Home > セキュリティとコンプライアンスブログ > セキュアファイル転送 > SFTPセキュリティ – 本当に安全なのか？

SFTPセキュリティ – 本当に安全なのか？

by Robert Dougherty updated 1月 16, 2025 セキュアファイル転送

Reading Time: < 1 minutes

SFTPでファイルを共有する際にセキュリティは十分ですか？その不安を理解し、SFTPを通じてデータを可能な限り安全に保つ方法をまとめました。

SFTP転送は暗号化されていますか？はい、SFTPはSSHデータストリーム上で転送されるすべてを暗号化します。ユーザーの認証から実際に転送されるファイルまで、データの一部が傍受された場合でも、暗号化されているため読み取ることはできません。

Table of Contents

セキュアファイル転送プロトコル（SFTP）とは？

SFTP（SSHファイル転送プロトコルまたはセキュアファイル転送プロトコル）は、セキュアシェルを介してファイルを転送するためのセキュアなファイル転送プロトコルです。安全でないネットワーク上で2台のコンピュータ間で強力な認証と暗号化されたデータ転送を提供し、通常はリモートサーバーへのファイルのアップロードやダウンロードに使用されます。

企業は、機密性の高いデータや専有データを転送する際に特に重要なSFTPの厳重なセキュリティを利用します。SFTPはデータ転送のための暗号化された接続を提供し、プロセス中に不正なユーザーによってデータがアクセスされるリスクを排除します。また、サーバーとクライアントの両方の認証を可能にし、意図された当事者のみがデータにアクセスできるようにします。SFTPを使用することで、企業は複数の場所やシステム間でファイルを安全に転送し、オフサイトストレージにデータをバックアップすることができます。これにより、データを運ぶために物理的なハードドライブやCDを送る必要がなくなります。SFTPはウェブコンテンツの最も安全な転送形式であるため、ウェブサイトホスティングにも使用されます。

企業は、データが安全に転送されるという安心感を得ることでSFTPを利用するメリットがあります。迅速で信頼性の高いデータ共有を可能にし、生産性を向上させ、時間とコストを節約することができます。SFTPは追加のハードウェアやソフトウェアを購入する必要がないため、コスト効果も高いです。SFTPが提供する暗号化は、他のデータ転送方法に比べて追加のセキュリティ層を提供し、機密情報を安全に保ちます。

SFTPはどのように機能しますか？

セキュアファイル転送プロトコル（SFTP）は、セキュアな接続を介して2台のコンピュータ間でファイルを転送するためのセキュアなプロトコルです。ファイル転送のための暗号化、認証、データの整合性を提供するネットワーキングプロトコルです。ポート22で動作し、SSHを使用してセキュアな接続を作成し、データを暗号化します。接続が確立されると、ユーザーはSFTPプロトコルを使用してファイルを送受信できます。ファイルはリモートディレクトリ内でファイルのコピーを作成するか、スクリプトを使用して転送することもできます。最終的に、SFTPはインターネット上でファイルを安全に転送する方法を提供します。

セキュアファイル転送のためのSFTP：利点と欠点

SFTPは、その高度なセキュリティ機能により、セキュアなファイル転送ソリューションを求める企業の間で人気を集めています。しかし、どの技術にも利点と欠点があります。このセクションでは、SFTPの利点と欠点を探り、SFTPが組織のファイル転送ニーズに適しているかどうかを判断するための情報を提供します。

SFTPのセキュリティとその他の利点

セキュリティ： SFTPはデータを暗号化して転送中のセキュリティを確保し、FTPよりも安全なオプションです。
認証： SFTPは公開鍵認証を使用し、不正なユーザーがデータにアクセスするのを困難にします。
移植性： SFTPは、Windows、Linux、macOSを含むSSH（セキュアシェル）をサポートする任意のプラットフォームで使用できます。
整合性： SFTPはデータの整合性チェックを含み、転送中にデータが改ざんされていないことを確認します。

SFTPの複雑さとその他の欠点

複雑さ： SFTPはFTPよりも複雑で、設定と使用にはより高い技術的専門知識が必要です。
パフォーマンス： SFTPは暗号化と復号化のプロセスが関与するため、FTPよりも遅くなることがあります。
サポートの制限： SFTPはすべてのFTPクライアントとサーバーでサポートされているわけではなく、一部の環境で使用が難しい場合があります。
セキュリティ問題： SFTPはFTPよりも安全ですが、ハッキングやサイバー攻撃に免疫があるわけではありません。SFTPシステムが侵害された事例もあります。

FTPとSFTPの違いは何ですか？

ファイル転送は、多くの大企業にとって日常的なものです。しかし、非常に大きなファイルや大量のファイルを転送する場合、またはバッチファイルを迅速に転送する必要がある場合、これらの企業はメールやフラッシュドライブ以上のものに依存する必要があります。そこで登場するのがファイル転送プロトコル（FTP）です。

FTPは最も古いプロトコルの一つです。コンピュータ間での直接ファイル転送を容易にするために構築され、クライアントサーバーモデルのネットワーキングを活用して、ユーザーがサーバーにファイルをアップロードおよびダウンロードすることを可能にします。

FTPは軽量で使いやすく、ほぼすべてのオペレーティングシステムに何らかのFTP機能が備わっています。さらに、ほとんどのオペレーティングシステムは、転送をさらに容易にするためのいくつかのFTPアプリケーションもサポートしています。

しかし、FTPの利用可能性と速度には代償があります。FTPの送信は暗号化されていません。これは2つのことを意味します：

FTPサーバーに保存されているデータとコンピュータ間で送信されるデータのすべてが攻撃に対して潜在的に脆弱であることです。たとえば、コンピュータ間のFTP送信を誰かが傍受した場合、データはそのまま読み取ることができます。
ログイン資格情報もおそらく暗号化されていないため、この情報もFTPサーバーからハッカーによって盗まれる可能性があります。さらに、ほとんどのFTPサーバーはデータへのアクセスを保護するための高度な認証手段を使用していません。

そのため、FTP自体は安全ではなく、どのコンプライアンスフレームワークの最低要件も満たしていません。必要なセキュリティがない場合、データを保護するための安全なソリューションではありません。だからこそ、多くの組織がSFTPに切り替えています。

SSH（またはセキュア）FTPは、暗号化アルゴリズムを操作の一部として利用することでセキュリティの問題に対処しようとします。SFTPは、ストレージと転送プロセスにセキュアシェル（SSH）プロトコルを含んでいます。これはユーザーにとって何を意味するのでしょうか？それは、データがサーバー内および送信中に暗号化されることを意味します。SFTP転送中にデータが盗まれた場合でも、暗号を解読しない限り、盗んだ者はそれを読むことができません。

セキュリティを確保するために、現代のSSHプロトコルは現代の暗号化を使用します：

SSHはデータを暗号化するためにAdvanced Encryption Standard（AES）を使用します。 AESは対称ブロック暗号であり、複雑な数学と素数の特性を利用して、キーでデータを暗号化します。通常、これはAES-128またはAES-256アルゴリズムの使用を意味し、それぞれ128ビットまたは256ビットのキーを使用します。
SSHはデータの整合性を確認するためにハッシュアルゴリズム、通常はSHA-2を使用します。 「ハッシュ」は、データをハッシュアルゴリズムで処理することで作成される一意の英数字の値です。データが同じハッシュアルゴリズムを通過すると、同一のハッシュが生成されるという考え方です。したがって、データが提供されたものと異なるハッシュを生成する場合、それはデータが変更されたことを示します。

SFTPは、SSH技術を使用して、これらのセキュリティ対策をFTP転送に持ち込みます。さらに、ユーザーアクセスのための追加の認証手段を提供し、クリアテキストのユーザーIDとパスワードの転送を超えた認証を可能にします。

SFTPとマネージドファイル転送（MFT）の比較

SFTPとマネージドファイル転送は、セキュアなファイル転送に使用される2つの人気のあるプロトコルです。どちらも同じ目的を果たしますが、2つのファイル転送方法にはいくつかの重要な違いがあります。

SFTPは、インターネット上でのセキュアなファイル転送に使用されるプロトコルです。データを転送中に保護するために暗号化を使用し、公開鍵認証やデータ整合性チェックなどの高度なセキュリティ機能を含んでいます。SFTPは、あらゆる規模の組織で広く使用されており、ほとんどのFTPクライアントとサーバーでサポートされています。ただし、暗号化と復号化のプロセスが関与するため、SFTPは他のプロトコルよりも遅くなることがあります。

対照的に、MFTはファイル転送のためのより包括的なソリューションです。自動化、スケジューリング、ワークフロー管理などの機能を含んでおり、より堅牢なファイル転送ソリューションを必要とする大規模な組織に適しています。MFTもまた、転送中のデータのセキュリティを確保するために暗号化や認証などの高度なセキュリティ機能を含んでいます。ただし、MFTはSFTPよりも設定と使用が複雑で高価になる可能性があります。

SFTPとMFTを比較する際には、組織の具体的なニーズを考慮することが重要です。組織がファイル転送のためのシンプルでセキュアなプロトコルを必要とする場合、SFTPが最適な選択かもしれません。しかし、組織が自動化やワークフロー管理を含むより包括的なソリューションを必要とする場合、MFTがより適しているかもしれません。最終的に、SFTPとMFTの選択は、組織の具体的なニーズと要件に依存します。

SFTPのセキュリティはどの程度ですか？

SFTP（セキュアファイル転送プロトコル）は、インターネット上でファイルを転送するために使用されるファイル転送プロトコル（FTP）のセキュアバージョンです。ネットワーク上で転送されるデータに対して強力な暗号化を提供し、ユーザー認証も行うため、セキュアなプロトコルです。データとセッション情報を暗号化するためにセキュアシェル（SSH）を使用し、転送中にデータが露出しないようにします。さらに、データが交換される前にサーバーがクライアントを認証し、クライアントがサーバーを認証することを可能にします。これにより、許可されたユーザーのみが機密データにアクセスできるようになります。最後に、ユーザーはデジタル署名を使用してデータの整合性を確認することもできます。

SFTPはFTPよりも安全であり、クライアントとサーバー間で転送されるすべてのデータを暗号化します。ユーザー名やパスワードを含むすべてのデータが暗号化されているため、SFTPはFTPよりも安全です。さらに、SFTPはユーザー認証を要求し、許可されたユーザーのみがデータにアクセスできるようにします。さらに、SFTPはデータが交換される前にサーバーがクライアントを認証し、クライアントがサーバーを認証することを可能にし、追加のセキュリティ層を提供します。これらすべての機能により、SFTPはFTPよりも安全です。

IT部門は、ネットワーク上で転送されるデータに対して高いレベルのセキュリティを提供するため、SFTPを使用することを好みます。また、ユーザーがアクセス制御を簡単に設定できるようにし、許可されたユーザーのみが機密データにアクセスできるようにします。さらに、SFTPを使用することで、デジタル署名を使用してデータの整合性を確認することもできます。これらすべての機能により、SFTPはIT部門の好ましい選択肢となっています。

SFTP認証はどのように機能しますか？

セキュアファイル転送プロトコル（SFTP）は、公開鍵暗号を使用してユーザーを認証します。これには、ユーザーがサーバーに公開鍵をアップロードする必要があり、それを使用してユーザーの身元を確認します。ユーザーがログインを試みると、サーバーは公開鍵を使用して暗号化キーを生成し、ユーザーはそれを使用してログインする必要があります。サーバーはユーザーが入力したキーを復号し、ユーザーの身元を確認し、その後ユーザーにサーバーへのアクセスを許可します。

ファイル転送とGDPRコンプライアンスに関して企業が直面する可能性のある問題は何ですか？

SFTPは正しく設定されていれば、GDPRコンプライアンスを支援することができます。しかし、いくつかの理由から、すぐに対応できるわけではありません：

SFTPはデータの不正な第三者への転送を防ぎません。 これにより、機密性とプライバシーに関するGDPR規則に違反するデータの非準拠な開示が発生する可能性があります。
SFTPはクロススクリプトの脆弱性を管理しません。FTP転送は自動化されることが多く、SFTPも同様です。 しかし、自動化スクリプトやアプリケーションがSFTPアプリケーションの外部でデータを露出させることがあるため、ハッカーに対する攻撃面を提供します。外部スクリプトで露出したデータはGDPRに違反します。
SFTPには中央集権的な監査や文書化が含まれていません。 GDPRを含むほとんどのコンプライアンスフレームワークは、コンプライアンスを示すための文書化を要求します。SFTPは監査ログを含むことができますが、中央集権的なSFTPサーバーがないと、複数のシステムにわたるアクセスを文書化することが難しく、評価者にとって警告信号となる可能性があります。同様に、文書化はプライバシー法に準拠する必要があり、複数のSFTPサーバーにわたると指数関数的に難しくなります。
SFTPは規制や内部ポリシーに必要なファイルとフォルダの有効期限をネイティブにサポートしていません。 多くのフレームワークは、ファイルが永続的に開かれないようにするための自動化されたアクセス自動化を要求します。
SFTPはネイティブに保存時の暗号化を提供しません。 これは管理者が行う必要がある設定であり、通常は他の目的のために変更されていることを意味します。

SFTPはより広範なコンプライアンスをサポートすることができますが、技術は必ずしもすぐにコンプライアンスに対応しているわけではありません。

SFTPサーバーを安全に保つために何ができますか？

SFTPサーバーをより安全にし、コンプライアンスをサポートするために取ることができるいくつかのアプローチがあります：

FTPを無効にする。 自分のサーバーを使用している場合、FTPを無効にすることは潜在的な攻撃ベクトルを封じ込める良い方法です。同様に、第三者のベンダーと協力している場合、彼らがFTPを無効にしているかどうか、そうでない場合はそれを保護するためにどのようなセキュリティプロトコルを持っているかを尋ねることができます。
最強の暗号化を使用する。 現在、AES-256は最も強力な標準暗号化であり、SHA-2ハッシュはデータを認証するための最強のハッシュ暗号化を表しています。両方を含むSFTPサーバーを入手するのは簡単です。
外部アクセスのためのファイルとフォルダのセキュリティを使用する。 SFTP転送中または転送前に第三者がデータを見る必要がある場合にデータを監視し保護するための適切な実践を持つこと。これには、適切なユーザーアクセスとアイデンティティ管理機能が含まれます。
内部アクセスのためのフォルダセキュリティを使用する。 アクセス制御は、個々のフォルダに手動で設定する必要があるため、設定が面倒です。ビジネスユーザーは通常、これを行うスキルや許可を持っていないため、組織はこれらのユーザーがITにアクセス管理タスクを依頼するヘルプデスクチケットを書くことに頼ることがよくあります。Kiteworksプラットフォームには、ビジネスユーザーがこれらのセキュリティ設定を設定し自動化するためのウェブベース（またはモバイル）セルフサービスを提供するソリューションがあります。
文書化と監査を含める。 ほとんどのフレームワークは、コンプライアンスやファイルアクセスなどを文書化する能力を要求します。ファイルアクセスを監視し、ユーザーの同意やその他の要求を文書化する方法を利用することは、GDPRコンプライアンスの重要な部分です。
IPのブラックリストとホワイトリストを使用する。 特に外国や特定の地域からのトラフィックを受け入れる理由がない場合、ブラックリストを通じてサーバーへのアクセスを単にブロックすることが必要かもしれません。
SIEMとのログ統合を提供することで、SOCチームが攻撃を検出し緩和することができます。
外部ユーザーに対して証明書ベースの認証を要求する。 これにより、システムにアクセスする誰もが少なくとも自分が誰であるかを確認するためのセキュリティ証明書を持っていることを確認できます。
SFTPサーバーを強化する。 SFTPサーバーを不正アクセス、データ盗難、マルウェア攻撃を防ぐためにセキュリティ対策を強化して設定したら、それを強化したことになります。アクセス制御、暗号化、認証、監視は追加の強化技術です。
企業のファイアウォールの背後にSFTPサーバーを保護し、不正アクセスに対するDMZとしてファイアウォールを通じてプロキシ層のみを公開します。

KiteworksでSFTPセキュリティを実現

Kiteworksプライベートコンテンツネットワーク（PCN）は、SFTP、メール、ファイル共有、マネージドファイル転送、ウェブフォーム、アプリケーションプログラミングインターフェース（API）などの第三者通信チャネルを単一のプラットフォームに統合し、組織が入出するすべての機密コンテンツを制御、保護、監視できるようにします。これにより、データプライバシー規制や基準に準拠した機密ファイルの安全な共有と転送が可能になります。

Kiteworks SFTPを使用すると、組織はリモートサーバーとの間で機密ファイルを安全に転送でき、顧客記録、アカウント情報、個人識別情報および保護対象保健情報（PII/PHI）などの機密情報を保護するための強力な暗号化対策が講じられています。Kiteworks SFTPは、暗号化されたファイル転送を安全かつ確実に行うために、セキュアなSSHキー交換技術を利用しています。その結果、ユーザーはモバイルデバイスを含む任意のデバイスから大容量のファイルやフォルダを迅速かつ安全に送信できます。明確に言えば、KiteworksのSFTPソリューションは使いやすさを重視して設計されており、ユーザーが既存のワークフローとセキュアなファイル転送を統合できるようにし、コンテンツのセキュリティがビジネスの生産性と競合しないようにしています。

Kiteworks SFTPは、多要素認証、アクセス制御、安全な展開オプション、強化された仮想アプライアンス、保存時の暗号化などのセキュリティ機能を提供します。これらおよびその他のセキュリティ機能により、転送プロセスのすべての段階で機密コンテンツが保護され、医療保険の相互運用性と説明責任に関する法律（HIPAA）、サイバーセキュリティ成熟度モデル認証（CMMC）、連邦リスク承認管理プログラム（FedRAMP）、PCIデータセキュリティ基準（PCI DSS）、SOC 2、FIPS 140-2、EU一般データ保護規則（GDPR）などの主要な規制に準拠することをサポートします。

KiteworksのSFTPとコンプライアンス機能について詳しく知りたい方は、Kiteworksのカスタムデモを今すぐスケジュールしてください。

Tags: セキュリティブルバードのサイバーセキュリティ |