データベース暗号化
更新日:
用語解説
DBに保存する表、列、ファイル、バックアップなどを暗号化し、媒体盗難やファイルの不正取得時に、鍵を持たない者が内容を読めないようにする対策です。
■ 試験で押さえるポイント
透過的データ暗号化（TDE）はDBファイル全体を保護し、列暗号化やアプリ側暗号化は特定項目をより細かく保護します。
暗号鍵を暗号文と分離し、KMS/HSM、権限分離、鍵更新、バックアップ、破棄をライフサイクルで管理します。
正規のDB権限で問い合わせれば復号される方式では、盗まれた管理者資格やSQLインジェクションによる漏えいを単独で防げません。
通信時暗号化、アクセス制御、監査、マスキングを併用し、ログ、一時領域、複製、バックアップも保護対象に含めます。
■ 過去問での着眼点
保存時暗号化の方式と鍵管理、正規アクセス経路への限界、通信暗号化との保護範囲の違いを問います。
例: DBファイルとバックアップをTDEで暗号化し、鍵は別のKMSで管理し、カード番号列にはさらに列単位暗号を適用します。