データベースセキュリティとコンプライアンス〜個人情報保護法から日本版SOX法へ〜第2回

データベースセキュリティ導入のメリット

企業にとってデータベースセキュリティの導入は、次のようなメリットをもたらします。

定期的な脆弱性の評価によるデータベースの堅牢性保持

データベースの脆弱性を定期的にチェックすることで、堅牢性の低下を防ぐことができます。データベースシステムを運用していると、退職した社員のユーザIDが削除されずに残っていたり、最新のパッチが適用されずに放置されていたりして、データベースの堅牢性が日々低下していきます。「脆弱性評価」機能によりデータベースの脆弱性を定期的にチェックして必要な対策を行うことで、このような堅牢性の低下を防ぐことができます。

アクセス監視による不審なユーザ操作の自動検出

現状のシステムでは不可能な不審ユーザによる操作を自動的に検出することが可能になります。

通常、不審な操作として定義されるルールには次のようなものがあります。

ユーザIDの登録
ユーザIDに対する権限の追加・変更
テーブルなどのオブジェクト追加・変更・削除

表1：不審な操作として定義されるルール

データベースセキュリティではこれらの重要な操作に対して、あらかじめ設定したルールに基づきユーザのデータベース操作を監視し、セキュリティ管理者がそれらの操作すべての通報を受け取ることができます。事前申請されたデータベース管理者の作業内容とつき合せてチェックを行うことで、事前申請のないものを違反として厳しく取り締まることが必要です。

さらに各企業におけるシステム運用方法により、次のような監視ルールの設定により、異常を検知できます。

定められたPC以外からのデータベースへのアクセス
定められたOSのユーザ以外からのデータベースへのアクセス
指定した時間帯以外、および休日のアクセス
短時間にあるテーブルから大量のデータが読まれた場合

表2：監視ルールの設定

例えば、最近発覚したある銀行の情報漏洩の事故などは、まさにデータベースセキュリティが導入されていれば…というケースです。ユーザごとに業務上関わりのない重要情報（顧客情報など）の読み取りを監視ルールに定義しておくことにより、例えば外注先の一作業者の不審な行為を検出できるわけです。

リアルタイム通知によるデータベース被害の最小化

表2の監視ルールで検出された不審なアクセスは、即座にセキュリティ管理者にメールで通報されます。メールを受け取ったセキュリティ管理者は迅早なアクションを取ることにより、外部への情報漏洩を未然に防いだり被害を最小化するための対応を行うことができます。

ログ保存による犯罪証拠の保持

検出したユーザの不審な行動や重要情報が保管されているテーブルに対するアクセスを監査ログとして記録・保持します。

この監査ログは、データベースへの不正行為が発覚した時の監査証拠として使われたり、個人情報保護法で求められている個人データへのアクセス記録や、日本版SOX法における内部統制のための監査ログとして用いることができます。