サイバー攻撃や内部不正アクセスの増加により、現在、企業データが多くの脅威にさらされています。また、GDPRやISO27701による規則に沿ったセキュリティ対策や、より強固なデータ保護が求められている組織も多いでしょう。

このようにデータがますます重要な資産となる中で、企業が直面するリスクも多様化しています。
そこで、多彩なセキュリティ機能を組み合わせより強固な保護のため、Oracleは暗号化、認証、アクセス制御、監査など様々なセキュリティ機能を提供しています。

第一回目の記事では近年の情勢より、データベースでもセキュリティを行うべき背景について解説しました。

この記事ではさらに踏み込み、データベースを取り巻く主なリスクと、それに対する対策、そしてOracle Databaseがどのようにそれをカバーしているかを見ていきます。

データベースを取り巻くリスク

まず、データベースにはどのようなリスクがあるのでしょうか？
たとえば、設定ミスや過剰な権限付与などは、不正アクセスやデータ流出の大きな原因となることが多いです。
人間はうっかりミスをしてしまう生き物ですから、ちょっとしたミスや不備が引き金となり、大きなセキュリティの穴になってしまうことも。

そういった人為的なエラーを防ぐためのリスク管理リストとして、航空業界では「Dirty Dozen」と呼ばれるものがあります。Oracleはこれになぞらえ、データベースの”Dirty Dozen”を以下の12項目にまとめています。

このようなリスクが実際にどういうインシデントに繋がるのでしょうか？
各リスクにおける具体的な例と対策をまとめたのが次の表になります。

この記事の後半では、各リスクに対する具体的な対策と、それに関連するOracle Databaseのセキュリティ機能について軽く触れていきます。
まずは、ここで紹介したような設定や管理ミスが、大きなリスクとなり得ることを認識し、自社のシステム環境を改めて見直してみましょう。

一方、外部からの脅威も無視できません。
サイバー攻撃の手口や技術は日々進化していますから、常に最新のトレンドを把握し、優先的に対処すべき脅威を見極めることが大切です。
近年のリスクを正しく評価し、対策を優先順位付けるためには、OWASPの「OWASP Top 10」やIPAの「情報セキュリティ10大脅威」など、最新のリストを参考にするのが効果的です。

参考：
・OWASP Top 10
・IPA – 情報セキュリティ10大脅威 2024

データベース・セキュリティ対策における5つの統制

セキュリティ対策は、主に「予防的統制」と「発見的統制」に分けることができます。

• 予防的統制

  • 暗号化やアクセス制御などによって、権限のないユーザーによるセキュリティ事故の原因や状況を未然に防ぐ

  • 特に外部からの不正アクセスに対して有効

• 発見的統制

  • ユーザーやアプリケーションのアクセスを監視し、脅威を検出

  • 主に内部不正やユーザーの乗っ取りに対して有効

Oracleはさらにこれらの統制に加えて、「評価統制」「データ統制」「ユーザー統制」という3つの補助的な統制を上げています。

• 評価統制

  • 構成の変更を監視し、データベース構成やユーザー設定等を評価

• データ統制

  • データベースの行・列レベルの細かいレベルでアクセスを制御

  • 複数のアプリケーションやクライアントに対して一貫した認可

• ユーザー統制

  • 適切なユーザー認証を行い、正規のユーザーのみがデータにアクセスできるようにする

これら5つの統制をバランスよく組み合わせた対策を推奨しています。

Oracle Databaseが持つセキュリティ機能

次に、上記の5つの統制に基づいて、Oracleデータベースが提供する具体的なセキュリティ機能を以下の表にまとめてみました。

各機能の詳細については、次回以降で詳しく解説していきます。

まとめ

第一回の記事でも触れましたが、実際にデータベース層でのセキュリティ対策を行っている企業はまだ少ないのが現状です。
しかし、データベースセキュリティは、企業にとって大切なデータを守るために欠かせない要素になります。
今回ご紹介した「Dirty Dozen」などを参考にして、まずは自社のセキュリティポリシーを見直し、現在抱えているリスクを評価することから始めてみましょう！  

上の表の「評価統制」に該当します、DB構成を簡単に評価できるツール「DBSAT」については、こちらの過去の記事で紹介していますので、ぜひご覧ください。

次回からは、今回最後にご紹介した各セキュリティ機能について、さらに詳しく見ていきますのでお楽しみに！