ピュア・ストレージから学ぶストレージ・セキュリティ ─ 最高水準のデータ・セキュリティとゼロ管理

[05.26.2020 JST]
The Orange Ring – Tech セミナー第 14 回『ピュア・ストレージから学ぶストレージ・セキュリティ』の内容を抜粋してご紹介します。

澤藤高雅

5月 25, 2020

32分

はじめに

ピュア・ストレージ・ジャパンは、お客様のデジタル変革を支援する取り組みの一環として、技術セミナー「The Orange Ring – Tech」を開催しています。

現代の企業は、データによってビジネスと組織を成長させています。それに伴い世界各国で施行されているのが、個人のプライバシーを保護するための規制です。つまり、強力なデータ保護を実現することは、企業が存続していくために欠かせない取り組みなのです。

2019 年 12 月 13 日開催の第 14 回『ピュア・ストレージから学ぶストレージ・セキュリティ』セミナーでは、厳しいセキュリティ基準に適合したエンタープライズ・クラスのストレージ環境をピュア・ストレージがどのようにして実現しているのかを FlashArray のアーキテクチャをベースに、わたくし澤藤がご紹介しました。また、ゲスト・スピーカーとしてお招きした、タレスジャパンクラウドプロテクション&ライセンシングの畑瀬宏一氏に、両社の共同開発ソリューションによる暗号化技術とデータ削減技術（圧縮・重複排除）を両立する方法を解説していただきました。本稿では、当日の内容を抜粋してお届けします。

IT 脅威とセキュリティ・ガイドライン

企業のビジネス・モデルは、データを中心として急速な変化を続けています。そういった状況下で企業システムのセキュリティ要件はますます厳しくなり、対応を迫られる IT 部門・システム管理者の負担は増すばかりです。特に、データを保管する役割を担うストレージ環境において、近年の厳しいセキュリティ基準に適合するにはどうすればよいのでしょうか？また、どのようなストレージ製品がよいのでしょうか？

タレス社が 2019 年に発表した『データ脅威レポート』によると、アンケートに答えた企業のうちの 60％がデータ侵害を経験しており、30％が過去 1 年間に発生したと回答しました。国内でも、公的機関で使用されていたシステムのハードディスク転売・情報流出事件が記憶に新しいところです。私たちの気づかないところで、情報が漏れている…それが現実なのです。

また、IT の進化と利用拡大に伴い、個人情報の保護のガイドラインは年々厳しくなってきています。近年施行された代表的なガイドラインを以下に示します。

GDPR（EU 一般データ保護規則）：EU 内の全ての個人のためにデータ保護を強化し統合することを意図している規則
PCI-DSS（PCI データ・セキュリティ・スタンダード）：加盟店やサービス・プロバイダにおいて、クレジットカード会員データを安全に取り扱うことを目的として策定されたクレジットカード業界のセキュリティ基準
改正個人情報保護法：これまでの個人情報保護法から、対象範囲がほぼ全ての事業者へと改正された

データ保護は必須要件

近年施行されたセキュリティ・ガイドライン

このほかにも各国・地域、各業界でさまざまな規制が設けられており、グローバルで IT を活用するにあたって無視することはできません。

ピュア・ストレージの考えるデータ・セキュリティ理念

個人やビジネスの情報を保護するデータ・セキュリティは、世界中の組織にとって最も重要な懸念事項です。しかし、セキュリティを向上しようとすると、管理上のオーバーヘッドが発生してしまいがちで、非常に悩ましいジレンマ的問題です。組織はデータ保護と管理の複雑さに対応しながら、新しいプロセスやテクノロジーを全て比較検討していく必要があります。

ピュア・ストレージは、可能なかぎり最高の技術標準でデータを保護する必要があると考えています。そして、このセキュリティは “透過的” であること、この透過とはユーザーが目にすることなくデータが保護されている、すなわち、『ゼロ管理である』ということです。

また、高いレベルのセキュリティを実現することは、製品の複雑さとは異なります。ピュア・ストレージの FlashArray で保護しているデータは、基本的に全て暗号化されています。その暗号鍵は、Purity OS にビルトインされた内部プロセスで管理しています。つまり、ユーザーはストレージ内のデータ保護について悩む必要がなく、目の前の業務やビジネスに集中できるのです。

FlashArray//X 妥協のないセキュリティ

それでは、ピュア・ストレージが考えるセキュリティ理念を実際にどのように実現しているのか、セキュリティ・アーキテクチャの詳細を具体的に説明していきたいと思います。

Purity の暗号化は自動で働き、性能にも影響しない

ピュア・ストレージのストレージを管理する Purity OS には、Purity Secure と呼ばれるセキュリティ機構が標準で組み込まれています。FlashArray//X をベースにアーキテクチャを解説しましょう。

FlashArray//X のコンポーネント

FlashArray の冗長化されたコントローラはステートレス、つまり、設定やデータをいっさい含んでいないので安全です。コントローラ障害や交換は、データ損失には一切つながりません。

FlashArray に格納されたデータは、全て「AES-256」で暗号化されています。暗号化をオフにすることすらできません。常にインラインで処理され、性能に影響がありません。上述したような管理オーバーヘッドは発生せず、追加費用も不要です。

FlashArray のデータ保護機能は、IT セキュリティ評価基準である「コモンクライテリア（CC：Common Criteria）」の認定を受けています。スマートカードを用いる「Rapid Data Lock（即時ロック機能）」もオプションで追加可能です。さらに、「KMIP（Key-Management-Interoperability-Protocol）」を活用したキー管理にも対応しています。

FlashArray は、これらの厳しいセキュリティ基準に準拠しており、FlashArray 自体がエンタープライズ・クラスのデータ保護を提供できる透過的（ゼロ管理）なソリューションです。

動画：Data Security that’s Effortless

FlashArray//X 最高のセキュリティ基準に準拠

3 つの依存層の鍵で強固なデータ暗号化を実現

FlashArray のデータ・セキュリティ管理について、もう少し掘り下げてみましょう。ストレージに保存されているデータに関する潜在的な脅威として、次のようなものがあげられます。

不正な管理アクセス
データへの不正アクセス
不適切に使用されているフラッシュ・デバイス／NVRAM からのデータの回復
廃棄されたアレイからのデータのリカバリ

上記のうち 1 と 2 は、システム管理者の協力が必要な領域です。3 と 4 については、 FlashArray、Purity に任せることができます。

FlashArray の管理アカウントは、ロールベース（Role Based Access Controls：RBAC）で設定することができます。さらに、監査証跡情報（Audit Trail）機能を実装しており、Purity の GUI、CLI、Rest API についての細かな操作履歴が記録されています。

ストレージおよびアレイ管理者は、ボリュームの編集やホストへの接続といった管理を行うことはできますが、ボリューム内のデータの読み取り／書き込みの権限はありません。つまり、 FlashArray 内のデータ保護においては、ホスト側のアクセス管理を徹底することがとても重要です。

FlashArray では、データ暗号化に次の 3 つの依存層の鍵を用いています。

1. Array Key	FlashArray を初期化した際に作成 Encrypting Key を暗号化するための極めて重要な鍵 24 時間ごとに再生成各 SSD に分割保存される
2. SSD Key	Array Key と SSD 固有の値のハッシュで初期化時に生成デバイスごとに生成される非公開鍵 SSD、NVRAM のパワーオンに必要
3. Encrypting Key	データ暗号化のための鍵 Array Key によって AES-256 ビット暗号化 SSD に分割保存される

仮にデータパックが盗難されても、これらの 3 つの依存層の鍵が解読できなければ暗号化は解けません。また、ありえないことですが、仮に、 3 つの鍵（期限付き）を入手できたとしても、その鍵を生成した FlashArray 本体と Purity OS の組み合わせでなければ解読することができません。このようなセキュリティ・アーキテクチャにより、仮に異なる別の FlashArray 本体へフラッシュ・モジュールをそのまま全て載せ替えたとしても、元のデータにアクセスできないような機構になっています。性能に影響せず、妥協のない鉄壁の守りがセキュリティ・アーキテクチャとしてビルトインされています。

Purity Data Security & Encryption 詳細その1

Purity Data Security & Encryption 詳細その2

データパック盗難されてもデータ盗難が困難な仕組み

Purity Data Security & Encryption 詳細その3

もし、FlashArray 自身の機構のみならず、さらにセキュリティ機能を追加したいというケースの場合、スマートカードを USB で接続したり、リモート鍵管理システム（KMIP サーバー）と連携したりすることも可能です。そして、最近では、タレス社と共同開発した新しい EncryptReduce 機能も搭載されています。

新機能：EncryptReduce

データを削減しつつ強固に保護する EncryptReduce

それでは、タレス社とピュア・ストレージが共同開発した EncryptReduce の生まれた背景について、タレス社の畑瀬氏の説明を引用させていただきます。

データ漏えいは、多くの企業で重大なリスクだと考えられており、さまざまに対策を講じていることでしょう。しかし、タレス社のレポートによれば、各企業が『何をやってもデータは漏れてしまう』という認識で、それでも『情報そのものは漏らさない』＝『全てにおいてデータ暗号化という保護を講じる』ことが重要です。

しかしながら、今日の企業の対策は不十分と言わざるを得ません。畑瀬氏は、「タレスの調査によれば、自社のデジタル・トランスフォーメーションが『非常に安全』『きわめて安全』と考えている大企業は 58％にのぼるのに対し、データ暗号化を実施している企業はわずか 33％にすぎませんでした。」と指摘されました。

タレス社提供スライド「データを暗号化している企業の割合は非常に低い」

FlashArray 上のデータは、上述したように 3 つの依存層からなる暗号鍵とセキュリティ・アーキテクチャにより鉄壁に守られており、高い安全性が保たれています。そこに、Encryption Key の生成に外部の KMIP 鍵を用いることで、さらに強固にすることが可能です。

ここでシステム全体のセキュリティを考えた場合、ホストからデータが送信されて FlashArray の NVRAM へ書き込まれるまでの間（In-Flight）もデータを暗号化したいというリクエストがあるかと思います。この点を解決するのが、EncryptReduce です。ホスト側で送信データを暗号化したうえで、その暗号鍵を KMIP を介して FlashArray でも利用できるようにします。

FlashArray で共有された暗号鍵を用いてデータを復号し、重複排除機能・圧縮機能を用いてデータを削減します。そのうえで、ふたたびデータを暗号化することにより、暗号化データであっても未暗号化データと同等の効率でデータ削減できます。