データベースセキュリティの必要性とその対策：ゼロからのリレーショナルデータベース入門（11）（1/3 ページ）

連載バックナンバー

情報セキュリティの重要性の高まり

　情報システムにおけるセキュリティの重要性は、2000年以降に相次いだ個人情報漏えい事件や、米国で発生した不正会計による大企業の破綻などを契機として高まり始めました。

　日本国内でも2005年に個人情報保護法が施行され、2008年には金融商品取引法の改正で「上場企業などは事業年度ごとに財務計算に関する書類などの適正性を確保するための内部統制報告書を提出しなければならない」と規定されました。

　さらに、主要クレジットカード会社が策定したクレジット業界におけるグローバルセキュリティ基準であるPCI DSSも注目を集めました。

　近年では、IoT（Internet of Things）の普及や2016年のマイナンバー制度運用開始などを背景に個人情報保護法が改正され、2017年に施行されました。欧州ではGDPR（EU一般データ保護規則）が制定され、個人データの保護に関する欧州での共通ルールが定められました。

　現在、GDPRによって、PCI DSSが再度注目を集めています。GDPRでは「何を守るべきか」を示してはいても、「どう守るべきか」が明示されていません。対してPCI DSSでは「どう守るべきか」が具体的にイメージしやすい形で示されており、GDPR準拠のためのツールとして利用できるという考え方が広まっているようです。クレジット業界だけでなく、より一般的な個人データ保護のツールとして適用範囲が広がっていく可能性があります。

なぜデータベースにセキュリティが必要なのか

　情報システムのセキュリティ対策の一部である“データベースセキュリティ”が必要な理由は、個人情報漏えいと内部統制で少し異なります。

個人情報漏えい

　個人情報漏えいは、マルウェアやノートPCの紛失などによる「個人端末からの意図しない流出」と、内部の人間による「悪意を持った不正なアクセスによる流出」が主な原因です。

　内部の人間の不正なアクセスによる情報漏えいの特徴は、個人データが「大量に流出する」ことです。大量の個人データが格納されている場所は“データベース”であるため、過去の個人情報の流出事件ではデータベースへの不正アクセスが原因と考えられるケースが多々あります。不正アクセスにより流出する個人情報件数は、ノートPCの紛失などで発生する個人端末からの意図しない流出とは比較にならないほど大規模です。

内部統制

　内部統制におけるIT関連の統制には、「IT業務処理統制」と「IT全般統制」の2つがあります。

　IT業務処理統制とは、業務アプリケーションの処理に不正がないように処理プロセスや処理内容を統制することであり、IT全般統制とは業務処理で使用されるITシステム（インフラ）に不正がないように統制することです。データベースセキュリティはIT全般統制に含まれます。

　業務アプリケーションからは不正な処理がないように統制されていたとしても、データベースセキュリティ対策が行われていなければ、無防備なデータベースに直接アクセスされてしまいます。これにより、例えば財務に関わるデータが不正に改ざんされ、内部統制報告に影響が出てしまいます。

データベースセキュリティ実装の流れ

　データベースのセキュリティの実装は、「目的の確認」「目標設定」「現状の確認と問題点、影響度の洗い出し」「実施すべきデータベースセキュリティ対策の検討と実施」の流れで行います。

（1）目的の確認

　まず、何を目的としてデータベースセキュリティを実装するのかを、明確化します。そうすることでデータベースセキュリティ対策の対象とすべきデータが見えてきます。

　個人情報漏えい対策が目的であれば、氏名や生年月日、財産、マイナンバーなどの個人情報に関するデータが対策の対象となります。内部統制対策が目的であれば、対策の対象となるのは内部統制報告に影響を与える財務に関するデータです。

（2）目標設定

　目標設定のフェーズでは、対策の対象となるデータについて、どのような状態であることが望ましいのかを定義します。

　個人情報漏えい対策と内部統制対策共通の目標もあれば、それぞれ異なる目標も考えられます。例えば、「特権ユーザーは管理者など限定された人間のみが使用可能である」「データベースへのアクセスは限定されている」といった内容は共通した目標となり得ます。

　それぞれの目標例として、内部統制対策では「財務に影響するデータへの更新処理は常に承認が行われている」「統制が有効なことを証明できる」という目標が考えられます。

　個人情報漏えい対策では「個人データは外部に持ち出せない」「個人データへの不正な参照を瞬時に検知できる」「個人データが漏えいした場合には、その対象や影響度、経路を把握できる」などが考えられます。

　このように「どのような状態が望ましいか」という明確な目標を設定することで、現状との差異や実装すべき対策が精査しやすく、実装後の効果測定も明確になります。

（3）現状の確認と問題点、影響度の洗い出し

　現状のデータベース環境を確認し、問題点（目標との差異）とそれによる影響度を検討します。

　例えば、データベース上のユーザーのパスワードがデフォルト設定のままだった場合、不正なデータアクセスにより個人情報が漏えいする可能性があります。影響度は広く、被害者への損害賠償対応などのコストだけでなく、機会損失、イメージ損失なども考えられます。

　データベース管理者が特権ユーザーを自由に使用できる環境であった場合、その影響度はデータの盗難や変更、アカウントやプログラムの変更と多岐にわたります。

（4）実施すべきデータベースセキュリティ対策の検討と実施

　洗い出した問題の影響度を基に実施すべきデータベースセキュリティ対策とその優先度を決定し、具体的な実装方法（データベースの製品機能や対応製品）を検討します。