暗号化は依然として必要ですが、それが問題のすべてではありません。「民主主義防衛財団（Foundation for Defense of Democracies）」による新たな独立評価では、機密データが実際に使用され始めた後にそれを保護する仕組みと、そのためにRixon が構築したアーキテクチャについて検証しています。
暗号化を超えたこのデータ保護のアプローチは、機密情報が漏洩した場合にその価値を低減することに重点を置いています。
Rixon テクノロジー · 2026年10月26日 · 読了時間6分
ファイアウォール、ID管理、アクセス制御、監視、および暗号化は、データへの経路を保護するものです。しかし、これらはそれ自体では、権限のある者または権限のない者が読み取り可能なコピーを入手してしまった後、その価値を低下させるものではありません。民主主義防衛財団（Foundation for Defense of Democracies）のトランスフォーマティブ・サイバー・イノベーション・ラボ（TCIL）が発表した新しいテクニカルノートは、まさにこのギャップを主題として執筆されています。
そのメモ、 「暗号化を超えて：漏洩データの価値を低減する」と題されたこのノートは、機密データがすでに利用されている状態――ログにコピーされたり、処理業者やパートナーと共有されたり、バックアップに保存されたり、あるいは分析やAI のワークフローに組み込まれたりした後――に何が起こるかを考察しています。従来の制御策は依然として重要です。それらは、攻撃者、内部関係者、あるいは情報漏洩を起こしたパートナーが、読み取り可能なデータを用いて何ができるかという点を変えるものではありません。
このメモで検討されている内容
検討対象のアーキテクチャは、vaultless およびkeyless の擬似匿名化です。機密性の高いフィールドは、データが下流へ転送される前に、フォーマット互換の代替値に置き換えられます。復元は、key に保存されているような、単独で機能するものではありません。役割や地理的条件などのポリシー条件に基づき、権限のある者による再構築が必要となります。
これは匿名化ではなく、擬似匿名化です。管理された条件下では、元の値を復元することができます。データが永久に削除されるわけではありません。
この文書では、このアプローチは暗号化、ゼロトラスト、アクセス制御、監視、およびポスト量子への移行を補完するものであり、それらに取って代わるものではないことが明確に述べられています。
評価報告書の内容
TCILは、そのアーキテクチャの実装に対して実用的な課題の検証を行った。評価の対象となった実装は、Rixon Technologyであった。報告された結果には、同ノート自身の表現によれば、以下のものが含まれていた：
- 機密値の形式は維持されるため、下流のシステムは引き続き稼働し続けることができます。
- 許可されていない復元試行は失敗し、ログに記録されました。
- 承認済みのマルチパーティ復元により、正しい値が復元されました。
- 傍受されたtokens は、テストで使用された手法の下では元のデータを明らかにしなかった。
- token へのアクセス権は、すべてのコピーを特定する必要なく、再識別を遮断することで取り消すことができます。
これらの結果は、テスト対象のワークフローに固有のものです。すべてのデプロイメント、すべての分野、あるいはすべての脅威モデルにおいて、同じ結果が得られるという主張ではありません。
「ここで最も重要なのは、テストがどのように行われたかという点です。プラットフォームを直接運用し、復元制御の突破を試みたのは私たちではなく、独立した研究所でした。不正な試みが失敗し、ログに記録されたこと、また傍受されたtokens が元のデータを漏らさなかったという事実は、私たちが構築を目指したアーキテクチャを如実に物語っています。つまり、復元は管理されたイベントであり、下流に位置するデフォルトの機能ではないのです。」
ジャスティン・ハッチャー·Rixon Technology 共同創業者兼最高技術責任者
これで解決されない問題
そのメモは制限について慎重に扱っています。この投稿も同様です。
誠実な境界線
- 転送中の暗号化およびrest での暗号化は、引き続き必要です。Tokenization は、これらに代わるものではありません。
- これは、ID、エンドポイント、またはネットワークの侵害に対する対策ではありません。
- これはAI のファイアウォールではありません。パイプラインに入力される機密値の量を減らすことはできますが、モデルの挙動を制御するものではありません。
- これだけでは、PCI DSS 、GDPR 、DPDP 、あるいはその他の規制を遵守していることにはなりません。適用範囲や消去の結果は、システムの導入方法によって異なります。
- 「Vaultless」という記述だけでは、復元を可能にする仕組みが説明されていません。一部のvaultless の設計では、依然としてtoken を暗号化されたkey で復号しています。ここで評価したアーキテクチャは、単一の保存されたkey や、マッピング情報を管理する中央のvault に依存していません。
スタック内の位置付け
「使用中のデータの保護はすでに実現されている」と指摘するのは妥当である。Intel TDXやSGX、AMD SEV-SNPといったハードウェアで隔離されたエンクレーブを含む「機密コンピューティング」は、メモリ内のデータが処理されている間、そのデータを保護し、ハイパーバイザー、ホストOS、クラウド事業者がそのデータを読み取れないようにする。また、同型暗号やセキュア多者間計算により、保護されたデータを露出させることなく、特定の計算を実行することが可能になる。これらは現実のものとして存在しており、その技術は進化を続けている。
また、これらには共通点もあります。どちらも、計算が行われる一点においてデータを保護します。機密コンピューティングは、エンクレーブ内の値を保護しますが、その値がデータベース、ログ、パートナー、あるいは下流のサービスへとエンクレーブから送り出された瞬間、再び読み取れるようになります。一方、同型暗号は、独立した評価によれば、平文による計算に比べて数桁も処理速度が遅く、ほとんどの運用ワークロードにおいては依然として実験的な段階にあると考えられています。どちらも、特定の処理ステップのために設計された、用途が限定されたツールです。
いずれも、下流の倉庫、バックアップ、パートナーシステム、分析ツール、AI パイプラインなどに最終的に送られる読み取り可能なコピーの価値を損なうことはありません。その下流のコピーは別の問題であり、データ層での制御が対象としているのはまさにこの問題です。これらのアプローチは競合するものではなく、互いに補完し合うものです。適切なアーキテクチャでは、複数のアプローチを採用することもあります。
暗号化以外のデータ保護がなぜ重要なのか
最近の環境では、機密データが一か所に集約されていることはほとんどありません。決済情報、アカウント識別子、個人データは、プロセッサ、ウォレット、分析ツール、外部委託先、AI システムなどを経由して移動します。その各コピーは、読み取り可能な値となる可能性があります。
もしそれらのシステムが元の値ではなく代替データに基づいて動作する場合、パートナーや下流の店舗でセキュリティ侵害が発生しても、被害は小さくなります。盗まれたファイルに元のデータが含まれていない場合、ランサムウェアによる脅威は低くなります。データの消去やアクセス権の剥奪は、単にすべてのコピーを削除するという問題ではなく、制御上の課題となります。
「当社が提携するすべての組織は、機密データをより多くの場所、より多くのパートナー、より多くの分析ツール、そしてより多くのAI へと移行させつつ、そのすべてに対して説明責任を果たすことが求められています。国家安全保障の問題に焦点を当てた研究所による独立した検証は、当社が掲げた方向性――データそのものを保護することで、データの拡散に伴うコストを削減する――の正当性を裏付けています。これはまさに当社の顧客が求めている議論であり、それが真剣に受け止められていることを嬉しく思います。」
デイブ・ジョンソン·Rixon Technology 最高経営責任者
コストやアーキテクチャに関する課題は依然として残っています。元の値を保存するvault であっても、データ、ストレージ、レプリケーション、および監査の範囲は依然として一箇所に集中しています。key を基盤とするvaultless の設計であっても、key のライフサイクルや保管コストは依然として発生します。keyless の設計では、残存リスクがポリシー、承認、および変換パスの整合性へと移行します。これらはそれぞれ異なるコスト負担であり、異なる障害モードです。
このようなデザインをどのように評価すればよいか
このメモでは、スローガンだけで導入するのではなく、独立した検証、限定的なパイロット導入、および調達情報の開示を推奨しています。Rixon を含むあらゆるベンダーに対して有用な質問は以下の通りです：
- vault が存在しない場合、何が復旧を可能にするのでしょうか？
- 盗難に遭ったtoken は、オフラインで復元できるのでしょうか、それとも、オンラインでの正規の要求を通じてのみ復元できるのでしょうか？
- 元の値、マッピング、または再構築用のデータは、メモリ、ログ、またはバックアップのどこに保存されていますか？
- 復元を承認できるのは誰ですか？また、その決定はリクエストごとに記録されますか？
- 『token 』は、依然として、買い手が意図していなかった断片や等価性を明らかにしているのでしょうか？
- 終了時には何が起こるのでしょうか？
そうした疑問点について、ベンダーに依存しないチェックリストを公開しました。すべての医療提供者に対して、このチェックリストを活用してください。
Rixon のアプローチがどのように定義されているか
その中核となるのはtokenization です。機密性の高い値は、フォーマットに適合したtokens に置き換えられます。 tokenization このようにして、別途の手順を経ることなく、ここで仮名化が実現されています。データはトークン化されることで仮名化されます。
key も、中央集権的なvault も存在しません。これが従来のtokenization と異なる点は、元の値のvault が存在せず、単一の保存されたkey によってtokens が元に戻されることがないことです。再構築は、セグメント化され、ポリシーによって管理される認証を通じてのみ行われます。また、マッピングやkey を保持する者であれば誰でも元に戻すことができる擬似匿名化の手法とも異なります。なぜなら、保持すべき単一の秘密が存在しないからです。
データの最小化に対応しています。値は入力時点でトークン化され、ポリシーに基づいてのみ再構築可能であるため、元のデータが下流のシステム全体でアクセス可能な状態になることはありません。さらに、detokenization のイベント自体も、役割、組織、その他のポリシー条件に基づいて管理およびマスキングすることができます。
この結果は、メカニズムとしてtokenization を、対照実験としてkeyless （ポリシー制御型再構成）を採用している。導入環境や処理プロセスによっては、これは従来のtokenization や、マッピングベースあるいはkey ベースの擬名化手法に比べて利点がある。
その他の情報源
暗号化は依然として不可欠です。残存データの価値を低減させることは、これとは別の管理措置です。FDDノートは、そのための1つの手法について独立した観点から考察したものです。これは評価であり、認証ではありません。記載されている調査結果は、テスト対象の構成に固有のものであり、別の導入環境では個別の評価が必要となります。採用する技術アーキテクチャにかかわらず、適用される規制要件への準拠責任は組織が負うことになります。
tokenization ソリューションの評価をお考えですか？
© 2026Rixon Technology (PB Analytics, Inc.)。Vaultless 、keyless 、tokenization 。アリゾナ州チャンドラー。