透過的データ暗号化
DBMS がもつ透過的データ暗号化（TDE）機能に関する記述として，適切なものはどれか。
- アデータベースのデータを記憶媒体に書き込む直前に暗号化して格納するので，記憶媒体の盗難やデータファイルの不正な持出しによる情報漏えいへの対策となる。
- イ正規の権限で SQL を実行した利用者に対しても暗号化されたままのデータが返されるので，データベース管理者であってもデータの内容を知ることはできない。
- ウTDE を有効にすると，アプリケーションとデータベースサーバとの間の通信も暗号化されるので，ネットワーク上での盗聴を防止できる。
- エデータを暗号化するためには，アプリケーションの SQL 文を書き換えて暗号化関数と復号関数を呼び出すようにする必要がある。
正解と解説を見る
正解 ア
この問題の基礎知識
- データの暗号化は，記憶媒体上の保存データの暗号化と，通信路の暗号化（TLS など）に分けて考える。一方の対策で他方の脅威は防げない。
- データベースの保存データを暗号化する方式には，DBMS が記憶媒体への書込み時に暗号化し読出し時に復号する TDE と，アプリケーションや SQL で暗号化関数を呼び出す列単位の暗号化などがある。
- TDE はアプリケーションを変更せずに導入できるが，DBMS の内部で復号されるので，正規の権限で SQL を実行した利用者には平文が返る。権限をもつ者からの保護には，アクセス制御などを組み合わせる。
アデータベースのデータを記憶媒体に書き込む直前に暗号化して格納するので，記憶媒体の盗難やデータファイルの不正な持出しによる情報漏えいへの対策となる。正解
TDE は DBMS が記憶媒体への書込み時に暗号化し，読出し時に復号する機能である。ファイルや媒体を直接持ち出されても内容を読まれないので，保存データの漏えい対策となる。
イ正規の権限で SQL を実行した利用者に対しても暗号化されたままのデータが返されるので，データベース管理者であってもデータの内容を知ることはできない。
TDE では DBMS 内部で自動的に復号されるので，正規の権限で SQL を実行した利用者には平文のデータが返される。権限をもつ利用者からデータを保護する機能ではない。
ウTDE を有効にすると，アプリケーションとデータベースサーバとの間の通信も暗号化されるので，ネットワーク上での盗聴を防止できる。
TDE は記憶媒体に格納するデータを暗号化する機能であり，DBMS から返されるデータは復号済みである。通信路上の盗聴を防ぐには，別途 TLS などで通信を暗号化する必要がある。
エデータを暗号化するためには，アプリケーションの SQL 文を書き換えて暗号化関数と復号関数を呼び出すようにする必要がある。
TDE は「透過的」の名のとおり，アプリケーションを変更せずに DBMS 側で暗号化と復号を行う。SQL 文の中で暗号化関数を呼び出すのは列単位の暗号化などの方式である。
検証用の出典出典照合済み
NIST IR 7956 Cryptographic Key Management Issues & Challenges in Cloud Services ／ OWASP Cryptographic Storage Cheat Sheet ／ JIS Q 27002:2024 8.24 暗号の利用照合の根拠（4 件）
- ア（正解）: TDE（Transparent Data Encryption）はディスクに書き込む直前に暗号化するストレージレベルの暗号化に類する技術。ウ（誤り）: I/O レベルで動作し通信路は対象外
similar to storage-level encryption (the encryption engine operates at the I/O level and encrypts data just prior to being written to disk).
NIST IR 7956 · Section 3.1 IaaS-SC6（新しいタブで開きます） - エ（誤り）: アプリケーションのロジックを変更する必要はない
Since TDE performs all cryptographic operation at the I/O level within the database system, there is no need to modify the application logic or the database schema.
NIST IR 7956 · Section 3.1 IaaS-SC6（新しいタブで開きます） - イ（誤り）: 利用者の権限に応じた保護はできず，DBMS 内で復号されるので権限をもつ利用者からデータを守る機能ではない
the most common usage is for storage-level encryption, and hence, the implementation cannot be configured to provide different encryption keys to different users based on their permission set (or assigned role).
NIST IR 7956 · Section 3.1 IaaS-SC6（新しいタブで開きます） - ア（正解）・イ（誤り）: 下位層での暗号化は物理的な盗難には有効だが，サーバに正規にアクセスできる攻撃者には効かない（TDE はデータベースレベルの例として同節に挙がる）
For example, hardware level encryption is effective at protecting against the physical theft of the server, but will provide no protection if an attacker is able to compromise the server remotely.
OWASP Cryptographic Storage Cheat Sheet · Where to Perform Encryption（新しいタブで開きます）
原文（NIST IR 7956）は「ディスクへの書込み直前に暗号化」と述べるがバックアップには触れないため，選択肢アの「データファイルやバックアップファイルを暗号化」を「データベースのデータを記憶媒体に書き込む直前に暗号化」に改め，sources に NIST IR 7956 を追加した。