データベースセキュリティによる内部統制の構築

情報セキュリティの変遷とデータベースセキュリティ

   90年代後半以降、インターネットの急速な普及により情報セキュリティとITシステムのリスクは大幅に様変わりしています。

   まずインターネットによって世界中のコンピュータがオープンなネットワークで結ばれた結果、官庁や大企業などのサーバに入り込み、機密情報を読み出 したり、内容を書き換えてしまうなどの愉快犯的な犯行が流行しました。このような外部の不審者による社内のサーバへのアクセスを防止する仕組みとしてファ イアウォールやIDS、IPSといった製品が次々と開発され急速に普及しました。

   またPCが1人に1台の時代となり、メールなどを介してウイルスがPCに感染し自分のPCの中のデータが破壊されたり、知らないうちに他人にもウイ ルスの感染を広げてしまうといった問題が発生しました。このため最新のウイルスを発見して取り除くワクチンソフトもなくてはならない存在となっています。

   このように企業のセキュリティ対策の第1世代は、外部の不審者から社内のシステムやPCに保管されたデータを守ることが中心といえるでしょう。

第2世代のセキュリティ対策

   情報セキュリティに関する問題として次に注目されたのは、不注意あるいは不正により企業の大切な情報が社内から社外に漏れてしまう事故です。これら の事故はPCそのものが盗難にあったり、社内の顧客情報などを記録デバイスにコピーして持ち出してしまうような悪意を持ったユーザによる犯罪的行為による ものでした。

   このような情報漏洩の対策としてPC内のデータの暗号化、指紋や顔による個人認証などの第2世代のセキュリティ対策が普及して、様々なソリューションが生まれています。

   これら第1、第2世代を通じて見落とされてきた領域があります。それが本連載でテーマとして取り上げるデータベースセキュリティです。

データベースセキュリティとは

   データベースには企業の重要な情報が保管されているにもかかわらず、IDとパスワードだけでセキュリティ管理されているケースがほとんどであり、企業の重要な情報は甚大なリスクにさらされているといっても過言ではありません。

   もし仮に強力な権限のある管理者ユーザIDとパスワードが何者かによって盗まれてしまった場合、機密情報の読み出し・変更・削除がいとも簡単にでき てしまいます。特に情報の読み出しには足跡が残らないので、大切な情報が外部に渡って事件が発覚するまで、「いつ」「誰が」「何をしたのか」をまったく把 握できないのが実態です。

   このような状況を解決して、企業の最も重要な情報が保管されているデータベースそのものを守る仕組みとして開発されたのがデータベースセキュリティなのです。

   データベースセキュリティはユーザがデータベースに対して行った行動をすべて監視します。そしてルールとして許可された以外の不審なアクセスが検知 された場合にはセキュリティ管理者に即座に通報が届く仕組みになっており、情報漏洩事故を水際で未然に防ぐことができるのです。

   図1は、データベースセキュリティと他のセキュリティ製品がカバーしている脅威と守っているIT資産の領域の比較マップを示しています。

図1：様々なセキュリティ対策とデータベースセキュリティの位置づけ
（画像をクリックすると別ウィンドウに拡大図を表示します）

   図1を見ると企業の重要情報が保管されているデータベースが社内で無防備なままになっていることが理解していただけると思います。

   それでは次に、法的観点から個人情報保護法とSOX法を取り上げ、データベースセキュリティとの関係について見ていきましょう。