リモートワークによるオンライン打ち合わせ、電子契約サービスの普及による脱ハンコ──新型コロナウイルスの影響により、急速にビジネスのデジタルトランスフォーメーション（DX）が進む。さまざまなビジネスのオンライン化で懸念されるセキュリティの課題に対して、期待される新技術が「ブロックチェーン」だが、中央大学国際情報学部教授の岡嶋裕史氏は「ブロックチェーンのセキュリティは万能ではない」と説く。なぜか？
利便性とリスクは「トレードオフ」
──コロナを契機にオンライン化が急速に進んでいます。
私は情報ネットワークやセキュリティが専門ですが、ずっと「大学はデジタル化から遠い存在だ」と思っていました。オールドタイプの企業と同じように、大学も紙の書類とはんこの文化だったからです。
それでもコロナ以降は、オンラインで大学の授業を行うようになりました。昔だったら、さぼりたい学生が授業に出席している学生に出席の返事をしてもらう「代返」なんてものがありましたが、出席管理もオンラインで、スマートフォンのGPS（位置情報）と連動しているので今はごまかせないんです。
中央大学大学院総合政策研究科博士後期課程修了。博士(総合政策)。富士総合研究所勤務、関東学院大学経済学部准教授・情報科学センター所長を経て、現在、中央大学国際情報学部教授。
専門は情報ネットワーク、情報セキュリティ。『ブロックチェーン』(講談社ブルーバックス)『セキュリティはなぜ破られるのか』(講談社)ほか著書多数。
ビジネスも同じですよね。打ち合わせはオンラインになり、IT企業などではリモートワークが当たり前。契約書も電子契約サービスが普及して「脱ハンコ」が進んでいます。コード決済の普及でキャッシュレスも一気に進みました。
地方公共団体でも、たとえばLINEで保育所の入所申請や粗大ごみ収集申込みなどができるなど、行政サービスもずいぶんと使いやすくなったのではないでしょうか。
──その一方で、セキュリティ・安全性への懸念が出てきました。
当然ですね。デジタル化で便利になるということは、それだけセキュリティの有無が問われます。ウェブ会議アプリの脆弱性やコード決済の不正利用、メッセージングアプリの個人情報管理の問題など、セキュリティ上の懸念が次々と出てきています。
DXによる「利便性」とセキュリティの「リスク」は、まさに「トレードオフ」の関係です。
──ブロックチェーン技術は耐改ざん性・耐障害性に優れ、堅牢だと言われます。新技術の登場により、セキュリティ向上を期待できるでしょうか？
それには誤解があると思います。『ブロックチェーン』（講談社ブルーバックス）にも書きましたが、たしかにブロックチェーン技術はビットコインの普及を見ればわかるとおり、暗号資産に耐え得るぐらいに堅牢です。しかし、ブロックチェーンのセキュリティは決して”万能”ではありません。
暗号資産取引所ハッキングがなくならない理由
たとえば、ファクス（FAX）を思い浮かべてください。書類を読み込んで通信回線で送る技術ですが、みなさんは「ファクスは堅牢な技術だ」と言われたら納得するでしょうか？
そうは思いませんよね。届いたファクスの紙の束が無造作に机の上に置かれていたりして、とても機密情報を扱えるように思えません。でも、実はファクスは通信技術としてはセキュリティが安定している技術です。NTTやKDDIなどの通信回線から不正アクセスされた例はあまり聞きません。
情報技術のどんな仕組みであっても、つなぎ目の”結節点”がどうしても出てきてしまう。ブロックチェーンも同じです。ビットコインなど仮想通貨（暗号資産）自体はハッキングに対して頑健ですが、そのやり取りの結節点にあたる暗号資産取引所では、不正アクセスにより流出が相次いでいます。
──なぜ暗号資産取引所が狙われてハッキングされるのでしょうか？
ビットコインには所有者であることを証明するために「秘密鍵」という文字列の暗号コードがあります。これは銀行口座でいえば暗証番号のようなもの。本来は、ビットコインを所有する私たちが管理したほうがよいものですが、現状は取引所が預かるかたちになっています。
当然、取引所は預かった「秘密鍵」を厳重に保管していますが、ハッカーはあらゆる手段を用いて不正に盗み出そうとします。たとえば、その一つが「ソーシャル・エンジニアリング」です。
犯人が偽名を使って、取引所のシステム管理権限を持つ技術者に近づき、長い時間をかけて交流を重ねて自分のことを信じさせた上で、ウイルスを仕込んだメールを開かせる。技術ではなく、人間の心理的錯覚や物理的な方法を使うのです。
システムは人間が管理するもの。100％の安全はありません。ブロックチェーンがいくら堅牢な仕組みであっても、結節点がある限りセキュリティは万全と言い切ることはむずかしいのです。
すべての「秘密鍵」を保管するのは不可能
──ビットコインの「秘密鍵」を持ち主が管理しないのはなぜでしょうか？
たとえば、みなさんもインターネットでたくさんのサービスを使っていると思いますが、そこで使用するIDやパスワードをどのように保管しているでしょうか。もはや紙にメモしている人は少数で、ブラウザに記憶させたり、パスワード管理サービスを利用していますよね。
ビットコインの「秘密鍵」も同じで、いちいち全部を記録して保管するのは不可能に近いものです。「秘密鍵」を紙に書いて保管していた人が、その紙をなくしてしまい大騒ぎになった事例もあります。
結局、インターネットだろうがブロックチェーンだろうが技術の性質や新しさに関係なく、どこかに結節点が存在します。その意味において、今後も企業が個人情報や機密情報を扱う限り、セキュリティの対策は必要です。
──コロナ以降の急速なDXの進展により、個人情報や機密情報を扱う企業・サービスが増えています。セキュリティのリスクにどう対処すべきでしょうか？
「結節点」がキーワードです。ブロックチェーンが通常システムへ接続されるポイント、機械の処理が人間の処理へと引き継がれるポイント、複数のタスクが混じり合うポイントなどでは、脆弱性をはらむことが避けられません。
こうした結節点をいかに上手に運用するかは、セキュリティ水準の高い低いに直結します。こうした結節点は、専用機器を使って可視化し、一つのプロセスにまとめることなどで頑健にすることができます。たとえば、暗号鍵の保管であれば、「ハードウェア・セキュリティ・モジュール（HSM）」などの専用ハードウェアに保管することで、目に見えない暗号鍵を擬似的に可視化し、扱いやすくすることができます。
HSMは専用であるがゆえに、他の機器やプロセスから隔離することができ、試行など対して強靱です。今後も旺盛な需要が期待できるでしょう。
データ・セキュリティを高める「HSM」とは？
次に、岡嶋氏がインタビューで触れた「ハードウェア・セキュリティ・モジュール（HSM）」について、世界トップクラスの暗号化ソリューション「nShield HSM」を開発・製造するEntrust（エントラスト）の日本法人、エントラストジャパン株式会社の森崇氏（DPS事業本部セールス エグゼクティブ）とJason You（ジェイソン・ユー）氏（DPS事業本部シニアセールスエンジニア）に聞いた。
──HSMの仕組みについて教えてください。
「ハードウェア・セキュリティ・モジュール（HSM）」は、金庫のようなものです。個人情報や機密情報など絶対に漏れてはいけないデータは、暗号化してセキュリティを強固にします。この暗号化されたデータは、使うときに「暗号鍵」で読める状態に戻します（復号化）。この「暗号鍵」を安全に預かる金庫がHSMです。
ソフトウェアで「暗号鍵」を使った処理をする場合、コンピューターの内部ではメモリー、CPU、ストレージなどのあらゆる場所で「暗号鍵」がコピーされて展開されます。そのため、コンピューターに一度侵入されてしまうと、「暗号鍵」の盗難を防ぐのがむずかしいのです。
もし「暗号鍵」が入った金庫そのものを盗む、たとえばHSMの「暗号鍵」が保管されているメモリを物理的に盗もうとすると、HSMはそれを検知して自動的にデータを消去します。あらゆる種類の攻撃から「暗号鍵」を守るのがHSMです。
また、暗号処理はコンピューターのCPU（中央処理装置）に大きな負荷がかかり、それだけ処理に時間がかかります。一方、HSMには暗号処理専用のチップが搭載されているため、処理がとても高速に行えます。
──Entrustの「nShield HSM」には、どのような特徴があるのでしょうか？
「Entrust nShield HSM」は、業界標準規定（FIPS 140-2 Level-2&3、Common Criteria）に適合済みで、20年以上の歴史で培われた技術の信頼性があります。また、米国フォーチュン誌がランキングする「Fortune 100」のトップ10社のうち5社が採用するなど、グローバルに広く実績があります。
近年、活用の幅が広がるブロックチェーン技術では、「暗号鍵」の取り扱いそのものがビジネスにとって重要です。その意味で「nShield HSM」は、コンピューターではなくHSM内で暗号処理を行うことで、復号したデータそのものを漏れることなく処理することができるなどの特徴があります。また、管理する「暗号鍵」の数量に制限がないため、ブロックチェーンビジネスにとって利便性が高い設計になっています。
──あらゆるビジネスのDXが進む中で、企業はどうセキュリティのリスクと向き合うべきでしょうか？
どのぐらいのセキュリティ水準にすべきかは、それぞれの企業の判断です。取り扱う顧客データの種類によって、求められるセキュリティレベルは異なります。ですので、まずは求められるレベルがどの程度かを見極めるのがファーストステップです。
その上で、どのようなソリューションを使うかです。高いセキュリティ水準にするためにデータを暗号化しても、「暗号鍵」が盗まれたら元も子もありません。もし顧客から暗号化された重要なデータを預かるならば、「暗号鍵」を強固なセキュリティ水準で守るHSMは有力な選択肢です。DXが加速する時代、自社のビジネスにとって適切なソリューションを選択していくことが必要不可欠となっていくのではないでしょうか。
文：coindesk JAPAN広告制作チーム
画像：岡嶋裕史氏・エントラストジャパン株式会社 提供
