鍵管理とは（全体像）
暗号は、鍵があってはじめて成り立つ。だから、いくら暗号方式が強くても、鍵が盗まれたら中身は読まれてしまう。そこで、鍵そのものを安全に生成・保管・配布・廃棄するのが鍵管理だ。
鍵を守る代表的な道具が、専用ハードのHSM、クラウドのKMS、統合管理ソフトのVault。さらに、鍵を定期的に交換する（ローテーション）ことで、万一の漏えいリスクを下げる。
押さえるのは、3つの道具の違いと、鍵ローテーションだ。
詳しく：道具とローテーションを押さえる
ここが心臓部。鍵を守る道具を整理する。
鍵管理のおもな道具
| 道具 | 内容 |
|---|---|
| HSM | 鍵を守る専用ハード。物理的に頑丈で、金融・CA・政府などで使う |
| クラウドKMS | クラウドの鍵管理サービス（AWS・Azure・GCP）。HSMを土台にしている |
| Vault | 鍵・証明書・パスワードを統合管理するソフト（HashiCorp） |
| BYOK | 自分で用意した鍵を持ち込む方式 |
そして、鍵の扱い方のポイント。
鍵の扱い方
| 項目 | 内容 |
|---|---|
| 鍵ローテーション | 鍵を定期的に交換して、漏えいリスクを下げる（固定しない） |
| 鍵の階層 | マスター鍵（CMK）でデータ用の鍵（DEK）を守る、という重ね方 |
言葉を噛み砕いておく。
- HSMは専用ハード … 鍵を入れる「頑丈な金庫」のような機器。こじ開けようとすると鍵が壊れるしくみで、物理的にも守る。
- KMSはHSMを土台にしたサービス … クラウドKMSは、内部でHSMを使って鍵を守っている。だから「KMS＝HSM」ではなく、KMSはHSMを土台にしたサービス、という関係だ。
- 鍵ローテーション … 同じ鍵を使い続けず、定期的に新しい鍵へ交換する。万一漏れても被害を小さくできる。
わかりやすく言い換えると
つまり、鍵管理は「金庫の鍵そのものを安全に管理する」ことにたとえるとスッと入る。
どんなに頑丈な金庫（暗号）でも、鍵を盗まれたら開けられてしまう。だから鍵そのものを厳重に守る。HSMは、鍵を入れる「こじ開けると壊れる頑丈な箱」。クラウドKMSは、その箱をクラウドが代わりに管理してくれるサービス（中身はHSM）。Vaultは、鍵やパスワードをまとめて預かる金庫番ソフトだ。
さらに、鍵はずっと同じものを使わず、定期的に交換する（ローテーション）。こうすれば、万一漏れても被害を小さく抑えられる、というわけだ。
試験のツボ
🔴 一番出る：道具の役割
①HSM＝鍵を守る専用ハード（物理的に頑丈）
②クラウドKMS＝HSMを土台にした鍵管理サービス／Vault＝統合管理
🔴 次に出る：KMSとHSMの関係・ローテーション
①KMSはHSMを土台にしたサービス（KMS＝HSMではない）
②鍵は固定せず、定期的に交換（ローテーション）する
🟡 押さえると安定：鍵が漏れたら暗号は無意味。だから鍵そのものを守る
よくある間違い
①「KMSとHSMはまったく同じものだ」→ ✗ クラウドKMSはHSMを土台にしたサービス。同じではなく、土台と使い手の関係。
②「鍵は一度作ったらずっと同じものを使い続ければよい」→ ✗ 定期的に交換（ローテーション）して、漏えいリスクを下げる。
③「暗号方式さえ強ければ、鍵の管理はしなくてよい」→ ✗ 鍵が漏れれば暗号は無意味。鍵そのものの管理が大事。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（鍵管理の道具）
鍵管理の道具に関する次の記述のうち、正しいものはどれか。
- HSMは画面の文字を大きくする表示の機器のことで、鍵を守ることとは関係しないとされているのが実情だ
- クラウドKMSは通信を速くするためだけのサービスで、鍵の管理とはまったく関係がないとされているのだ
- HSMは鍵を守る専用ハードで物理的に頑丈、クラウドKMSはHSMを土台にした鍵管理のサービスである
- Vaultはデータを自動で削除するだけの道具で、鍵やパスワードの管理にはいっさい使えないとされている
解答は 3 である。
HSMは鍵を守る専用ハードで物理的に頑丈、クラウドKMSはHSMを土台にした鍵管理のサービス。役割を分けて押さえるとよい。
選択肢1の画面拡大、選択肢2の通信速度、選択肢4の自動削除は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | HSMは鍵を守る専用ハード |
| 2 | ✗ | KMSは鍵管理のサービス |
| 3 | ✓ | HSM＝専用ハード・KMS＝HSM基盤で正しい |
| 4 | ✗ | Vaultは鍵やパスワードを統合管理する |
オリジナル問題2（KMSとHSMの関係）
クラウドKMSとHSMの関係に関する次の記述のうち、正しいものはどれか。
- クラウドKMSはHSMをまったく使わない別物で、両者にはいっさい関係がないとされているのが実情である
- クラウドKMSはHSMを土台にした鍵管理のサービスで、両者は土台と使い手の関係にあたるものである
- クラウドKMSとHSMはまったく同じものの別名で、役割にも違いはないものとされているのが実情である
- クラウドKMSは紙の書類を保管する倉庫のことで、HSMや鍵の管理とは関係しないとされているものだ
解答は 2 だ。
クラウドKMSは、内部でHSMを使って鍵を守る。つまりHSMを土台にした鍵管理のサービスで、「KMS＝HSM」ではなく土台と使い手の関係だ。
選択肢1は「まったく関係ない」が誤り。選択肢3は「まったく同じ」が誤り。選択肢4は「紙の倉庫」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | KMSはHSMを土台に使う |
| 2 | ✓ | HSMを土台にしたサービスで正しい |
| 3 | ✗ | 同じものではない |
| 4 | ✗ | 紙の倉庫ではない |
オリジナル問題3（鍵ローテーション）
鍵の扱い方に関する次の記述のうち、正しいものはどれか。
- 鍵は定期的に交換（ローテーション）して、万一漏れても被害を小さく抑えることが大切であるとされている
- 鍵は一度作ったらずっと同じものを使い続けるのが最も安全で、交換する必要はないとされているのである
- 鍵は通信を速くするための番号にすぎず、漏えいや交換とはまったく関係がないとされているのが実情である
- 鍵は画面の明るさを調整するための設定のことで、暗号や管理とはいっさい関係しないとされているものだ
解答は 1 だ。
鍵は定期的に交換（ローテーション）して、万一漏れても被害を小さく抑えるのが大切。同じ鍵を使い続けない、というのがポイントだ。
選択肢2は「ずっと同じが最も安全」が誤り。選択肢3の通信を速くする番号、選択肢4の明るさ調整は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 定期交換で被害を抑えるで正しい |
| 2 | ✗ | 同じ鍵を使い続けるのは安全ではない |
| 3 | ✗ | 通信を速くする番号ではない |
| 4 | ✗ | 明るさ調整とは無関係 |
まとめ
押さえどころ
- 🔴 鍵管理 ＝ 暗号で使う鍵を安全に生成・保管・配布・廃棄するしくみ。鍵が漏れたら暗号は無意味。
- 🔴 道具はHSM（鍵を守る専用ハード）／クラウドKMS（HSMを土台にしたサービス）／Vault（統合管理）。
- 🟡 KMSはHSMを土台にしたサービス（同じではない）。鍵は固定せずローテーション（定期交換）する。
次に学ぶ
- PKI（信頼チェーン・OCSP） ── 鍵管理と並ぶ、公開鍵を保証する証明書のしくみ。
- AES・共通鍵暗号 ── 管理する鍵が使われる、共通鍵暗号のしくみ。
- RSA・ECC（公開鍵暗号） ── 公開鍵と秘密鍵という、鍵が2つの暗号のしくみ。
執筆: SikakuQuest編集部