データベース暗号化

データベース暗号化は、DBに保存する表、列、ファイル、バックアップなどを暗号化し、媒体盗難やファイルの不正取得時に、鍵を持たない者が内容を読めないようにする対策です。

■ 試験で押さえるポイント

• 透過的データ暗号化（TDE）はDBファイル全体を保護し、列暗号化やアプリ側暗号化は特定項目をより細かく保護します。

• 暗号鍵を暗号文と分離し、KMS/HSM、権限分離、鍵更新、バックアップ、破棄をライフサイクルで管理します。

• 正規のDB権限で問い合わせれば復号される方式では、盗まれた管理者資格やSQLインジェクションによる漏えいを単独で防げません。

• 通信時暗号化、アクセス制御、監査、マスキングを併用し、ログ、一時領域、複製、バックアップも保護対象に含めます。

■ 選択肢での判断ポイント

保存時暗号化の方式と鍵管理、正規アクセス経路への限界、通信暗号化との保護範囲の違いを問います。

例: DBファイルとバックアップをTDEで暗号化し、鍵は別のKMSで管理し、カード番号列にはさらに列単位暗号を適用します。