データの静止時と転送時の違いとは？
それぞれどんな状態？
データの静止時と転送時の違いをはじめ、それぞれに潜むリスクや必要なセキュリティ対策を分かりやすく解説

データの暗号化は、データの状態に応じて、静止時（Data at Rest）と転送時（Data in Transit）の2つの観点から対策を講じるのが一般的です。本記事では、静止時と転送時それぞれの暗号化の特徴について、分かりやすく解説します。

目次

• データの静止時・転送時とは？ それぞれどんな状態？
  

• データ静止時のセキュリティ対策
  

• データ転送時のセキュリティ対策
  

データの静止時・転送時とは？ それぞれどんな状態？

データのセキュリティを考えるうえでは、データがどのような状態にあるかを捉える「データライフサイクル」の考え方が重要です。データは主に、静止時（Data at Rest）と転送時（Data in Transit）の2つに分類されます。以下では、それぞれの定義やリスク、対策の違いを解説します。

静止中のデータ（Data at Rest）とは

データが特定の場所に保存され、やり取りされていない状態のデータを指します。

具体例：PCのハードディスク、サーバー上のデータベース、S3などのクラウドストレージ、バックアップ用のテープやUSBメモリに保存されているデータ。

主な脅威：デバイスの物理的な盗難、サーバーへの不正侵入による大量のデータ窃取、内部関係者によるデータの持ち出しなどが挙げられます。

主な対策：

• ディスク全体の暗号化：万が一PCを紛失した場合でも、保存されたデータを読み取られにくくします。

• データベース暗号化：データベースファイル自体を暗号化し、不正アクセス時の情報漏えいリスクを低減します。

• アクセス制御：権限のないユーザーがファイルを閲覧・操作できないよう制限します。

転送中のデータ（Data in Transit）とは

データがネットワークを通じて、ある場所から別の場所へ送受信されている状態を指します。

具体例：Webブラウザとサーバー間の通信（HTTPS）、社内拠点間でのファイル転送、メールの送受信、API連携によるデータ交換。

主な脅威：通信経路上での盗聴（パケットキャプチャ）、データの改ざん、中間者攻撃（なりすまし）などが挙げられます。

主な対策：

• SSL/TLS：ブラウザとサーバー間の通信を暗号化し、改ざんの検知を行います。

• VPN：公衆網上に仮想的な暗号化トンネルを構築し、安全な通信経路を確保します。

• SFTP/SSH：安全なプロトコルを用いて、ファイルを安全に転送します。

静止時と転送時の違い比較表

データ静止時のセキュリティ対策

保存された状態にある「静止時」のデータを守るセキュリティは、境界防御が破られた場合や、機器の持ち出し、内部不正が発生した場合に備えるための重要な対策です。ここでは、主な対策を技術面と管理面の両側面から解説します。

暗号化技術（技術的対策）

静止データを保護するうえで、暗号化はまず導入すべき重要な対策のひとつです。保存先やデータの種類に応じて適切な方式を使い分けることで、情報漏えいのリスクを効果的に抑えられます。

• フルディスク暗号化：PCやサーバーのストレージ全体を暗号化します。OSの起動前に認証を求める仕組みのため、機器そのものが紛失・盗難に遭った場合でも、内部データの漏えいリスクを抑えられます。（例：Windows の BitLocker、macOS の FileVault）。

• データベース暗号化：データベースのデータファイルやログファイルを透過的に暗号化する方式です。多くの場合、アプリケーション側に大きな変更を加えずに導入でき、ストレージ上の物理ファイルが不正に取得されても、内容の判読を防ぐ効果が期待できます。

• ファイル・フォルダ単位の暗号化：特に重要なファイルやフォルダを対象に暗号化する方法です。復号を許可するユーザーやプロセスを限定できるため、細かな制御が可能になります。

鍵管理（管理・運用の要）

静止データの保護では、暗号化方式そのものだけでなく、暗号鍵の管理・運用方法も重要になります。適切な鍵管理ができていなければ、強固な暗号化を導入していても、十分な保護効果は得られません。そのため、鍵の保管方法や更新ルールを含めた運用設計が欠かせません。

• 鍵の分離管理：暗号鍵は、保護対象のデータと同じ環境に保管しないことが原則です。鍵管理専用の KMS（Key Management Service）や、HSMのような物理的な専用デバイスを利用することで、鍵の安全性を高められます。

• キーローテーション：鍵が漏えいした場合の影響を抑えるためには、鍵を定期的に更新する運用が欠かせません。継続的なローテーションによって、長期間同じ鍵を使い続けるリスクを低減できます。

アクセス制御と権限管理

静止データを保護するには、暗号化だけでなく、どのユーザーやシステムにアクセスを許可するかを適切に管理することも重要です。権限の付与方法や認証の仕組みを見直すことで、不正アクセスや情報漏えいのリスクを抑えやすくなります。あわせて、バックアップデータそのものを改ざんや削除から守る対策も有効です。

• 最小権限の原則：各ユーザーやアプリケーションには、業務上必要な最小限の権限のみを付与します。特に、管理者権限の過剰な付与や不適切な利用を防ぐことが重要です。

• 多要素認証：IDとパスワードに加え、デバイス認証や生体認証などを組み合わせることで、静止データへの不正アクセスのリスクを低減できます。

• 不変ストレージ：ランサムウェア対策として、一度書き込んだデータを変更・削除できない「WORM（Write Once Read Many）」特性を持つストレージにバックアップを保存する方法も有効です。

監査とモニタリング

静止データを適切に保護するには、導入した対策が継続的に有効に機能しているかを確認し続けることが重要です。あらかじめ対策を講じるだけでは十分ではなく、日々の監視と検証を通じて異常を早期に把握できる体制を整える必要があります。代表的な取り組みとして、次のような方法があります。

• アクセスログの取得と分析：「誰が・いつ・どのデータにアクセスしたか」を記録・分析することで、異常な大量ダウンロードや通常と異なる時間帯のアクセスなど、不審な挙動を早期に検知できます。

• ファイル整合性監視：重要なシステムファイルやデータファイルが不正に改ざん・変更されていないかをリアルタイムで監視し、異常の早期発見につなげます。

静止データの保護は、短期間の対策ではなく、長期的に維持していくことが前提です。そのため、運用面ではデータのライフサイクル全体を見据えた管理が重要になります。

データ転送時のセキュリティ対策

データ転送時（Data in Transit）のセキュリティ対策は、インターネットなどの公共網や社内ネットワークを移動するデータを、盗聴や改ざんから保護することを目的としています。ここでは、主な対策を5つの視点から解説します。

通信プロトコルの暗号化

転送中のデータを保護するうえで、まず押さえておきたいのが、通信経路そのものを暗号化することです。これにより、通信内容の盗聴や不正な読み取りのリスクを低減できます。

• HTTP over TLS（HTTPS）：Webサイトとの通信を暗号化するための代表的な方式です。現在は TLS 1.2 以上、特に TLS 1.3 の利用が推奨されています。

• SSH（Secure Shell）：サーバーへのリモート接続や、SFTPによる安全なファイル転送で利用されます。公開鍵認証を組み合わせることで、高い安全性を確保できます。

• VPN：拠点間通信やリモートワーク環境において、通信経路を仮想的な専用線のように暗号化し、安全性を確保します。

証明書による「なりすまし」防止

暗号化によって通信内容を保護していても、接続先そのものが正規の相手でなければ、安全性は確保できません。そのため、転送時のセキュリティでは、通信内容の保護に加えて、相手が本物であることを確認する仕組みが重要になります。代表的な対策として、次のような証明書の活用があります。

• サーバー証明書の活用：信頼できる認証局（CA）が発行した証明書を用いることで、接続先サーバーが正規の相手であることを確認できます。

• クライアント証明書：サーバー側だけでなく、アクセスする端末（利用者）側にも証明書を持たせることで、許可された特定のデバイス以外からの通信を遮断できます。

データの完全性確保（改ざん検知）

転送中のデータは、盗聴だけでなく、途中で内容を書き換えられるリスクにもさらされます。
そのため、通信の安全性を高めるには、データが送信時の内容を保ったまま届いているかを確認する仕組みが重要です。こうした改ざんの検知に用いられる代表的な技術が、次の方法です。

• メッセージ認証コード（MAC）/ デジタル署名：ハッシュ関数などを利用して、送信側と受信側でデータの整合性を確認する仕組みです。データが１ビットでも改ざんされていれば、受信側で異常を検知し、そのデータを無効なものとして扱います。

安全なファイル転送手法の選択

メール添付のようにリスクの高い受け渡し方法は避け、より安全なファイル共有手段へ切り替えることが重要です。特に、従来広く使われてきた方法の中には、現在では十分な安全性が確保しにくいとされるものもあります。転送時のリスクを抑えるためには、管理性とアクセス制御に優れた方法を選ぶことが求められます。

• PPAP（パスワード付きZip送信）の廃止：メールとパスワードを別送するPPAPは、現在ではセキュリティ対策としての有効性が低いとされ、見直しが進んでいます。
• 法人向けファイル共有サービス：クラウドストレージ（Box、Google Drive、OneDrive など）にファイルをアップロードし、期限付きリンクを共有する方法が推奨されます。

ネットワーク境界の防御

転送中のデータを守るには、通信内容を暗号化するだけでなく、不正なアクセスや攻撃通信を境界で適切に制御することも重要です。こうした対策により、外部からの不正な通信を遮断し、異常な挙動を早期に検知しやすくなります。代表的な対策として、次のような仕組みがあります。

• ファイアウォール / WAF：不適切なポートへのアクセスを制限するとともに、Webアプリケーションを狙った攻撃通信を遮断します。

• IDS / IPS（侵入検知 / 防止システム）：通信パターンの異常を検知し、攻撃の兆候がある場合には、通信を自動的に遮断する仕組みです。

転送時のセキュリティは、「最新の暗号化規格を維持すること」と「通信相手の身元を保証すること」が運用の核となります。

セキュリティ対策では、「多層防御」の考え方が欠かせません。たとえば、通信経路（転送時）をTLSで暗号化していても、保存先（静止時）のデータベースが平文のままであれば、サーバー侵害時に情報が一括で漏えいするおそれがあります。逆に、保存データを暗号化していても、転送経路が保護されていなければ、通信の傍受によって情報漏えいが発生しかねません。近年では、こうした静止時・転送時の対策に加え、「メモリ上で処理中のデータ」も含めて保護する視点が重要になっています。データの所在や状態に応じて、適切な暗号化手法とライフサイクル管理を組み合わせることが、堅牢なシステムを構築する第一歩です。

お問い合わせは、下記のメールアイコンから