セキュリティポリシーは、いわゆる「やりたいこと」であり、それを実現するにはいくつものやり方があります。そのやり方の方向性を示すのがスタンダードになります。少しだけドメイン1の振り返りになりますが、「機密データは暗号化して保護します。」というポリシーに対して、「保存中のデータにはディスク全体の暗号化を要求し、転送中のデータにはTLSを要求することで、機密データを保護します。」というスタンダードが決められるということを説明しました。ここで登場する「保存中のデータ」や「転送中のデータ」というのが、今回取り扱う内容です。保存中や転送中のデータという主語は、よくよく考えてみればかなりざっくりしています。パソコンなのかスマホなのか分かりません。しかしながら、スタンダードはあくまで方向性を決めるもので、データを保存データ（data at rest）と転送データ（data in transit）と使用データ（data in use）という3つの状態に分類し、それぞれの状態において適切なセキュリティを整理していきます。逆に言うと、「このようにデバイスの時に、このように保護してください」というのは、手順書に相当するプロシージャに当たります。3つの状態でのデータとは何か？を確認していきましょう。

保存データ（data at rest）とは、ディスクなどに保存されているデータです。このデータに関しては、ディスクとしてアクセス可能な状態を保持しながらデータのディスク暗号を行います。とりわけ、スマートフォンなどのモバイルデバイスに対しては、紛失する恐れがあるためディスク暗号化がより求められます。その一方で、暗号化というのはパフォーマンスに一定の負荷がかかります。例えば、ディスク暗号化をしようとしたとき、一時的なファイルやスワップスペースなどに対しては、常に暗号化してしまうと暗号化回数が増えるため、部分的な暗号化にしておく方がコンピューターへの負荷が低減すると考えられます。

転送データ（data in transit）とは、ネットワークに流れているデータです。ここでいうネットワークとは、無線や有線を問わず送信元と送信先の関係でデータをやり取りすることです。このようなデータは、IPSECやTLSなどの通信データの暗号化技術によってネットワークトラフィックを維持しながらデータの暗号化を行います。転送データは、いずれ学ぶゼロトラストネットワークという概念により、常に暗号化されていることが求められます。

使用データ（data in use）とは、メモリやキャッシュなどにある使用中のデータです。ディスプレイに写っているデータはまさに使用中です。このようなデータに関しては、今まさにデータを利用しなければならない状態であり、暗号化することができません。そのため、退席時のPC画面ロックなどのポリシーによって非開示する努力や、ログイン画面でIDとパスワードを打ち込むときにパスワードの文字列をマスクしてあげることも使用中のデータの保護の一つでしょう。

データは保存データ、転送データ、使用データのすべての段階で保護されていなければなりません。アプリケーションと転送データの暗号経路を確立し、データを暗号化して送り、アプリケーションでそれを紐解き、処理を実行し、再度暗号化して、ストレージに格納するという暗号化したり復号したりのプロセスが入れ子になるので、スタンダードにおいて細かい技術仕様に合わせるよりも3つの状態を分けて整理するほうがルールを定める上で効率的です。

#使用データ（data in use） #転送データ（data in transit/motion）　 #保存データ（data at rest）