読み：しーえむいーけー ／ 分野：IT・システム
クラウド上のデータ暗号化に使う鍵を、クラウド事業者でなく利用企業自身が管理する仕組みです。
CMEK（顧客管理暗号鍵）とは、クラウドサービスに保存するデータの暗号化・復号に使う鍵を、利用企業が自ら発行・管理できる仕組みです。鍵の作成、ローテーション（定期的な交換）、無効化を企業側の意思で行える点が特徴です。
意味
クラウドにデータを預けると、通常はサービス提供事業者が用意した鍵で自動的に暗号化されます。これは便利な反面、鍵の管理をすべて事業者に委ねることになります。CMEKは、この鍵を利用企業が自社のクラウド上の鍵管理サービスで生成・保有し、暗号化処理にはその鍵を使うよう指定する方式です。鍵の実体はクラウド事業者のインフラ内に置かれますが、作成や削除、使用停止の権限は利用企業側にあります。鍵を無効化すれば、関連するデータへのアクセスも遮断できるため、データの保護と統制を自社の方針で行いたい場合に選ばれます。対になる考え方として、事業者が完全に鍵を管理する方式や、利用企業が物理的な鍵管理装置まで自前で用意する方式があり、CMEKはその中間に位置づけられます。
使われる場面と具体例
- 情報システム部門が、クラウド上の顧客データベースについて、鍵のローテーション周期や無効化の権限を自社で統制するために設定する。
- 監査担当者が、取引先や業界団体から求められるセキュリティ基準に対応するため、暗号鍵の管理主体が自社にあることを示す資料としてCMEKの設定状況を確認する。
- DX担当者が、複数のクラウドサービスを利用する際、データ漏えい時の被害範囲を限定する目的で、サービスごとに異なる鍵を発行し管理する。
中小企業が押さえたい点
- 鍵の管理には専門知識と運用体制が必要になるため、導入前に誰が鍵の管理を担うのか、社内体制を明確にしておくことが大切です。
- 鍵を誤って削除・無効化すると、対象データに一切アクセスできなくなる場合があるため、操作権限者を限定し、手順を文書化しておく必要があります。
- 利用しているクラウドサービスや契約プランによって、CMEKに対応していない場合があるため、導入前に対応状況を確認することが求められます。
よくある誤解
- CMEKを使えば自社だけでデータを完全に管理できると考えがちですが、鍵の保管場所自体はクラウド事業者のインフラ内にあり、運用の一部は事業者の基盤に依存します。
- 設定すれば自動的にセキュリティが向上すると誤解されがちですが、鍵の管理体制や権限設計が不十分だと、かえって運用上のリスクが増える場合があります。
よくある質問
Q. CMEKを導入すると費用はどのくらい変わりますか。
A. 鍵の管理サービス自体に利用料がかかる場合が多く、通常の暗号化方式より費用が増える傾向があります。詳細は利用するクラウドサービスの料金体系で確認が必要です。
Q. 専門の担当者がいない中小企業でも導入できますか。
A. 設定自体は可能ですが、鍵の管理や権限設計には一定の知識が必要なため、外部の専門家やベンダーの支援を受けることが現実的です。
Q. CMEKを設定すればセキュリティ対策は十分といえますか。
A. 鍵管理は対策の一部に過ぎず、アクセス権限の管理や通信の保護など、他のセキュリティ対策とあわせて検討する必要があります。
関連する用語
関連記事
ほかの用語を探す
