Oracleだけで情報セキュリティはここまで守れる 相次いで発生する企業の個人情報漏えいや不正アクセス被害。Oracleデータベースでは攻撃を3種に分けて適切な対策を提供する

　企業を舞台とした情報漏えい事件が後を絶たない。どのような情報がどのような状況で漏れたのかは個々の事件で異なっている。しかし、コンピューティングシステムに入っているデータは常に侵害の危機にさらされているということを共通認識にしなければならない時代になった。
　
　「まず心しておきたいのは、機密性を持った情報を誰もが見られる形で安易にコンピュータに収めておかないということだ」と、日本オラクル マーケティング本部 システム製品マーケティンググループ 担当シニアマネジャー 北野晴人氏は語る。

　PCのセキュリティは決して堅固とはいえない。ワープロソフトや表計算ソフト上で作成された情報は盗まれたら最後、さまざまな場所に拡大する。守るべき情報はデータベースに格納する。データベースファイルの形であれば、閲覧できるスキルを持つ人間は自然と絞られてくる。これがセキュリティの第一段階だ。
　
　しかし、データベースに入れただけでは対策は万全ではない。次に考えるべきは、その中の情報をどう守るかだ。その仮想の敵は大きく3種に分類することができる。

　まず第一は、アクセス権を持たない人間からの攻撃だ。これには厳密なユーザー認証で対応する。Oracleにはそもそも、3回パスワード入力に失敗したらアクセス自体を拒絶したり、簡単なパスワードを許可しなかったり、過去に使ったパスワードを2度と使用できなくするなどのアクセス管理機能が備わっており、不正な侵入を防御できる。昨今、企業情報システムでは複数のアプリケーションを同時に利用するケースが増えていることから、シングルサインオン機能が望まれている。しかし、便宜性を追求するあまり、簡単なID・パスワードで一元管理することになっては、すべてのシステムに侵入する足がかりとされてしまう。そのような場合に有効なのが、「Oracle Internet Directory」と「Oracle Advanced Security」だ。ユーザーの一元管理を支援するだけでなく、指紋や虹彩、ICカード、電子証明書（PKI）などを使った外部認証システムと密接に連携することにより、堅固なユーザー認証機能を確立できる。

Oracleのデータベース・セキュリティ機能。セキュリティを侵害する3種の攻撃に対応する（クリックで拡大します。提供：日本オラクル）

　2番目に問題なのは、情報へのアクセス権を部分的に有している人間からの攻撃である。今日、企業活動は外部組織との協業により成り立っているといっても過言ではない。しかし、そのために機密情報が漏れやすくなっているのもまた事実である。このケースにおける重要な対策は、アクセス権者の属性と情報の機密度に応じたアクセスコントロールである。

　それを実行するために持っている情報の重要性をランク付けをし、それらの情報の開示についてポリシーを立案する。営業部員に人事部が持っている社員情報は見せるが、その家族情報や給与情報は見せない、人事部員に営業部が持っている取引先の売り上げ情報は見せないといった具合である。

　オラクルの「仮想プライベートデータベース（VPD） 」という機能は、こうしたポリシーベースのデータベースアクセスを実現するために有効である。PL/SQLで書かれたストアドプロシージャの適用によるファイングレイン・アクセスコントロールでSQL文を動的に変更することにより、権限のない人間には初めから情報を見せないというデータベース操作が行える。これを利用すれば必要な数だけ多くのビューを作成して対処するよりもずっと管理が容易になる。よくセキュリティというとデータの暗号化が話題になるが、それはこうした厳密なアクセスコントロールポリシーの先にある方策といえる。

　そのうえでデータファイルを盗まれる、バックアップメディアが盗まれるなどの危険が考えられる場合には標準で添付されているパッケージを利用して格納データの暗号化を実現することができる。 従来利用されてきた「OBFUSCATION TOOLKIT」に加えて、「DBMS_CRYPTO」が新たに追加されたことで利用できる暗号アルゴリズムなどの幅がより広くなっている。またパフォーマンスへの影響を最低限に押さえるため各列ごとに暗号化することが可能になっている。

　通信経路上で内部関係者によって盗聴される危険がある場合には「Oracle Advanced Security」の機能を使ってサーバ・クライアント間、データベース・アプリケーションサーバ間、データベース間などの通信データを暗号化することも可能となっている。

　最後に考慮しなければならない攻撃は、業務上必要な正しいアクセス権を有している人間、データベース管理者やそのほかの大きな権限を持つユーザーによるものだ。 これはデータベース上で監査を行ってチェックする。データベース管理者は業務上の必要からさまざまな形でデータベースにアクセスするが、それでもやはり怪しい操作というのは存在する。例えば真夜中に顧客情報へ何度もアクセスしている、メンテナンスの時期でもないのに社員の給与マスタを頻繁にのぞく、などといった行為だ。

　Oracleでは、データベース管理者であっても望ましくないデータベースアクセスには「DBA監査機能」を使って監査ログをデータベース管理者の手の届かないOSのフラットファイルに吐き出すことで記録の改ざんを防ぎ、管理者の行動を含めた客観性のある監査を行うこともできる。

　またそれ以外のユーザーに対しては「ファイングレイン監査」機能を使ってより詳細な監査ポリシーを設定し、不要な監査動作・ログを減らすことで効率的な監査を行うことができる。 ファイングレイン監査では、付随する「ユーザ定義アクション（イベントハンドラ）」を使うことで不審な行為があったときにはただちに第三者に知らせる仕組みを確立できる。知らせる先は電子メールであったり、ポケットベルであったり、さまざまな形態が取れるので、企業の事情に合わせることが可能だ。
　
　近年、セキュリティへの関心の高まりから、関連製品が数多く市場に登場しているが、Oracleだけでもかなりの情報防衛が可能なのだ。いまそこにある危機から身を守るために、迅速に対策を取りたいものである。

Oracle Technology トップページへ