イメーション「Bluefly Processor」が暗号モジュール認証（JCMVP）レベル3を取得

2013年7月17日

イメーション株式会社

業界初、
イメーションIronKeyセキュアデバイスに搭載された「Bluefly Processor」が
暗号モジュール認証（JCMVP）レベル3を取得

イメーション株式会社（代表取締役：松井 国悦）は、イメーション製IronKeyセキュアデバイスに搭載されている、専用プロセッサ「Bluefly Processor」が、独立行政法人　情報処理推進機構（以下ＩＰＡ)で運営されている、「暗号モジュール試験及び認証制度」（JCMVP：Japan Cryptographic Module Validation Program）において、暗号モジュールのセキュリティレベル3の認証を2013年7月8日付で取得したことを発表します。

認証番号： F0018
セキュリティレベル： レベル3

JCMVPとは、暗号モジュールに暗号アルゴリズムが適切に実装され、その暗号鍵やパスワードといった重要情報が攻撃者から保護されるとともに、許可された者がいつでもその機能を確実に利用できることを、暗号モジュールのユーザーが客観的に把握できるように設けられた第三者適合性評価制度です。

内閣官房情報セキュリティセンター（NISC）が定めた「政府機関の情報セキュリティ対策のための統一技術基準※1」（平成24年度版）の2.2.1.6暗号と電子署名（鍵管理を含む）では、本制度による認証製品を選択することが遵守事項として定められています。

経済産業省が定める個人情報保護ガイドラインの「高度な暗号化等の秘匿化※2」を施していることが本制度の認証により保証されます。紛失事故が発生した場合でも、本人の権利権益が損なわれていない、またはその可能性が低い状況においては、本人への連絡や各種公表の必要が無くなります。

今回の認証取得は、イメーション「IronKey セキュアデバイス」が日本の第三者公的機関に客観的に評価され、官公庁の求める高いセキュリティ要件に適合していることを示すものです。
また、イメーション「IronKey セキュアデバイス」に搭載されている専用プロセッサ「Bluefly Processor」は、既に米国・カナダ・英国で既に政府調達規格となっている、グローバルなセキュリティ規格FIPS認証※3も取得しています。
さまざまなビジネスシーンで利用されているUSBメモリの情報漏えいを防止に、イメーションでは業界最高水準の高セキュリティなUSBデバイスを提供してまいります。


1.暗号モジュール認証取得の概要
　　
・認証番号：　F0018
・暗号モジュールのセキュリティレベル（※4）：　レベル3　
・暗号モジュール名：　Bluefly Processor
・認証取得日：　2013年7月8日

暗号モジュール認証製品リストは下記URLにて公開されています。
リンク


2.認証製品「Bluefly Processor」の概要

「IronKey セキュアデバイス」は、デバイス上に搭載されている専用プロセッサ「Bluefly Processor」によって、データの暗号化／復号をリアルタイムに行われ、高度なセキュリティを支えています。
誤ったパスワードや未登録の指紋による入力が繰り返された場合、保護モードへの切り替えやデータ領域の初期化を行い、不正なアクセスを防ぎます。 また、万一製品が分解されて中身を取り出されても、データは暗号化されているので、その内容は保護されます。


3.対象製品

「Bluefly Processor」を搭載したセキュリティUSBデバイス
・セキュリティUSBメモリ IronKey F200シリーズ （指紋・パスワード認証タイプ）
・セキュリティUSBメモリ IronKey F150シリーズ （パスワード認証タイプ）
・セキュリティUSB外付ハードディスク IronKey H200シリーズ（指紋・パスワード認証タイプ）

※旧Defender F200+BIO、旧Defender F150、旧Defender H200+BIOも対象製品に含まれます。

【製品の特長】

・JCMVPおよびFIPS140-2認証取得済み暗号モジュールを搭載・ハードウエア自動暗号化 （AES256ビット）
・指紋＋パスワードによる認証　（指紋認証はF200、H200のみ）
・防水・防塵設計（防水はF150、F200のみ）
・耐タンパ性※5を備えた筐体
・マグネシウム合金の頑丈な筐体（F150、F200のみ）
・ユーザー管理機能を標準搭載（ソフトウェアのインストール不要）
・5年保証


4. 用語解説

（※1）　政府機関の情報セキュリティ対策のための統一技術基準（平成24年度版）
参考：　リンク
----------------------------------------------------------------------------
政府機関の情報セキュリティ対策のための統一技術基準〈平成24年度版〉≪抜粋≫
遵守事項
(1)　暗号化機能及び電子署名機能の導入
　(e) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与又は検証を行う必要があると認めた情報システムにおいて、以下のそれぞれの措置を講ずることの必要性の有無を検討し、必要と認めたときは、当該措置を講ずること。
　　(ア) 暗号モジュールの交換可能なコンポーネント化による構成
　　(イ) 複数のアルゴリズムを選択可能にする構成
　　(ウ) 選択したアルゴリズムがソフトウェア及びハードウエアへ適切に実装され、暗号化された情報の復号又は電子署名の付与に用いる鍵及び主体認証情報等が安全に保護された製品を使用するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品の選択
　　(エ) 暗号化された情報の復号又は電子署名の付与に用いる鍵の耐タンパ性を有する暗号モジュールへの格納
----------------------------------------------------------------------------


(※2)　経済産業省が定める個人情報保護ガイドラインの「高度な暗号化等の秘匿化」

個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン　P28
参考　: 　リンク
----------------------------------------------------------------------------
(エ)影響を受ける可能性のある本人への連絡
事故又は違反について本人へ謝罪し、二次被害を防止するために、可能な限り本人へ連絡することが望ましい。
ただし、例えば、以下のように、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がない又は極めて小さいと考えられる場合には、本人への連絡を省略しても構わないものと考えられる。
・紛失等した個人データを、第三者に見られることなく、速やかに回収した場合
・高度な暗号化等の秘匿化が施されている場合
　（以下、略）
----------------------------------------------------------------------------

「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」等に関するＱ＆Ａ　No.79
参考　: 　 リンク
----------------------------------------------------------------------------
Q：「高度な暗号化等の秘匿化が施されている場合」とは、どのような場合ですか。
A：例えば、電子政府推奨暗号リスト又はISO/IEC18033に掲げられている暗号アルゴリズムによって個人データを適切に暗号化し、かつ、復号（平文化）のためのかぎ(鍵)が適切に管理されていると認められる場合など、十分な秘匿性が確保されている場合は、「高度な暗号化等の秘匿化が施されている場合」に該当すると考えられます。（2007.3.30）
----------------------------------------------------------------------------
（補足説明）　JCMVP認証を受けていることで、高度な暗号化等の秘匿化が施されていることが保証されます。


（※3）　FIPS規格 （FIPS 140-2）

政府機関及び請負業者による利用（軍事以外）を目的として米国連邦政府が策定した暗号化モジュールに関する情報処理標準規格。米国、カナダ、英国では、すでに政府調達規格となっています。
（FIPS = The Federal Information Processing Standards の略）
※ イメーションでは、FIPS 140-2 Level3 認証Certificate No.1269を取得しています。


（※4） 暗号モジュールのセキュリティレベル

暗号モジュール試験及び認証制度(JCMVP)では、それぞれの暗号モジュールが取扱うデータの重要度や利用環境が多様であることに鑑み、暗号モジュールのセキュリティ確保のための機能等に対する要求事項（セキュリティ要求事項）を4つのレベルで設定しています。
----------------------------------------------------------------------------
レベル１：
市販品として求められる基本的なセキュリティ要求事項を満たすレベルです。セキュリティ確保のための物理的なメカニズムは要求されません。

レベル2：セキュリティレベル1に加え、タンパ証跡（暗号モジュールを開封した跡が残るようなシールなど）に関する要求事項を加えたレベルです。また、管理者、ユーザーといった役割ベースの認証機能を必須とします。

レベル3：セキュリティレベル2に加え、タンパ検出・応答（暗号モジュールを開封したことを検出しデータ消去などの応答をする）に関する要求事項を加えたレベルです。ID ベースの認証機能を必須とします。また、重要情報の入出力に関する要求事項が追加されています。

レベル4：セキュリティレベル3に加え、いかなる物理的な攻撃に対してもタンパ検出・応答をするように完全に暗号モジュール部分を被服保護する物理的メカニズムを加えたレベルです。さらに、正常に動作する電圧・温度の範囲を超えた環境条件・変動に関する要求事項も追加されています。
----------------------------------------------------------------------------


（※5） 耐タンパ性

筐体を分解してデータを取り出そうとした場合、自動的にデータを破壊して読み出せなくします。