Part7 コンプライアンスにかかわるストレージの対策
コンプライアンスが重要に
CSR（Corporate Social Responsibility）への意識の高まりと同時に、コンプライアンスの重要性が増している。内部統制を強化し、コンプライアンスへの取り組みを実施することは、企業にとって信頼性の向上や企業体質の強化など、大きなメリットにつながる。 また、最近では企業の業務がITに依存しているため、ITシステムの統制が重要視され、その対策が急務となっている。 IT統制の検証には、システムの活動を記録するデータ（システム・ログなど）を、厳重に長期間にわたって保管し、監査証跡として利用できる状態を維持する必要がある。同様に、機密情報などのように改ざんが許されないデータを確実に保管する仕組みが重要になる。 一方、実際に対策を講じるとなると、大きな手間と時間、そしてコストがかかる。これが、多くの企業にとって大きな課題になっている。
ストレージで改ざん防止を実現
EMCのストレージ「VNXeシリーズ」は、ファイル・データの改ざんを防止する機能「FLR（File Level Retention）」を提供している。 FLRは、VNXeに保存されているファイルに対して、一度だけ書き込みができる属性を適用し、ファイル読み取り以外の操作（更新や削除、名前の変更）が不可能な状態に変更する。これにより、操作ミスによるデータの削除や、悪意のある改ざんの行為から重要なデータを守る（図7-1）。
| 図7-1●操作ミスによる削除や、不正なデータの改ざんを防止 |
 |
| WORM（Write Once-Read Many）機能を提供するVNXeのFLR（File Level Retention）によって、ファイル・データに保存期間を定義し、データの改ざん（更新、名前変更、削除）を防止する。 |
さらに、FLRではファイルに保存期限を設定できる。例えば、未来のある特定の日時にファイル保存期限を設定すると、期限が来るまでデータの更新や削除などの操作が不可能となる。また、5年や10年など、ある一定期間だけ保存期限を設定する運用もできる（図7-2）。
| 図7-2●VNXe FLRの保存期限設定（3種類） |
 |
| VNXeのRLRは、ファイルに対して3種類の改ざん防止期限を設定できる。「無期限」以外は、保存期限に到達すると「保存期限の延長」や「削除」など新たなポリシーが適用できる。 |
運用も自動化できる
保存期限を定義したファイルが、その期限に到達した場合、保存期限を延長することもできる。一方、保存期限が切れた段階で不要となれば、削除することも可能だ。例えば、何らかの社内規制に準拠させる目的で、ある一定期間だけデータを改ざん防止の状態で保管し、その後はデータを削除したいケースに最適である（図7-3）。
| 図7-3●VNXe FLRにおけるファイルのステータス変遷 |
 |
| 保存期限を設定したファイルが保存期限に到達した場合の振る舞いとして、保存期限の延長や削除、改ざん防止措置など、各種の状態でデータを管理できる。 |
また、無償提供のソフトウェア「FLR Toolkit」を利用すると、FLRの運用を自動化できる。ToolkitがインストールされているサーバがVNXeの状態を監視し、必要に応じてポリシーを適用する。
例えば、ある特定のフォルダに保存期限を設定すると、そのフォルダにファイルを保存するだけで、自動的に保存期限が適用される（図7-4）。
| 図7-4●FLR ToolkitによるFLR運用の自動化 |
 |
| FLRの運用を効率化する「FLR Toolkit」を利用すると、ポリシーの自動適用など、運用を効率化できる。 |
また、保存期限が切れたファイルの扱い（削除や期限延長、または別なフォルダへの移動）をあらかじめポリシーとして定義しておけば、長期保管の運用を自動化できる。
ログの改ざんを防止
前述の通り、IT統制の検証には、システムの活動を記録するデータの保管が必要となる。同時に、情報セキュリティの面からも、ITシステムのログを収集して保管することが求められている。このため、ログデータの改ざん防止と長期保管の仕組みは、非常に有効な対策となる（図7-5）。
| 図7-5●ログ・ファイルの改ざんを防止 |
 |
| VNXeのFLRは、ファイルへの追記に限って許可する設定が可能。これを利用すれば、ログ・ファイルの改ざんを防止できる。 |
これに対して、FLRは改ざん防止を適用したファイルに対して追記だけを許可する設定（既存データは更新不可）ができる。これを利用すれば、断続的に記録されるログ・ファイルも、不正に削除されたり変更されたりするリスクから保護できるようになる。
IT統制は、今後さらに重要視される。VNXeの改ざん防止機能は、企業のコンプライアンス対策を支援する1つの解決策になる。
