たとえるなら
手紙を「鍵付きの箱」に入れて送るようなものです。配達の途中で誰かに箱を奪われても、鍵がなければ開けられないので中身は読めません。正しい鍵を持っている受取人だけが、箱を開けて手紙を読めます。
もう少しくわしく
暗号化は、データを一定の規則で変換して、第三者には意味のわからない形にすることです。たとえば「こんにちは」という文章を、規則を知らない人には「x7Gp2...」のような無意味な文字列にしか見えない形に変えます。元に戻すことを復号と呼び、正しい鍵（復号のための情報）を持つ人だけが元のデータを読めます。鍵を持たない人にとっては、意味のない文字の羅列でしかありません。
暗号化が守っているのは、主に2つの場面です。ひとつは通信の途中。Webサイトの通信（HTTPS）では、入力したパスワードやクレジットカード番号が暗号化されて送られるため、途中で盗み見られても読み取れません。もうひとつは保管中のデータ。サーバーやパソコン、スマホの中身を暗号化しておけば、機器ごと盗まれても読まれずにすみます。
混同されやすいのがパスワードとの違いです。パスワードは「本人かどうかを確かめる合言葉」、暗号化は「データを読めない形に変える技術」で、役割がまったく違います。もうひとつ紛らわしいのがハッシュ化で、こちらは元に戻せない一方通行の変換です。預かったパスワードは、復号できる暗号化ではなくハッシュ化で保存するのが基本です。この2つを混同したまま設計すると、パスワードを元に戻せる形で保存してしまう事故につながります。
実務では、暗号化の仕組みを自分で考えることはほとんどありません。Webサイトなら証明書を入れてHTTPSにする、データベースやディスクは保存時の暗号化を有効にする、プログラムの中では実績のある部品を呼び出す——すでに検証された仕組みを正しく設定して使うのが仕事です。設定はインフラやセキュリティの担当が整え、証明書の期限は運用で見張ります。
落とし穴の代表は、鍵の扱いです。パスワード付きのファイルと解除用のパスワードを同じメールで送れば、盗み見た人は両方まとめて手に入れられます。鍵をプログラムの中に書いたまま外部に公開してしまう事故もよく起きます。証明書の期限切れでサイトが開けなくなる、古い方式を使い続けている、といった失敗も定番です。どれも技術の難しさではなく、運用の甘さから起きています。
「暗号化して送ってください」と言われたときは、具体的にどの方法を使うのか確認するのが安全です。会社ごとに決められた手段があり、パスワード付きZIPを禁止してクラウドの共有リンクに統一している現場も増えています。鍵やパスワードは、ファイルとは別の経路で伝えるのが原則です。自己流の工夫が事故につながる分野だと覚えておいてください。
覚えておきたいのは、暗号化は「絶対に解けない」のではなく「現実的な時間では解けない」ものだということです。だから古い方式は時間とともに使われなくなります。また、通信が暗号化されていても、相手が信頼できるかどうかは別の話です。鍵マークの付いた偽サイトも存在するため、暗号化はセキュリティの一部でしかありません。ほかの対策と組み合わせて初めて意味を持つ技術だと考えてください。
現場での使われ方
「このファイル、暗号化して送ってください」
そのまま送ると途中で読まれる危険があるので、鍵がないと開けない形にしてから送ってほしいという依頼です。会社で決められた手段があるかを先に確認してください。
「パスワードは別の経路で送ってください」
ファイルと解除用のパスワードを同じメールで送ってしまうと、盗み見た人に両方まとめて渡ります。チャットや電話など、経路を分けて伝えるのが基本の作法です。
「保存時の暗号化は有効になっていますか？」
サーバーやデータベースに置いたデータそのものを暗号化する設定の確認です。機器やディスクごと持ち出されたときの備えとして、設計レビューや監査の場面で聞かれます。
「暗号化は自作せず、標準の仕組みを使いましょう」
暗号の仕組みを自分で考えると、専門家が見れば穴のあるものになりがちです。世界中で検証された既存の部品を使うのがこの分野の鉄則で、自作は避けるのが原則です。
よくある質問
暗号化とパスワードの違いは何ですか？
パスワードは「本人かどうかを確かめる合言葉」、暗号化は「データそのものを読めない形に変える技術」です。役割が違うため、どちらか一方では守りきれません。パスワードで入り口の本人確認をし、通信と保管を暗号化する——この組み合わせで、初めてデータが守られる形になります。
暗号化とハッシュ化は何が違うのですか？
暗号化は鍵があれば元に戻せますが、ハッシュ化は元に戻せない一方通行の変換です。用途が分かれていて、やりとりするデータは暗号化、預かったパスワードはハッシュ化して保存するのが基本です。「パスワードを暗号化して保存」と聞いたら、実際はハッシュ化を指していることが多いです。
暗号化すれば絶対に安全ですか？
そうとは言えません。暗号化は「途中で盗み見られても読めない」ための技術で、正しい鍵を持つ人からは当然読めます。ログインできる人が中身を持ち出せば意味がありませんし、鍵の管理が甘ければ守りは崩れます。権限の管理や運用のルールとあわせて、初めて機能する技術です。
パスワード付きZIPをメールで送るのは安全ですか？
同じメールでパスワードまで送るなら、ほとんど意味がありません。また、暗号化されたファイルはウイルス検査をすり抜けることがあるため、社内で禁止している会社も増えています。クラウドの共有リンクに切り替える動きが広がっているので、自社のルールを確認してください。
暗号化の仕組みを自分で作ってはいけないのですか？
業務では作らないのが原則です。暗号は数学の理論に基づいて設計され、世界中の専門家の検証を経て安全性が確かめられています。思いつきで作ったものは、見た目は読めなくても簡単に破られることがあります。学習のために試すのは自由ですが、本番には既存の仕組みを使ってください。
