転送中の暗号化
転送中の暗号化機能は、クライアント、アプリケーション、データベースサーバー間を移動するデータを保護し、不正アクセスや改ざんを防止します。MongoDB Atlas では、TLS（Transport Layer Security）を使用したすべてのネットワークトラフィックの自動的な暗号化がデフォルトで有効になっており、すべての接続で必要とされます。現在のデフォルトは TLS 1.2です。すべての段階でデータの安全性が確保されるように、Atlas クラスターノード間の通信も TLS で保護されています。
MongoDB Enterprise Advanced は、TLS を使用した転送中の暗号化もサポートしています。
保管時の暗号化
保管時の暗号化は、ディスク上のデータベースファイルを暗号化することで保存データを保護し、重要な防御レイヤーを追加します。MongoDB Atlas では、クラウドプロバイダーのネイティブなディスク暗号化とキーマネジメントを活用して、すべてのカスタマーデータが AES-256 で自動的に保管時に暗号化されます。Atlas は、AWS Key Management Service（KMS）、Google Cloud KMS、または Azure Key Vault を介したカスタマーマネージドキーによるデータベースレベルの暗号化もサポートしています。
MongoDB Enterprise Advancedは、WiredTigerストレージエンジンを介してAES-256による保存時の暗号化を提供しており、KMIP準拠のキーマネジメントプロバイダで構成できます。
保管時の暗号化 → MongoDB Enterprise AdvancedおよびMongoDB Atlas
Queryable Encryption による使用中の暗号化
使用中の暗号化機能は、機密データがデータベースでアクティブに処理されている間も保護します。その結果、データは保管時や転送時だけでなく、ライフサイクル全体を通じて安全に維持されます。その実現の立役者となった画期的な技術が、Queryable Encryption であり、MongoDB は業界で初めて実現させたものです。
Queryable Encryption は、機密性の高いアプリケーションを暗号化して、MongoDB 内に暗号化された状態で安全に保存したり、暗号化データに対して表現豊かなクエリを直接実行したりできます。クエリに使用できる一般的な条件として、従来の equality と range に、prefix、suffix、substring が加わっています。
Queryable Encryption を使用すると、基礎となる情報を公開することなく、一部の名前、キーワード、識別子の一致など、暗号化されたデータに対して柔軟なテキスト検索を実行できます。政府クラスのセキュリティレビューで補完されており、特に機密性の高いデータの保護ツールとして、さまざまな組織からすでに信頼されており、フランスの国内治安部隊デジタル庁（ANFSI）はその一例として挙げられます。その他の主なメリットには次のようなものがあります。
- より強力なデータ保護：クエリの実行中も機密データを暗号化された状態に保ち、漏洩リスクを低減して、セキュリティインシデントによる風評被害や財務的影響を最小限に抑えます。
- 規制コンプライアンスの強化：データライフサイクル全体で暗号化を維持して GDPR や HIPAA などの要件への準拠を支援し、罰金を回避してカスタマーの信頼を強化します。
- 運用効率の向上：カスタム検索ソリューションや外部ツールに頼ることなくデータを保護し、アプリケーションのパフォーマンスを維持しながらインフラストラクチャの複雑さを軽減します。
- シームレスな開発者エクスペリエンス: Queryable Encryption は MongoDB のクエリ言語にネイティブに統合されており、アプリケーションコードを書き換えることなく高度な暗号化検索を可能にします。
- 統合保護：追加コストなしで MongoDB に含まれており、サードパーティのソリューションを必要とせずに組み込みの暗号化を提供します。
詳しく学ぶ –> Queryable Encryption
