Db2における透過的データ暗号化とは何か、そしてなぜそれが必要なのか？

過去1年ほどの間に、いくつかの高い可視性のデータ漏洩がニュースで報じられました。Db2 DBAとしてのあなたの責任の一つは、ビジネスが運営するために必要なデータを保護することです。監査人、内部および外部は、あなたの貴重なDb2データをのぞき見る目から保護するための行動を求めているかもしれません。誰もが、潜在的または実際のデータ漏洩に関連するコスト、潜在的な罰金、または否定的な報道を望んでいません。IBMは、Db2用の透過的データ暗号化TM（または「TDE」）を提供しており、これはzSystem Pervasive EncryptionTM（または「zSPE」）と呼ばれるより広範な取り組みの一部です。透過的データ暗号化は、データを静止状態で、ディスク上で暗号化するメカニズムを提供します。TDEはDb2 11とDb2 12の両方に提供されています。Db2 12には、Continuous Deliveryを介して提供される追加の機能があります。まず、暗号化メカニズム自体、それがどのように実装されているか、そしてそれを展開するために必要なものを見てみましょう。暗号化は、コストを最小限に抑えるために、接続されたCryptoプロセッサで実行されるハードウェア命令を活用します。IBMは、BSAM、QSAM、VSAM、およびDb2によって使用される低レベルアクセスメカニズム（DFSMSの一部）であるメディアマネージャにこの機能を実装することを決定しました。この暗号化技術は、テープをサポートしていないことを指摘する価値があります。z/OSでは、暗号化を有効にするための3つの方法が許可されています。優先順位の順に、これらはRACFデータセットプロファイル内、データセットの属性（JCLでDSKEYBL構文またはIDCAMSのKEYLABELで指定）として、SMS DATACLASの属性としてです。暗号化されるには、データセットに拡張属性が必要です。SMS暗号化は、z/OS 2.2（PTF for APAR OA50569が適用されている場合）またはz/OS 2.3で利用可能です。接続されたCryptoプロセッサが必要です。暗号化を実装するためにz14が必要であるという誤解があります。これは真実ではありませんが、Crypto 6-SプロセッサはCrypto 5-Sよりもはるかに高速であり、6-Sはz14でのみ利用可能です。したがって、暗号化の許容できるパフォーマンスにはz14が必要です（パフォーマンスについては後述します）。暗号化と復号化はI/O時に行われるため、Db2にはほぼ完全に「透過的」です。テーブルスペースまたはインデックス、またはその両方を暗号化できます。Db2カタログとディレクトリ、さらにはユーザーデータも暗号化できます。また、BSDS、アクティブログ、アーカイブログ（ディスク上）、イメージコピー、およびユーティリティ作業ファイルを暗号化することも選択できます。Db2データセットの暗号化を有効にする最初と3番目の方法は、Db2 11と12の両方でサポートされています。2番目の方法は、Db2 11でイメージコピーやユーティリティ作業ファイルに使用できますが、Db2 12（Function Level 502の一部）でのみDb2データに対してDDLを介して利用可能になります。テーブルスペースやインデックスの暗号化が有効にされた後は、オブジェクトの次のReorgがデータを暗号化します。データを暗号化および復号化するための実際のキーはCKDS（「暗号鍵データセット」）に保存されます。キー自体はシステム生成ですが、ユーザーは実際のキーにアクセスするためにキーラベルを介してアクセスします。キーラベルにアクセスするにはRACF（または同等の）認可が必要であるため、暗号化されたファイルにアクセスするには、データセット自体と同様にキーラベルに対しても認可を受けている必要があります。災害復旧テストを計画する場合や、データをあるシステムから別のシステムに移行する場合、両方の場所のCKDSデータセットが同期されていることを確認する必要があります。Db2のI/Oルーチンで暗号化が実装されているため、データはバッファプール内でクリアに利用可能であり、SQLは復号化されたデータのみを表示します。なぜ暗号化を実装したいのかと尋ねるかもしれません。ほとんどの場合、答えは監査人をなだめるためだと思います。この機能は、SQLインジェクションやパスワード盗難などの不正なSQLアクセスに対するハッキング試行を防ぐことはありませんが、SQLをバイパスしてディスクデータへの内部アクセスをさらに閉じることはできます。Db2 12では、IBMはFunction Level 502の一部として暗号化のDDL制御を提供しています。これにより、CREATE/ALTER TABLEおよびCREATE/ALTER STOGROUPコマンドの構文の一部として「KEY LABEL」を指定できます。TABLE構文は単一テーブルのテーブルスペースにのみ使用でき、関連するインデックス、LOBおよびXMLスペース、クローンの暗号化を自動的に有効にします。アーカイブおよび履歴テーブルは別々に暗号化する必要があります。暗号化と復号化のオーバーヘッドについて興味があるかもしれません。もちろん、ディスク書き込みに暗号化を追加し、読み込みに復号化を追加しているため、いくつかのオーバーヘッドがありますが、それは過剰ではありません。あなたの環境でオーバーヘッドがどれくらい高いかを確認するためにいくつかのテストを実行することをお勧めします。それはI/O中に発生するオーバーヘッドを回避するためにデータページをバッファプールに保持することの望ましさを高めます。ユーティリティの実行もコストがかかることに注意する必要があります。BMC Softwareの低コストユーティリティスイートは、暗号化によって発生するコストの増加を相殺するのに役立つかもしれません。透過的データ暗号化の選択肢は数多くあり、展開するかどうかから始まり、使用する技術を選択します。私たちは、一つの方法を選び、それを一貫して使用することをお勧めします。それにより、矛盾する仕様を判断する混乱を避けることができます。サードパーティのベンダーに確認して、TDEのサポートレベルを確認してください。BMC SoftwareのすべてのDb2製品は今日この機能をサポートしています。BMCの営業チームに問い合わせて詳細を確認してください。BMCの営業担当者やBMCのアカウントチームに、暗号化に関連するコストを軽減するのに役立つBMC Next Generation Technologyユーティリティの使用について相談してください。BMCはz/OS上のDb2用のパフォーマンス、管理、および復旧ツールの完全なスイートを提供しています。

これらの投稿は私自身の意見であり、必ずしもBMCの立場、戦略、または意見を表すものではありません。