保存状態のデータの暗号化は、エンタープライズ・サーバー上のサイバーセキュリティの重要な要素です。透過的なデータ暗号化（TDE）は、データベースベンダーがファイルレベルでデータを暗号化するために使用する技術です。TDE は、ドライブが盗まれたときや、攻撃者が侵害されたサーバーからファイルを抽出したときに、物理的な盗難時にデータを保護します。これは、データ保護戦略におけるセキュリティのさらなる層です。
TDE とは
TDE は、データベース用のファイルレベルの暗号化の一種です。データベース・システムは対称キーを保存し、ドライブに書き込まれたデータを暗号化し、データの取得時にデータを復号化します。また、データベース・サーバー上で行われたバックアップやトランザクションの追跡に使用されるログ・ファイルを暗号化します。
保存時にデータが暗号化されると、ファイルは保存前に暗号化され、システムが取得したときに透過的に復号化されます。TDE は保存状態のデータのみを保護するため、管理者は転送中のデータも暗号化する必要があります。つまり、データベースから別の場所に転送されるデータは、TDE 構成とは独立して暗号化する必要があります。ファイルが盗まれると、対称キーにアクセスできないため、TDE は高度なサイバーセキュリティとデータ保護のための実行可能な戦略です。
SQL における TDE とは？
Microsoft は、エンタープライズ・データを保護するために TDE を組み込んだデータベース開発者です。TDE で動作するように Microsoft SQL Server を構成すると、データベースは証明書を生成し、マスター・データベースに保存します。証明書は対称キーを暗号化するために使用されます。対称キーは、ディスクに格納されたデータや、取得されてメモリに保持されたデータを暗号化するために使用されるため、抽出された場合は読み取り不能になります。
データの暗号化と復号化のプロセス全体は、データベース・クエリを処理する管理者やユーザーにとって透過的です。TDE は、ストレージおよび取得ワークフローで暗号化ステップを追加しても、性能に影響しません。対称キー暗号化は一般的に高速で、性能や生産性を妨げません。
Amazon などのベンダーは、Elastic Block Store（EBS）を使用しています。EBS は、ファイルレベルではなく、ブロック単位でデータを暗号化します。データは保存および取得時に暗号化されますが、データ・ファイルは暗号化されません。セキュリティの違いは、ファイルレベルの暗号化が物理的な盗難から保護することです。ファイルが侵害されたシステムから抽出された場合、TDE はファイルを暗号化し、攻撃者が使用できなくなります。
人気の DBMS における TDE の例
Microsoft は SQL Server データベース製品に TDE を使用していますが、TDE は他のベンダーのデータベース・アプリケーションにも組み込まれています。IBM は Db2 データベース・ソフトウェアで TDE を使用しています。また、Oracle は、10g および 11g データベース・アプリケーションの高度なセキュリティ・オプションとして TDE を使用しています。3 社全てのベンダーは、使用前に TDE を有効にして設定する必要があります。
MySQL には TDE も組み込まれています。MySQL の TDE は、Microsoft SQL Server の TDE と同様に動作します。2 層暗号化プロセスでは、対称キーの暗号化に使用されるパブリックおよびプライベートの非対称キーが生成されます。対称キーは、データが保存および取得される際にデータを暗号化および復号化します。マスター暗号化キーは、管理者とデータベース・システムのみがアクセスできる保管庫に格納されます。
TDE のメリット
保存状態のデータとは、デバイスに保存されるあらゆる情報をさします。転送中のデータの形式とは逆で、あるデバイスから別のデバイスに転送されたデータや、別の場所に移動したデータをさします。保存状態のデータは転送中のデータと異なるため、データ保護とサイバーセキュリティのための独自の戦略が必要です。
コンプライアンス規制によっては保存状態のデータ暗号化が義務付けられています。その好例が、医療保険の相互運用性と説明責任に関する法律（HIPAA）です。HIPAA は、特に患者情報を保存するサーバーやワークステーションにおいて、保存状態のデータを保護するための厳格な規制を定めています。インフラが、業界や決済ワークフローを監督する規制基準に準拠していることを確認します。
Microsoft は、SQL Server データベース・エンジンと TDE をシームレスに統合します。ユーザーと管理者は、操作性、性能、SQL Server のクエリへの応答方法に違いはありません。管理者は、手動でバックアップ・ファイルを暗号化することなく、ファイルをバックアップ場所に移動し、コンプライアンスとデータ保護のベスト・プラクティスに従うことができます。
TDE を使用しない理由
暗号化ワークフローは、環境の複雑さを増すため、一部の管理者は使用を躊躇するかもしれません。TDE は、エンタープライズ・クエリを処理するハードウェアを備えたモダン・サーバーの性能を妨げませんが、古いハードウェアのクエリの性能を妨げている可能性があります。暗号化されたデータには、ストレージ容量の追加も必要であり、ストレージ容量は、企業がより多くのデータを取得するにつれて拡張する必要があります。
TDE は、ディスクに保存されたファイル全体を暗号化するため、管理者はセルレベルや列レベルの暗号化をきめ細かく制御できません。全てのディスク I/O アクティビティは暗号化されているため、SQL Server データベースでは「オール・オア・ナッシング」の機能です。SQL Server は、セルレベルまたは列レベルの暗号化も提供するため、管理者は特定のフィールドや情報の暗号化をよりきめ細かく制御できます。
FlashArray は、性能を損なうことなく、使いやすい AES-256 標準の保存データ暗号化を提供します。詳細は、こちらのホワイトペーパーをご覧ください。 >>
まとめ
暗号化は、データ保護において特にクラウドでデータをホストする場合に重要です。管理者は、SQL Server データベースを手動で構成してファイルを暗号化できます。これらのファイルのバックアップとログは、TDE が有効になると自動的に暗号化されます。データベースのコンプライアンスを監督する場合、TDE は機密データのファイルレベルの暗号化を必要とする一般的な規制を遵守します。
ストレージ・レイヤーは SQL の性能を抑制していますか？ ピュア・ストレージのオールフラッシュ・ストレージ・ソリューションが、SQL Server の展開の性能を向上させます。
