快適ITライフのために知っておきたい
初めての情報セキュリティー

第54回 その安全は、本当に「安全」か？

究極の安全は直接やり取り

「お客様のデータは当社では安全です」、「当社は最高のセキュリティー基準を順守しています」……このようなもっともらしい宣伝に見覚えのある人は多いだろう。しかし、そもそも「安全」（セキュリティー、セーフティー）とは、何だろうか。以前ドイツ連邦情報局の元職員と話した際に、「電子的な通信は常に傍受される可能性があるため、本当に安全性を重んじるのであれば、機密情報は電子機器を使わず、直接会って伝えた方が良い」と言われたことがある。しかし「デジタル通信断ち」は現代において現実的ではない。よって技術的措置を検討することになるが、常にリスクとメリットを比較しなければならない。

比較すべき三つの安全性

セキュリティーを高めて電子的な通信を行うためには、以下の3種類の「安全性」を目安とすることを提案したい。

❶ 法的な安全性

欧州には幸いにも、世界最高水準のデータ保護規則であるGDPRがある。つまり欧州連合（EU） の事業者を利用していれば、法的には安全であるといえる。なぜならEU域内の事業者はEUの現行法を順守しなければならず、これを怠った場合には事業者に高額の制裁金が課される可能性があるからだ。場合によっては、利用者も損害賠償を請求できる。しかし、法的に「安全」とみなされても、技術的には実は「安全ではない」システムも存在する。例えば、ドイツ政府とテレコムの共同プロジェクト「De-Mail」では、技術的観点からは安全性を担保し得ないにもかかわらず、法により電子メールを安全化する試みがなされた。しかし、これは失敗例の一つである。

❷ 技術的な安全性

そもそも犯罪者は法律を守らない。よって暗号化や二要素認証などを利用した技術的な「IT セキュリティー」にも配慮すべきである。また、ハードウエアの故障などで、データが予期せず失われたり破損したりする可能性もあるため、バックアップやシステムの冗長化により「IT セーフティー」を確保しておくことも重要だ。

❸ 数学的な安全性

機密性の高い通信においては、暗号化と復号化のための数学的アルゴリズムが重要な役割を果たす。暗号技術は、安全な通信に関する数学の一分野だが、こうしたアルゴリズムを実装する際に生じたバグが原因で、攻撃者が簡単に暗号を「解読」できてしまうことも。数学的には絶対に「安全」とされるシステムでも、実際には「安全ではない」場合があるのだ。

安全性を確保するための心がけとしては、デジタル機器、ウェブサイト、アプリなどを利用する際に違和感や不審な点を察知したら、一度立ち止まることをお勧めしたい。そしてどのようなリスクがあるか想像し、これら三つの安全性のうち自分にとって重要なものは何かを考えるようにしよう。