの数を減らすことが奨励されています。

「環境内に展開されているサードパーティの暗号化ソリューションの数を最小限に抑えることで、組織は暗号化のセンター オブ エクセレンスの確立に集中できます」と、Gartner の調査担当者は述べています。

暗号化を必要とするワークロードに対して、100% クラウドベースの企業は現在少数であることから、鍵をオンプレミスに保持することは、鍵管理の合理化につながります。鍵管理を一元化すると、一元的な場所でクラウド ユーザーに鍵へのアクセスと保存データへのアクセスに関するポリシーを適用できると同時に、単一の鍵セットで管理の複雑さを軽減できます。適切なセキュリティと冗長性を備え、正しく実装されたシステムが 1 つあれば、複数のシステムを用意する必要性は低くなります。

Cloud EKM が必要かどうか

極めて機密性の高いデータの保護、地政学的な問題や地域特有の問題に対処するための主要なコントロールの維持、ハイブリッドやマルチクラウドのアーキテクチャのサポートのいずれが目的であっても、Cloud EKM は、暗号鍵をクラウドから切り離し、常にフル コントロール下におく必要がある Google Cloud のお客様に最適です。

Cloud EKM の詳細については、以下のリソースをご覧ください。

• Google Cloud ユーザーが Cloud EKM からメリットを得られる理由を説明する Google の調査

• Cloud EKM の最新情報

• クラウドの信頼性に関するパラドックスについて詳しく考察する

^{1. Gartner、「Develop an Enterprisewide Encryption Key Management Strategy or Lose the Data（企業規模の暗号鍵管理戦略を策定してデータの損失を回避）」、David Mahdi、Brian Lowans、2022 年 3 月}

- Google Cloud、CISO オフィス シニア スタッフ コンサルタント Anton Chuvakin
- Google Cloud、セキュリティ編集者 Seth Rosenblatt