データ暗号化は、許可された者のみが読み取れるように情報を符号化します。正しい鍵がなければ、データは判読不能な暗号文になります。暗号化は、ディスクやデータベースに保存されているデータ、ネットワーク経由で転送されるデータ、そして高度な実装では使用中のデータも保護します。その目的は単純明快です。誰かがデータを盗んだとしても、それを利用できないようにすることです。

暗号化は完全なセキュリティ戦略ではありません。機密性は保護しますが、可用性は保護しません。たとえ独自の暗号化が強力であっても、ランサムウェアはデータを暗号化して身代金を要求する可能性があります。正当なアクセス権と鍵を持つ内部脅威からは保護されません。他の経路を通じてデータが漏洩するアプリケーションの欠陥からも保護されません。鍵管理が難しい部分です。暗号化されたデータの隣に平文で鍵を保存すると、目的が損なわれます。システム間で鍵を共有すると、侵害の影響範囲が広がります。この問題を解決するために、ハードウェアセキュリティモジュールと鍵管理サービスが存在します。これらは高価で複雑です。多くの組織はこれらを省略し、鍵を構成ファイルに保存しています。これは、誰かがそのファイルを見つけるまでは有効です。暗号化はツールです。他のツールと同様に、その価値は使い方によって決まります。

暗号化コンテキスト

• 静止状態 — ディスク、データベース、バックアップ
• 転送中 — TLS、VPN、暗号化メッセージング
• 使用例：準同型暗号化、セキュアエンクレーブ
• エンドツーエンド — 送信者と受信者のみが読み取ることができます

鍵管理のない暗号化は、見せかけに過ぎない。アルゴリズム自体は強力だが、鍵の保管方法が弱点だ。