鍵ローテーション

鍵ローテーション(key rotation)は、定期的に新しい暗号鍵を生成して古い鍵を退役させつつ、過去に保護したデータを復号できるよう一定の重複期間を確保する運用です。盗まれた 1 本の鍵で攻撃者が侵害できる暗号文や署名の量を制限し、NIST SP 800-57 などのクリプトピリオド方針を支え、より強いアルゴリズムへの移行を可能にし、PCI DSS、FIPS 140-3、SOC 2 などの基準でも求められます。代表的なパターンとしては、鍵のバージョン管理(v1、v2 など)、安定した KEK のもとで DEK を回転させるエンベロープ暗号化、AWS KMS・Azure Key Vault・Google Cloud KMS などによる自動ローテーションがあります。ローテーションは監視、安全な鍵破棄、失敗時のロールバック計画とセットで運用する必要があります。