エンタープライズファイル共有におけるデータ主権のための物理的セキュリティ

データ主権は、抽象的な用語で語られることが多いテーマです。法域、法的枠組み、契約上の権利、コンプライアンス証明などが挙げられます。しかし、物理的セキュリティの領域でそれらの抽象性は終わります。組織の機密データを保持するハードウェアは、自社が管理する施設内にあるか、そうでないかのいずれかです。そのデータを保護する暗号鍵は、自社が運用するハードウェアモジュール内にあるか、そうでないかのいずれかです。ストレージデバイスが寿命を迎えた際、そのデバイスを直接破壊するのは自社のチームか、証拠保管の連鎖を経て完全には検証できない形で処理されるか、どちらかです。

これらは例外的なケースではありません。これこそが、真のデータ主権と単なるコンプライアンスパフォーマンスを分ける運用上の問いです。物理的セキュリティ管理者、監査チーム、データセンターやハードウェアのセキュリティ体制を担うCISOにとって、エンタープライズファイル共有プラットフォームを評価する際には、次の4つの具体的な問いを含める必要があります。ハードウェアはどこに設置されているか、物理的にアクセスできるのは誰か、暗号鍵を誰がどのハードウェアで管理しているか、ストレージメディアの廃棄時に何が起こるのか。この投稿では、それぞれの問いに直接答え、関連する認証や規格の動向を解説し、導入モデルがどのように答えを左右するかを説明します。

エグゼクティブサマリー

主なポイント：エンタープライズファイル共有における物理的セキュリティは、ベンダー認証の前に導入モデルの問題です。オンプレミス導入では、ハードウェアが顧客自身の施設内に設置されるため、物理的なアクセス制御、メディア破壊、HSM運用など、すべて顧客が決定できます。一方、ベンダー運用のクラウド導入では、物理的セキュリティの責任がベンダーのデータセンターパートナーに移り、BSI C5、ISO 27001、FedRAMP、IRAPなどの認証が第三者保証を提供します。防衛、重要インフラ、金融市場インフラなど、最高レベルの物理的主権が求められる顧客は、オンプレミス導入を出発点として評価すべきであり、代替案ではありません。

なぜ重要か：NIS2の第21条は、重要サービスの運用者に対し、情報システムのための適切な物理的・環境的セキュリティ対策の実施を求めています。ISO 27001付属書AのコントロールA.7（物理的管理）は、顧客運用・ベンダー運用の両施設に適用されますが、ハードウェアが自社所有かどうかで、顧客の検証能力は根本的に異なります。BSI C5やFedRAMP Highは、物理的保護（PE）コントロールファミリーを明示的に含み、ベンダー運用インフラの第三者評価を提供します。どのコントロールがどちらの当事者に属し、どのように検証するかを理解することが、物理的セキュリティにおけるデューデリジェンスの核心です。

5つの重要なポイント

1. オンプレミス導入は、顧客にファイルインフラの完全な物理的主権を提供します。Kiteworksアプライアンスが顧客所有・運用のハードウェア上で稼働する場合、アクセス制御、施設基準、環境モニタリング、来訪者管理など、すべての物理的セキュリティの意思決定は顧客によって行われます。ベンダーは、明示的な許可がない限り、ハードウェアへの物理的アクセス経路を持ちません。これは、最も強力な物理的主権体制であり、ベンダー認証に頼ることなく直接検証可能です。
2. 顧客運用のHSMは、暗号化鍵をベンダーの手の届かない場所に保管します。ハードウェアセキュリティモジュール（HSM）は、専用の暗号ハードウェア内で改ざん耐性のある鍵保管を提供します。HSMが顧客運用であり、FIPS140-3認証済みの場合、ベンダーはアプリケーション層への管理アクセス権があっても暗号鍵にアクセスできません。Hold Your Own Key（HYOK）モデル（ThalesのSafeNet Luna Network HSMなどの認証済みプロバイダーが対応）は、ホスト型導入でも鍵の管理権限を顧客側に残すことができます。
3. メディア破壊管理は、見落とされがちな主権要件です。誰が、どの手順で、どの証拠をもってストレージメディアを破壊するのか。オンプレミス導入では、顧客が直接メディア破壊を管理します。ベンダーの証拠保管の連鎖や第三者証明書への依存、ベンダーとの調整が必要な破壊スケジューリングはありません。クラウド導入では、メディア破壊の責任はベンダーにあり、BSI C5やISO 27001などの認証で証明されます。
4. 鍵セレモニー手順は、HSMハードウェアと同じくらい重要です。FIPS 140-3認証HSMはハードウェアレベルの改ざん耐性を提供しますが、その鍵のセキュリティは鍵生成セレモニー（誰が、どのような手順で、どのような監査証跡のもとで鍵を生成したか）に依存します。顧客管理下で実施される正式な鍵セレモニーは、HSMハードウェアを補完する手続き的要素であり、NIST SP 800-57やPCI DSSなどのフレームワークで求められています。
5. クラウド施設のベンダー認証は保証であり、コントロールではありません。BSI C5 Type 2、ISO 27001、FedRAMP High、IRAP PROTECTEDはいずれも物理的セキュリティ評価を含み、ベンダー運用施設が定められた基準を満たしていることを第三者証拠として示します。しかし、認証は時点でのコンプライアンス証明であり、リアルタイムのコントロールではありません。リアルタイムかつ独立して検証可能な物理的セキュリティコントロールが必要な場合は、ハードウェアを自社で所有する必要があります。

導入モデルと物理的主権

物理的主権に関する問いは、導入モデルと切り離して考えることはできません。ハードウェアが顧客所有のオンプレミスか、ベンダー運用のプライベートクラウドか、パブリッククラウド上かは導入選択によって決まり、その選択が物理的セキュリティ全体の枠組みを決定します。多くのエンタープライズファイル共有の評価は、導入モデルの問いを解決する前に機能や認証に注目しがちですが、それは順序が逆です。

オンプレミス：顧客による完全な物理的コントロール

オンプレミス導入では、Kiteworksアプライアンスが顧客所有のハードウェア上で稼働し、顧客が運用する施設に設置されます。サーバー、ストレージ、ネットワークハードウェアへの物理的アクセスは、すべて顧客独自の物理的セキュリティプログラムで管理されます。サーバールームに入室できる担当者の選定、環境モニタリングの設定、機器保護のための多要素物理アクセス機構、施設全体の監視システムなど、すべて顧客が決定します。これらはベンダーの意思決定事項ではありません。

このことは、規制フレームワークで直接言及されるいくつかの理由で重要です。NIS2第21条2項(e)は、「物理的セキュリティおよび環境セキュリティ」を重要サービスの基本対策の一つとして要求しています。ISO 27001付属書A.7（物理的管理）は、セキュアエリア、物理的入退室管理、オフィスや機器の保護、物理的セキュリティの監視、環境脅威への対策などをカバーしています。顧客がハードウェアを運用する場合、これらすべてのコントロールは顧客の直接的な実施・監査範囲内となり、ベンダー証明に依存せず一次証拠で検証可能です。

オンプレミスモデルは、抜き打ちの物理的監査を誰が実施できるかも決定します。規制当局や内部監査チームは、いつでも顧客の施設に立ち入り、物理的コントロールを直接検証できます。クラウド導入では、ベンダーのデータセンターへの物理的監査には事前調整が必要で、通常は間接的な観察に限られ、ベンダーの調整が必要となる場合もあります。金融サービス、国防、重要インフラなど、監督検査要件がある組織にとって、これは単なる手続き上の細部ではなく、監査権限に関わる問題です。

確認すべきポイント：オンプレミス導入で、アプライアンスハードウェアへの完全な物理的アクセス（例：改ざん防止シールの追加や物理的セキュリティコントロールの強化）が自社チームに認められるかベンダーに確認してください。ベンダーがアプライアンスへのリモートアクセス経路を保持しているか、またその条件も把握しましょう。

ベンダー運用インフラ：保証としての認証

Kiteworks運用のクラウド導入は、構造化された第三者による物理的セキュリティ評価を受ける施設で運用されます。BSI C5（Cloud Computing Compliance Criteria Catalogue）Type 2証明は、物理的セキュリティをコントロールフレームワークの明示的な要素としてカバーし、物理的アクセス制御、監視、環境保護、メディア管理などの要件を含みます。Type 2レポートは、単なる設計時点の妥当性ではなく、一定期間にわたる運用有効性の証拠を提供します。

ISO 27001認証は、情報セキュリティマネジメントシステム全体に適用され、付属書A.7に基づく物理的・環境的セキュリティコントロールも含まれます。ISO 27001:2022は、2013年版に比べて物理的コントロール付属書が拡充され、クリーンデスクポリシー、機器の設置、物理的セキュリティ監視などが明確に要件化されました。KiteworksのISO 27001認証は、クラウドインフラ運用をカバーしています。

オーストラリアの政府ワークロード向けには、IRAP PROTECTED分類がオーストラリア政府ISM（情報セキュリティマニュアル）に基づく物理的セキュリティ評価を要求します。これは、PROTECTED情報を処理する施設の物理的セキュリティに関する具体的要件を含みます。米国政府や防衛関連ワークロード向けには、KiteworksのFedRAMP High In Processステータスが、米国連邦基準で最も厳格な物理的セキュリティコントロールセットの一つであるPhysical and Environmental Protection（PE）コントロールファミリーのHighベースライン評価を受けています。

重要なのは、これらの認証がベンダー運用施設の物理的セキュリティコントロールについて、信頼できる構造化された第三者証拠を提供する点です。顧客がこれらのコントロールを直接管理できるわけではありません。コントロール（管理権限）が必要な組織は、オンプレミス導入モデルを選択する必要があります。

ハードウェアセキュリティモジュール：鍵管理と暗号主権

保存時の暗号化は、ストレージ層での不正アクセスからデータを保護しますが、その保護範囲は暗号鍵のセキュリティまでです。ベンダーが暗号鍵を保持、またはアクセスできる場合、原理的にはデータを復号できます。これが、HSM連携が解決する根本的な暗号主権の問いです。

ハードウェアセキュリティモジュール（HSM）は、暗号鍵を生成・保管・管理するための専用暗号デバイスで、改ざん耐性のあるハードウェアで構成されています。HSMはソフトウェア鍵管理とは異なり、鍵情報がHSMの境界外で平文として存在することはありません。鍵操作（暗号化・復号・署名）はデバイス内で行われ、物理的な改ざん検知時には鍵情報を破壊するよう設計されています。高信頼性環境では、HSMが標準的な鍵管理手段であり、オプションの強化策ではありません。

FIPS 140-3認証：暗号信頼のためのハードウェア規格

FIPS 140-3（米国連邦情報処理規格140-3）は、暗号モジュール認証の米国政府規格であり、NISTとカナダサイバーセキュリティセンターが共同で運用しています。FIPS 140-2に代わる現行規格で、ISO/IEC 19790と整合しています。FIPS 140-3は、セキュリティレベル1～4を定義し、レベルが上がるごとに物理的な改ざん耐性要件が強化されます。

レベル3は、規制環境におけるエンタープライズHSM導入の標準的な基準であり、物理的な改ざん証跡、改ざん検知・対応機構、改ざん検知時の重要セキュリティパラメータの消去、IDベース認証を要求します。レベル4は環境攻撃耐性が追加され、主に決済セキュリティや機密システムで利用されます。

Kiteworksは、FIPS 140-3認証済みの顧客運用HSMとの連携をサポートしています。オンプレミス導入での公式連携パートナーは、Thales（旧Gemalto）のSafeNet Luna Network HSMであり、規制金融サービス、政府、ヘルスケア、防衛分野で広く導入されているFIPS 140-3認証モジュールです。SafeNet Luna HSMは、改ざん耐性のある鍵保管、正式な鍵セレモニー対応、ハードウェアレベルでの監査ログを提供します。HSMの認証証明書は、NIST暗号モジュール認証プログラム（CMVP）データベースで直接検証でき、暗号保証レベルの独立した証拠となります。

Hold Your Own Key（HYOK）：鍵管理権限を顧客に保持

Hold Your Own Keyモデルは、アプリケーションの稼働場所に関わらず、鍵管理権限が常に顧客に残るアーキテクチャパターンです。HYOK構成では、暗号鍵が顧客のHSMから外部に出ることはありません。より正確には、平文の鍵がHSMの境界を出ることはありません。アプリケーションがデータを復号する必要がある場合、復号リクエストをHSMに送信し、HSMが処理を行い復号データ（鍵ではなく）を返します。ベンダーのアプリケーション層が鍵情報自体にアクセスすることはありません。

この違いは、論理的なアクセス（ベンダーのアプリケーションがデータを処理できる）と鍵管理（ベンダーが顧客のHSMが利用可能かつリクエストが許可されない限り独自にデータを復号できない）を分離するため重要です。顧客がポリシー、物理的切断、法的要請などでHSMを鍵管理経路から外せば、ベンダーはアプリケーションやストレージ層へのアクセス権があってもデータを復号できません。

Kiteworksは、オンプレミス導入でのHYOKをサポートしており、HSMが顧客施設内に物理的に設置され、完全に顧客の運用管理下にあります。この構成は、最も強力な暗号主権体制を実現します。鍵を保持する物理ハードウェアが顧客施設内にあり、顧客チームが運用し、ベンダーがリモートアクセスできる経路はありません。

鍵セレモニー：鍵生成のための手続き的コントロール

正式な鍵セレモニーは、暗号鍵を生成し（鍵分割を用いる場合は分割し）、HSMにロードし、どの時点でも単独の人物が鍵情報全体にアクセスできないよう手続き的コントロール下で有効化する文書化された手順です。鍵セレモニー要件は、NIST SP 800-57 Part 1（鍵管理推奨）、PCIDSS要件3.7、各種業界固有規格で規定されています。

セレモニーが重要なのは、以降のすべての暗号操作のセキュリティが鍵生成イベントの完全性に依存するためです。手続き的コントロールなし（単独オペレーター、証人なし、文書化なし）で生成された鍵は、どれほど安全なHSMに保管されていても、アプリケーションメモリで管理されるソフトウェア鍵と信頼性は変わりません。セレモニーは、鍵ライフサイクル全体の手続き的信頼の基盤です。

オンプレミスのKiteworks導入では、鍵セレモニー手順は完全に顧客管理下で実施されます。顧客チームが手続き要件を定め、参加者や証人を選定し、分割知識やデュアルコントロールの適用有無を決定し、監査文書を作成します。これは顧客自身の監査チームや外部監査人によって直接監査可能であり、セレモニー記録は顧客が保持する一次証拠となり、ベンダーが提供する証明書ではありません。

メディア破壊：データライフサイクルの終焉

データライフサイクル管理は、ストレージメディアの破壊で終わります。多くのエンタープライズセキュリティの議論は、ライフサイクルの初期や中間（保存時暗号化、アクセス制御、監査ログなど）に焦点を当て、メディア廃棄は手続き上の脚注扱いになりがちです。しかし、データ保護規制や機密情報の取扱要件がある組織にとって、これは重大な誤りです。誰が、どの方法で、どのような検証のもとでストレージメディアを物理的に破壊するかは、主権に関わる問いであり、規制・契約上の直接的な影響があります。

オンプレミス導入における顧客管理の破壊

Kiteworksアプライアンスが顧客所有ハードウェア上で稼働する場合、ストレージメディアの破壊は完全に顧客の管理下にあります。顧客チームが破壊方法（消磁、物理的破砕、暗号消去、またはその組み合わせ）を決定し、手順を実施し、破壊を立ち会い、廃棄証明書を発行します。ベンダーの関与やスケジューリング調整、第三者の破壊チェーンへの依存は一切ありません。

この点が最も重要となるのは、2つの特定の規制シナリオです。第一に、規制要件でメディア破壊が顧客自身のセキュリティ境界内で行われることを義務付けている場合（防衛や機密環境で一般的）、オンプレミス導入だけが要件を満たします。第二に、調査や法的手続きで即時にすべてのメディア運用を停止する必要がある場合、顧客チームはベンダーとの調整遅延なしに対応できます。

ISO 27001付属書A.7.10（ストレージメディア）は、ストレージメディアがライフサイクル全体で管理され、廃棄も含めて適切に処理されることを求めています。標準は特定の破壊方法を規定していませんが、保存されている情報の機密性に応じた廃棄を要求します。NIST SP 800-88（メディア消去ガイドライン）は、破壊方法と各メディア・機密性レベルへの適用性について最も広く参照される技術ガイダンスです。オンプレミス導入では、顧客がNIST SP 800-88のガイダンスに従い適切な方法を選択し、直接適用します。

ベンダー管理の破壊：認証と証拠保管の連鎖

ベンダー運用クラウド導入では、ストレージメディアはベンダー（またはクラウドプロバイダー）のインフラの一部です。メディア破壊はベンダーまたはデータセンターパートナーが実施し、関連認証で証明されます。BSI C5は、物理的セキュリティ基準の一部として文書化されたメディア管理・破壊手順を要求します。ISO 27001も付属書A.7.10で同領域をカバーします。FedRAMPのPEコントロールファミリーは、メディア保護コントロール（MPファミリー）で消去・廃棄を扱います。

これらの認証は、文書化された破壊手順が存在し、遵守されていることを第三者証拠として提供しますが、顧客が特定メディアの破壊時期や、どのメディアが自社データを保持していたか、どの破壊方法が適用されたかを直接把握することはできません。多くの規制対象商用組織では、このレベルの保証で十分ですが、機密データ、非公開情報、重要インフラデータなど最高機密層の組織では、直接的なコントロールや検証ができないことがクラウド導入モデルの本質的な制約となります。

確認すべきポイント：ベンダーに、ストレージメディア廃棄の契約上・運用上の証拠保管の連鎖を明示するよう依頼してください。自社データが保存されているデータセンターをカバーする認証（ベンダー全体の認証ポートフォリオではなく）を確認しましょう。該当施設で自社データを処理していることをカバーする最新のBSI C5またはISO 27001証明書を要求し、メディア廃棄が範囲内であることを確認してください。

責任分担：モデルが実際に意味すること

クラウドセキュリティの文脈で広く議論される責任分担モデルですが、物理的セキュリティにおいては特に重要です。なぜなら、責任の所在が最も明確なのは、完全オンプレミスまたは完全クラウドネイティブの両極端だからです。多くのエンタープライズ導入が実際に該当するのは、ハイブリッドやコロケーション構成であり、ここに曖昧さが生じます。

どの物理的セキュリティコントロールが顧客に属し、どれがベンダーに属するかを理解することは、単なるコンプライアンス作業ではなく、どこから監査証拠を取得すべきか、自社の評価でどのコントロールを検証すべきか、監督検査でギャップが生じやすい箇所がどこかを決定づけます。

Kiteworksの差別化ポイント：導入モデルを問わない物理的セキュリティ

Kiteworksは、完全オンプレミスからベンダー運用クラウドまで幅広い導入形態をサポートし、物理的セキュリティ体制もそのスペクトラムに沿って変化します。以下は、物理的セキュリティおよびHSM連携に関する公式な機能差別化ポイントのまとめです。

オンプレミスアプライアンスモデル

Kiteworksアプライアンスは、顧客所有のハードウェアを顧客自身の施設内で稼働させる設計です。これはコロケーションやKiteworksがホストするプライベートクラウドではなく、顧客が調達・運用・物理的に管理するハードウェアです。アプライアンスは、顧客が自社のISO 27001、BSI IT-Grundschutz、または業界固有のセキュリティプログラムで運用するデータセンターに導入でき、導入に対する完全な物理的主権を顧客にもたらします。

顧客の管理範囲は、ハードウェア選定、アプライアンスへの物理的セキュリティ対策（改ざん防止シール、ラックロック、機器室へのアクセスカード要件）、環境モニタリング設定、メディア破壊手順にまで及びます。この構成では、ベンダーはハードウェアへの物理的アクセス経路を持ちません。サポート目的のリモートアクセスも、明示的な顧客承認が必要であり、顧客のリモートアクセスポリシーで個別に管理されます。

主要エンタープライズプロバイダーとのHSM連携

Kiteworksは、ThalesのSafeNet Luna Network HSM（FIPS 140-3認証済みハードウェアモジュール）との連携をサポートしており、規制業界全体で広く導入されています。オンプレミス導入では、HSMは顧客施設内に物理的に設置され、完全に顧客管理下で運用されます。HYOKアーキテクチャにより、Kiteworksアプリケーションプロセスは暗号リクエストをHSMに送信しますが、鍵情報自体は受け取りません。暗号処理の結果のみが返されます。つまり、Kiteworksアプリケーション層へのアクセス（認証情報の漏洩、サポートセッション、ベンダーへの法的命令など）があっても、復号能力へのアクセスにはなりません。鍵はベンダーが到達できない顧客管理ハードウェア内にあります。

ベンダー運用インフラの認証

Kiteworks運用クラウド導入を利用する組織にとって、物理的セキュリティ保証はKiteworksのデータセンターインフラをカバーする認証ポートフォリオに基づきます。BSI C5 Type 2証明は、EMEA組織向けに最も詳細な物理的セキュリティ証拠を提供し、設計だけでなく運用有効性を評価期間でカバーします。ISO 27001認証は、物理的コントロールを含む情報セキュリティマネジメントシステム全体をカバーします。FedRAMP High In Processステータスは、クラウドサービス向けに米国政府で最も厳格な物理的セキュリティコントロールセットであるHighベースラインのPEコントロールファミリーが評価対象であることを示します。IRAP PROTECTED分類は、オーストラリア政府ワークロード向けに同等の保証を提供します。

これらの認証は、ベンダー運用施設の物理的セキュリティコントロールについて、資格を持つ第三者評価者による独立した評価を積み重ねた証拠です。ベンダー運用インフラが最適な導入モデルであり、物理的セキュリティが規制・契約要件を満たしていることを第三者検証で証明する必要がある組織にとって、適切な保証手段です。

まとめ

物理的セキュリティは、ソフトウェアコントロールやコンプライアンス認証では抽象化できないデータ主権のレイヤーです。機密データを保持するハードウェアが顧客管理の施設内にあるか、データを保護する暗号鍵が顧客運用のハードウェアモジュール内にあるかという問いは、ベンダー認証ポートフォリオではなく、導入モデルによって直接的に決まります。物理的主権が単なるコンプライアンス項目ではなく、本質的な要件である組織にとって、顧客運用HSM連携によるオンプレミス導入モデルは、エンタープライズファイル共有で現在実現可能な最も強力かつ直接検証可能な体制です。

EMEA、米国連邦、オーストラリアの各規制動向は、物理的セキュリティ要件の明確化・強化へと進んでいます。NIS2の重要サービス規定、BSIのC5進化、FedRAMPのPEコントロール厳格化はいずれも同じ方向性です。今、導入モデル選定、HSMアーキテクチャ、メディア破壊手順を通じて、明確かつ一次証拠で検証可能な物理的セキュリティコントロールを構築する組織こそが、監督検査で単なる証明書ではなく文書化された証拠の提出を求められる時代に備えられるのです。

よくある質問