データベース セキュリティ入門
今日のデジタル化された世界では、あらゆる組織の IT インフラの中核は、間違いなくデータベース システムだと言えるでしょう。データベースには、機密性の高い顧客データから独自のビジネス インテリジェンスまで、幅広い情報が保存されています。だからこそ、データベースはサイバー攻撃の主要な標的になります。データベース管理者（DBA）として、組織のデータベースを データベース セキュリティ から守り、ダウンタイムやデータ侵害を防ぐためには、しっかりとした理解が必要です。この記事では、適切なスタートを切るために理解しておくべき主要な概念、ベスト プラクティス、および必要なツールを解説します。
ガイドのダウンロード：
データベースセキュリティとは？
データベースセキュリティとは、不適切なユーザーアクセス、誤用、盗難、または紛失からデータベースを守るための対策、ツール、およびポリシーのことです。これには、誰がデータベースにアクセスできるかを制御すること、データベース内のデータを保護すること、さらにデータが移動されたりアクセスされたりする際のデータの保護も含まれます。効果的なデータベースセキュリティ基準は、組織の貴重な情報資産を保護し、その結果として、顧客の信頼を維持し、データ侵害によって生じる金銭的および評判上の損害を回避するのに役立ちます。
ただし、組織は、データ セキュリティ を最大化することを目的に設計された対策が、しばしばユーザーの不満につながり、生産性を低下させることがある点を忘れてはなりません。皮肉にも、これはユーザーがセキュリティ対策を回避してしまう結果を招き、結果的にセキュリティを損ねることにもなり得ます。たとえば、複雑で頻繁な変更を求めることでパスワード侵害のリスクから保護するのに役立つ一方で、ユーザーを苛立たせ、パスワードを使い回したり、メモして保管したりするなどの安全でない運用につながる可能性があります。こうした問題を避けるために、組織はデータベースのセキュリティ対策と、ユーザー体験への影響とのバランスを取る必要があります。
データベースセキュリティの構成要素
データベース保護対策の中核的な目的は、機密性・完全性・可用性の確保によって、機微な情報を保護することです。ここでは、それぞれの目的を詳しく説明します。
機密性
機密性とは、特定の情報にアクセスできる権限を持つ人だけがアクセスできるようにすることを指します。個人情報、金融情報、知的財産などの機微なデータでは、無断での開示、データ漏えい、および情報の誤用を防ぐことが特に重要です。データの機密性を維持することは、個人のプライバシー権を明確に保護する GDRP のような法律を含む、法的・規制上の要件を満たすうえでも不可欠です。データの機密性が侵害されると、法的な罰則、金銭的損失、組織の評判の毀損など、重大な問題につながる可能性があります。
完全性
これは、データのライフサイクル全体を通じた正確性、一貫性、信頼性を指します。目的は、保存、転送、取得の各段階でデータが不適切に変更されることがないようにし、データの破損、無許可のアクセス、エラーから守ることです。データの完全性を維持することは、意思決定におけるデータの信頼性を確保するうえで重要であるだけでなく、規制への準拠にも欠かせません。データの完全性を維持する手法には、アクセス制御、データ検証、暗号化、定期的な監査などがあります。
可用性
データは必要なときに、認可されたユーザーがすぐにアクセスできる状態である必要があります。可用性は、事業の継続性、意思決定、サービスレベル契約（SLA）への準拠、そして運用効率にとって重要です。高いデータ可用性を確保するには、データ損失やダウンタイムを軽減するシステムと運用を導入することが必要です。たとえば、バックアップシステムやフェイルオーバー機構による冗長化、ネットワーク基盤の維持と監視、災害復旧計画におけるベストプラクティスの遵守などが含まれます。
データベースのセキュリティに対する脅威
さまざまな個別の脅威によって、データベースシステムに保存されたデータの機密性、完全性、および可用性が損なわれる可能性があります。最も一般的なもののいくつかを以下に示します。
- インサイダー脅威s
- ソフトウェアの脆弱性の悪用
- サービス拒否攻撃
- マルウェア攻撃
- バックアップへの攻撃
それぞれを見ていきましょう。
インサイダー脅威
データベースへのアクセス権限を付与された任意のアカウントは脅威です。これらの脅威には2種類があります。
- 不注意による脅威
- 意図的な脅威
不注意による脅威
- 意図せず発生する脅威には、通常、うっかりした行動によって害をもたらし得る不注意な内部関係者が含まれます。たとえば、業務担当者は次のようなミスをすることがあります。
- データの取り扱いミス
- 弱い パスワードの使用
- フィッシング詐欺に引っかかり、データベースの認証情報を提供してしまうこと
- IT担当者が、ユーザーに過剰なアクセス権限を付与してしまうことがあるほか、
- 機密データの暗号化に失敗する
- 攻撃者に悪用されるような形でデータベースを誤設定する
- セキュリティパッチを適用できず、既知の脆弱性が攻撃者に悪用される格好の状態のまま放置される。
テクノロジー業界における内部脅威への対策
詳しく見る意図的な脅威
意図的な脅威には、通常、自分のアクセス権を悪用する悪意ある内部者が含まれます。 彼らは、データを盗む、漏えいさせる、または破壊するために、意図的にアクセスを乱用します。悪意ある内部者には、正当なアカウントの保有者だけでなく、アカウントを侵害（乗っ取り）したあらゆる敵対者が含まれます。動機は、競合他社に機密情報を売るといった個人的な利益や、組織への復讐など、個人的なものになり得ます。内部の脅威は、正当なアカウントによる不適切な行為が検出しにくい場合があるため、特に厄介です。
ソフトウェアの脆弱性の悪用
ソフトウェアの脆弱性とは、データベース管理ソフトウェアの設計、実装、または設定における弱点であり、攻撃者はこれを悪用して不正アクセスを得たり、機密データを抽出したり、データベースサービスを妨害したりすることができます。これらの脆弱性は、次のようにさまざまな要因から生じ得ます。
- コードの誤り
- 入力検証の欠如
- 安全でないデフォルト設定
- 古いソフトウェアのバージョン。
インジェクション攻撃
ソフトウェアの脆弱性を悪用するための一般的な戦略の1つは インジェクション攻撃です。 これらの攻撃は、Webアプリケーションのソフトウェアにある脆弱性を悪用し、検証されていない入力を通じて悪意のあるコードを送信することで、許可されていない方法でデータベースを操作しようとします。SQLインジェクションは従来のリレーショナルデータベースを対象とするのに対し、NoSQLインジェクションは、MongoDB、Couchbase、Cassandra のような新しいスキーマレス（スキーマを持たない）データベースに焦点を当てます。
バッファオーバーフローの悪用
もう一つの攻撃手法は バッファオーバーフローの悪用 です。プログラムがバッファ（一時的なデータ保存領域）に、保持できる以上のデータを書き込むと、余分なデータが隣接するメモリ領域を上書きし、重要なデータや実行可能な命令が消されてしまう可能性があります。攻撃者はバッファオーバーフローを悪用して、不正アクセスを取得したり、データを破損させたり、さらにはシステムをクラッシュさせることさえあります。
サービス拒否攻撃
サービス拒否（DoS）攻撃では、攻撃者が大量のトラフィックや問い合わせを標的のシステムに送り込み、業務を妨害します。具体的には、応答時間の遅延、取引処理の失敗、またはシステムの完全な停止につながることがあります。トラフィックが複数の発信元から送られている場合、この攻撃は分散型サービス拒否（DDoS）攻撃と呼ばれます。
マルウェア攻撃
攻撃者は、悪意のあるソフトウェアをさまざまな方法でデータベース攻撃に利用できます。データベースファイルを暗号化し、復号用の鍵と引き換えに身代金を要求するマルウェアもあります。別のマルウェアは、データベースをこっそり監視し、収集した情報を攻撃者へ送り返します。自己増殖する悪意のあるコードは、データベースファイルを破損させたり、脆弱性を悪用してマルウェアをさらに拡散したりすることが可能です。また、トロイの木馬（正規のソフトウェアに偽装したマルウェア）は、セキュリティシステムにバックドアを開くことがあります。
バックアップへの攻撃
攻撃者は、バックアップには稼働中のデータベースと同様の機密情報が含まれることが多い一方で、セキュリティ対策がより弱い場合があることを理解しています。その結果、攻撃者は稼働中のデータベースに対して行うのと同じ攻撃でバックアップを狙うことができます。たとえば、バックアップからデータを盗み出すことや、身代金が支払われるまでアクセスを拒否するためにバックアップを暗号化することなどです。ハッカーは、復旧をより困難にしたり不可能にしたりすることで、稼働中のシステムへの攻撃の影響を大きくするために、バックアップデータを破壊しようとする場合もあります。
現代のデータベースセキュリティにおける課題
今日、いくつかの要因により、組織にとってデータベースのセキュリティ管理はますます難しくなっています。主な要因には次のものがあります。
増大するデータ量
組織が保管するデータが多いほど、攻撃対象領域（attack surface）は大きくなります。既存のセキュリティ対策は、すべてのデータを適切に保護するために効果的にスケールできない可能性があります。
インフラの複雑さ
今日の組織は、多くの場合、オンプレミスのデータベースとクラウドベースのサービスが複雑に混在しています。それぞれが独自のセキュリティ手順と課題を抱えているため、統一されたアクセス管理やその他のセキュリティ運用を導入することが難しくなります。
規制の強化
データの機密性、完全性、可用性を保護するための新しい法律が引き続き導入されており、既存の法律も、より強力な保護対策を求めるように改正されることがよくあります。組織は、コンプライアンスを達成し、維持し、そしてそれを証明することに苦労する場合があります。
サイバーセキュリティ人材の不足
組織は、データベースセキュリティに経験のある専門家を採用し、定着させることが難しい場合があります。その結果、現在の担当者に過度な負担が集中し、燃え尽き（バーンアウト）につながることで、エラーが発生しやすくなる可能性があります。さらに、これらのセキュリティ技術を実装し管理するには熟練した人材が必要なため、組織が最新のセキュリティ技術に常に追随できないこともあります。
データベース攻撃が与える影響
データベースへの攻撃は、以下を含むさまざまな悪影響をもたらす可能性があります。
データの喪失
攻撃者、または悪意のある内部者が組織のデータベースから機密情報を盗み出した場合、被害は深刻になり得ます。たとえば、知的財産（IP）の盗難は収益や市場シェアの喪失につながる可能性があり、今後提供予定の製品やサービスを不適切に開示すると、リリース戦略やパートナーシップを危険にさらすおそれがあります。
評判の毀損
データベースのセキュリティ侵害は、企業の評判に深刻かつ長期的なダメージを与える可能性があります。侵害のニュースは、ソーシャルメディア、報道機関、オンライン掲示板などを通じて急速に広まり、消費者がそのブランドの信頼性と整合性（インテグリティ）を疑うようになります。既存顧客は、個人情報へのさらなるリスクを警戒して、取引先を別のところに切り替えることを選ぶ場合があり、また潜在的な新規顧客は、セキュリティ面での実績が乏しいことを理由に、そのブランドとの関わりを控えるようになるかもしれません。
業務の中断
侵害によって重要なデータが失われたり破損したりすると、顧客関係管理からサプライチェーンの物流に至るまで、欠かせない業務プロセスが中断される可能性があります。さらに、データ侵害の発生後には、影響を受けたシステムをフォレンジック分析や復旧対応のためにオフラインにする必要が生じることがあり、その結果として生じるダウンタイムが、生産性やサービス提供の妨げになります。こうした運用上の混乱は、売上の減少、契約の解除、失われた事業機会につながり、収益源に深刻な影響を与えるおそれがあります。
コンプライアンス上の罰則
- データ侵害に規制対象のデータが含まれる場合、規制当局は罰金やその他の罰則を課す可能性があります。データのセキュリティを保護するために設計された法律には、HIPPA、一般データ保護規則（GDPR）、そして California Consumer Privacy Act（CCPA）と、シンガポールの個人データ保護法（PDPA）があります。
追加コスト
データ侵害による被害を修復するには、コンプライアンス上の罰金以外にも、直接費と間接費が複雑に絡み合う多岐のコストが必要です。たとえば、訴訟を解決するための弁護士費用、将来のインシデントを防ぐためにデータベースをより適切に保護する方法についてコンサルタントを起用するための費用、そして新しいセキュリティソリューションやプロセスへの投資などが含まれます。
セキュリティ対策（コントロール）の種類
組織は、現代のデータセキュリティに関する課題を克服し、高額な侵害やダウンタイムを回避するために、堅牢なデータベースセキュリティ対策を実装する必要があります。これらの対策は、3つのカテゴリに分類できます:
管理的対策
管理的対策とは、人為的なミスに関連するリスクを軽減するために設計された手順およびポリシーです。例としては、最小権限を徹底するためのロールベースのアクセス制御（RBAC）、アカウントとそのアクセス権限を定期的に見直すこと、ならびに変更管理の手順などがあります。
予防的対策
予防的対策とは、許可されていない行為が発生する前にそれを阻止することを目的として設計された対策です。一般的な例としては、ファイアウォール、侵入検知および侵入防止システム（IDS/IPS）、VPN、ならびに強力な認証メカニズムなどがあります。
検知コントロール
検知コントロールは、進行中の脅威をいち早く見つけ、管理者に通知して、被害を最小限に抑えるために適切なタイミングで対応できるように設計されています。データベース監視ツールは、ログイン試行、データアクセスの動き、管理者の操作をリアルタイムで分析し、異常やその他の疑わしい活動を検出できます。いくつかのソリューションでは、機械学習（ML）や人工知能（AI）を活用して、通常から逸脱した行動パターンを特定し、セキュリティ情報・イベント管理（SIEM）システムと統合することで、ITインフラ全体における活動をより包括的に把握できるようにしています。
データベース セキュリティのベストプラクティス
次のベストプラクティスは、データベースのセキュリティを確保するうえで不可欠です：
- 脅威の状況を把握する
- セキュリティポリシーを確立する
- 強固なアクセス制御を導入する
- 暗号化とトークン化を使用する
- 定期的にセキュリティ監査と脆弱性評価を実施する
- 中核となる予防的コントロールを導入する
- データベースの活動を監視する
- ユーザーを教育する
- 堅牢なパッチ適用・アップデート手順を確立する
- 包括的なインシデント対応計画を作成する
- データベースのバックアップを保護する
- コンテナ化技術を検討する
- セキュリティの実践を DevOps パイプラインに統合する（DevSecOps）
脅威の状況を把握する。
データベースを保護するための最初のステップは、データベースが直面する脅威を理解することです。サイバー脅威は常に進化しており、組織が最新のセキュリティリスクについて情報を把握し続けることが重要になります。データベースへの一般的な脅威には、SQL インジェクション攻撃、不正アクセス、マルウェア、データ漏えいなどがあります。これらの脅威を理解することで、組織は防御策をより適切に準備できます。
セキュリティポリシーを確立する
セキュリティポリシーは、組織のセキュリティに対する方針を示す正式な文書であり、何を保護するのか、なぜそれを保護するのか、そしてそれを保護する責任を負うのは誰なのかを定義します。データ保護ポリシーを作成する際は、次のベストプラクティスを念頭に置いてください：
ポリシーをビジネス目標に合わせる
データベースのセキュリティは、単なる技術的な課題やコンプライアンス上の要件として捉えるのではなく、新しい市場への進出、新製品の立ち上げ、顧客体験の向上など、ビジネスの目標達成を支える不可欠な要素として見るべきです。たとえば、ビジネス目標を明確に理解することで、どのデータ資産が最も重要で、したがってより高いレベルの保護が必要かを判断しやすくなります。また、新規顧客を惹きつけ、既存顧客を維持するために、マーケティングや営業活動の中で組織のセキュリティへの取り組みを強調することにも役立ちます。
コンプライアンスに注意する
データベースのセキュリティポリシーは、データをどのように管理し保護すべきかを定める、適用可能な規制基準に合わせる必要があります。規制は変化し、新たな要件が導入されるため、組織は継続的なコンプライアンスを確保するために データセキュリティポリシー を定期的に見直し、更新する必要があります。
責任事項を文書化する
データベース システムのセキュリティを確保するために関与する各関係者の役割と責任を、明確に定義してください。関係者には次のようなものがあります。
- データベース管理者 は、アクセス制御の実装、データベース活動の監視、定期的なバックアップと復旧訓練の実施、セキュリティ パッチの適用を担当します
- 開発者 は、安全なコーディング手法を徹底し、アプリケーション内の機密データを暗号化し、生産(本番)データへのアクセスに関するポリシーに従う必要があります
- IT セキュリティ チーム は、定期的な脆弱性評価とペネトレーション テストを実施し、セキュリティ コントロールを評価し、セキュリティ インシデントに対応する必要があります
- サードパーティのサービス提供者は、合意されたセキュリティ基準とプロトコルに従う必要があり、また、脅威に関するセキュリティ更新やアラートを適時に提供する必要があります
強力なアクセス制御を実装します。
組織は、適切なユーザーだけがデータベースにアクセスできるようにし、またユーザーが自分の役割と必要性に沿った範囲でのみ操作を実行できるようにする必要があります。以下のベストプラクティスは、強力なアクセス制御を実装するうえで不可欠です：
- 強力な認証を実装する
- 最小特権の原則を厳格に遵守してください。最小特権の原則
- ロールベースのアクセス制御を導入する
- ユーザーアカウントとその権限を定期的に見直す
それぞれ確認してみましょう。
強固な認証を実装する
最低限、強力でかつ固有のパスワードを要求してください。より強固なセキュリティのために、多要素認証（MFA）を実装します。MFAは、パスワードに加えて、生体識別子、またはユーザーのデバイスに送信されるコードなど、2つ以上の認証方法を必要とします。
最小特権の原則を厳格に遵守する
各ユーザーには、職務を遂行するために必要な最小限の権限のみを付与する必要があります。また、退職した従業員のアカウントや非アクティブなアカウントは、速やかに無効化または削除してください。このアプローチにより、ユーザーが誤って、あるいは意図的に引き起こし得る被害だけでなく、アカウントを侵害する脅威アクターの到達範囲も制限できます。さらに強固な保護のため、高度に特権が付与されたアカウントを just-in-time access で特定のタスクに対して権限を付与する形に置き換えることを検討してください。最新の privileged access management (PAM) solution を活用します。
ロールベースのアクセス制御を導入する
- RBACは、権限が定義されたロールに付与され、その後個々のユーザーに職務を遂行するために必要なロールが割り当てられるため、最小特権の原則への準拠を簡素化します。
- ユーザーアカウントと権限を定期的に見直す
- 定期的な監査は、偶発的または悪意のある 権限昇格 を見つけるために欠かせません。さらに、悪用される前に削除すべき休止アカウントを特定することにもつながります。
暗号化とトークン化を使用します。
暗号化ツールは、アルゴリズムと暗号化キーを使って平文を、暗号文（ciphertext）として知られるかき混ぜられた形式に変換します。トークン化は、悪用可能な価値のない非機密の代替物であるトークン（tokens）に、機密性の高いデータ要素を置き換えます。元のデータは安全なトークン保管庫（token vault）に保存され、処理や取引の目的のために、データとそのトークンの関係が維持されます。
暗号化されたデータは、たとえ攻撃者により持ち出されたとしても読み取ることができません。選択肢としては、データベースの列内にある特定のデータをきめ細かく暗号化できる「列レベルの暗号化」や、暗号化・復号の処理をデータベースではなくアプリケーション内で行う「アプリケーションレベルの暗号化」などがあります。
Transparent Data Encryption (TDE) は、データを保存している間（data at rest）の暗号化によく使用されます。一方、転送中のデータ（data in transit）の暗号化は、通常 SSL（Secure Sockets Layer）や TLS（Transport Layer Security）のようなプロトコルを用いて実現します。
定期的にセキュリティ監査と脆弱性評価を実施します。
古いソフトウェア、誤った設定、弱いアクセス制御がないかを定期的に確認してください。さらに、既存のセキュリティ対策の有効性を評価し、サイバー攻撃をシミュレーションするために、ペネトレーションテストを実施します。
主要な予防的コントロールを実装します。
- データベースシステムを安全に設定します。たとえば、不必要なサービスを無効化し、デフォルトのアカウント名とパスワードを変更します。
- 物理的なセキュリティ対策を使用します。 データベースサーバーが設置されている場所に、許可された担当者だけがアクセスできるようにするために、セキュリティバッジ、生体認証スキャナー、暗証コードなどの物理的なセキュリティオプションを導入してください。加えて、防犯カメラと警備員で出入口を監視し、不正な侵入の試みを抑止するとともに、調査や説明責任の確立を容易にします。
- データベースを分割します。 データベースをより小さなセグメントに分けるか、データベース分離の手法を使用することを検討してください。
- ユーザー入力を検証し、サニタイズするか、エスケープする。これらのオプションは、インジェクション攻撃への防御に特に役立ちます。
- エンドポイント保護を実装します。 ウイルス対策ソフトやアンチマルウェアなどのソリューションを活用し、データベースのセキュリティを侵害し得る悪意のあるソフトウェアから端末を保護してください。
- ネットワークアクセス制御のソリューションを実装します。 これらのツールにより、準拠した端末と認可されたユーザーのみがデータベースサーバー上のリソースにアクセスできるようになります。
データベースのアクティビティを監視する
データベースのアクティビティ監視ソリューションを使用して、不審なアクティビティをリアルタイムに検知しアラートを出すことで、潜在的な脅威への迅速な対応を可能にします。特に、成功したログイン、失敗したログイン試行、特権機能へのアクセスを試みる行為、データを変更・削除または持ち出し（exfiltrate）しようとする行為を、入念に監査（監視）してください。
ユーザーを教育する
フィッシングの試みを見分ける方法、業務で使用する個人端末の保護、データにアクセスして取り扱う際の適切な手順の遵守などについて、すべてのユーザーに研修を提供してください。研修はユーザーのさまざまなグループのニーズに合わせて調整し、定期的に繰り返し実施します。さらに、模擬フィッシングキャンペーンのようなテストを行い、効果を測定することも検討してください。
堅牢なパッチ適用およびアップデート手順を確立する。
ソフトウェアの脆弱性はサイバー犯罪者にとって一般的な攻撃ベクトルであるため、既知の攻撃からデータベースを守るには、セキュリティパッチを速やかに適用することが不可欠です。パッチ管理プロセスは可能な限り自動化し、すべてのソフトウェアベンダーからの更新情報を定期的に確認する内容を含める必要があります。
包括的なインシデント対応計画を作成してください。
包括的なインシデント対応計画には、封じ込め、根絶、復旧、コミュニケーション戦略などを含め、セキュリティ侵害が発生した際に実施すべき手順を明確に定める必要があります。計画の有効性を確保するために、インシデント対応計画を定期的にテストし、更新することが不可欠です。
データベースのバックアップを確実に保護してください。
重要かつ機密性の高いデータのバックアップが安全に保管され、データの喪失、破損、またはその他の災害が発生した場合に復旧できるようにしてください。3-2-1 バックアップルールでは、データの総コピーを少なくとも 3 つ保持することを推奨しています。そのうち 2 つはローカルに置きつつ別々のデバイスで管理し、残り 1 つはオフサイトに保管します。
コンテナ化技術の導入を検討してください。
Docker や Kubernetes のような技術を用いたデータベースのコンテナ化により、よりきめ細かなセキュリティ制御と分離を実現する機会が得られます。
セキュリティの実践を DevOps パイプラインに統合します（DevSecOps）。
データベース アプリケーションおよび環境の開発ライフサイクルの早い段階で、セキュリティに関する検討が確実に行われるようにしてください。
データ保護ツール
組織は、さまざまなデータベース セキュリティ ソリューションから選択できます。以下では、各重要機能ごとの代表的な選択肢をいくつか紹介します。
検出と脆弱性評価
- IBM Security Guardium は、データベース、データウェアハウス、大規模データ環境全体にわたって機密データを発見・分類し、リスクのあるデータを特定するための脆弱性評価も行う包括的なデータセキュリティ基盤です。保護のための実行可能なインサイトも提供します。
- Rapid7 InsightVM は高度な分析を活用して脆弱性を特定し、リスクを評価して、修復対応の優先順位を付けます。さらに、さまざまなデータストアと統合することで、機密データがどこに存在するのかを特定するのに役立ちます。
- Tenable Nessus はデータベース環境をスキャンして脆弱性を発見し、包括的な評価レポートを提供します。
アクティビティの監視
- IBM Security Guardium オンプレミスおよびクラウドのデータベース、ならびにビッグデータ・プラットフォーム向けに、リアルタイムのアクティビティ監視、脆弱性評価、データリスク分析を提供します。
- Imperva SecureSphere Database Activity Monitoring 特権ユーザーの監視やアクセス制御を含む、データベースのアクティビティをリアルタイムに可視化します。
- McAfee Database Activity Monitoring 異常なデータベースのアクティビティを管理者に通知し、データベースの脆弱性に対して仮想パッチ（virtual patching）を提供します。
- Oracle Audit Vault and Database Firewall アクティビティを監視し、脅威を遮断することで、Oracle および非 Oracle のデータベースを保護します。データベース、OS（オペレーティングシステム）、ディレクトリから監査データを集約し、コンプライアンス報告を簡素化します。
暗号化とトークン化
- BitLockerは、Windowsに組み込まれている機能で、保存中のデータ（data at rest）を保護するために、ボリューム全体を暗号化します。
- OpenSSLは、トランスポート層セキュリティ（Transport Layer Security：TLS）およびセキュア・ソケット・レイヤ（Secure Sockets Layer：SSL）プロトコルのための高機能なツールキットで、汎用的な暗号化タスクも実行できます。
- Protegrityは、データベース、ファイル、クラウドストレージにまたがる機密データを保護するために、トークン化、暗号化、データマスキングを提供します。
- TokenExは、さまざまなプラットフォームに対応して、クラウドベースのトークン化およびデータボールト（data vaulting）サービスを提供します。
- VeraCryptは、ボリューム、またはストレージデバイス全体を暗号化するためのオープンソースソフトウェアです。
- HashiCorp の Vault は、現代のコンピューティングにおけるトークン、パスワード、証明書、API キー、およびその他のシークレットへのアクセスを保護し、保存し、厳格に制御するよう設計されています。
リスク分析とレポーティング
- IBM QRadar Security Intelligence Platform は、ログおよびイベントデータを収集・正規化し、それらを相関分析して脅威や脆弱性を特定する SIEM ソリューションです。また、監査、コンプライアンス、リスク管理のための詳細なレポーティングも提供します。
- Qualys Cloud Platform は、統合された脆弱性管理、コンプライアンス監視、Web アプリケーションのスキャンを提供し、IT セキュリティとコンプライアンスに関する包括的な洞察を得られるようにします。
- Rapid7 InsightVM は、脆弱性管理と高度な分析を組み合わせてリスクに優先順位を付け、セキュリティを改善する方法に関する洞察を提供します。
- Tenable Nessus は、多種多様なプラットフォームにわたって脆弱性、設定の問題、マルウェアをスキャンし、組織がセキュリティリスクに優先順位を付けるのを支援します。
クラウドデータセキュリティ
- Amazon Web Services (AWS) Shield および AWS Key Management Service (KMS) は、AWS サービス全体にわたるデータ暗号化のための DDoS 対策とキー管理サービスを提供します。
- McAfee MVISION Cloud は、SaaS、PaaS、IaaS 環境全体にわたってデータ、コンテキスト、ユーザーのアクティビティを包括的に可視化します。
- Microsoft Azure Security Center は、クラウドおよびハイブリッドのワークロード全体にわたって、統合されたセキュリティ管理と高度な脅威防御を提供します。
- Netskope Security Cloud は、クラウドサービス、Webサイト、プライベートアプリ向けにリアルタイムのデータ保護と脅威の防止を提供します。
- Veeam Backup & Replication は、クラウド、仮想、物理のワークロード向けにバックアップ、復旧、レプリケーション機能を提供します。
結論
今日のデータベースセキュリティには、包括的なアプローチが必要です。主要なデータベースセキュリティ対策には、重要なデータの特定、保存時および転送中のデータに対する暗号化の使用、RBAC や MFA のような強力なアクセス制御の導入、疑わしいデータベース活動の監視が含まれます。また、定期的な脆弱性評価、ペネトレーションテスト、ユーザーアカウントの監査を実施し、さらに堅牢なバックアップおよび災害復旧計画を用意しておくことも重要です。これらの対策は、データベースの安全性を確保するだけでなく、GDPR、HIPAA、PCI-DSS のような規制への準拠にも不可欠です。これらの規制には、データ保護とプライバシーに関する具体的な要件があります。
データベースセキュリティは、適切なツールや技術を導入することだけではありません。人為的なミスから守るために、強固なポリシー、手順、そして従業員の意識を確立することも重要です。人為的なミスは、しばしばデータベースセキュリティにおける最も弱いリンクになり得ます。
よくある質問
データセキュリティとは何ですか？
データセキュリティとは、データの完全性・機密性・可用性を損なうことを目的とした、無許可のアクセス、データ侵害、またはあらゆる形態の悪意ある活動からデータを守るために導入される保護措置およびプロトコルを指します。これには、デジタル情報を保護し、データの損失を防ぎ、データが適切な認可を受けた人だけがアクセスできる状態を維持することを目的とした、幅広いプロセスと戦略が含まれます。
セキュアなデータとは何ですか？
セキュアなデータとは、無許可のアクセス、改ざん、破壊から保護された情報です。認可されたユーザーだけがアクセスできる状態にすることで機密性を確保し、正確で一貫性のある状態を保つことで完全性を維持し、必要なときにアクセスできるようにすることで可用性を保証します。また、セキュアなデータは、それとやり取りするユーザーやシステムの真正性を検証し、実行された操作や取引が追跡可能であることを保証して、操作の否認を防ぎます。
データセキュリティが重要な理由は何ですか？
データセキュリティは、機密情報を保護し、プライバシーを維持し、法律や規制を遵守し、信頼を育み、金銭的損失を防ぎ、事業の継続性を確保し、そして国家の安全を守るために重要です。
データベースをどのように保護すればよいですか？
データベースを保護するには、強力なアクセス制御を実装し、暗号化を使用し、ソフトウェアを常に最新に保ち、データを定期的にバックアップし、アクセスと変更を監視し、基盤となるシステムを保護し、最小権限の原則を適用し、物理的なアクセスを確実に保護し、定期的なセキュリティ評価を行います。
データベースに機密データをどのように保存すればよいですか？
データベースに機密データを安全に保存するには、保存時データには AES-256 のような暗号化方式を、転送中データには SSL/TLS を使用します。Role-Based Access Control (RBAC) などのアクセス制御を実装し、ユーザーに必要最小限の権限だけを付与してください。データマスキング（data masking）やトークン化（tokenization）を使うことで、機密データを難読化し、置き換えることができます。さらに、データベースの活動を定期的に監視・ログに記録すること、定期的なセキュリティ監査、そしてコンプライアンス確認を行うことが不可欠です。
共有する
もっと詳しく
著者について
Sean Bergman
リード プロダクト アナリスト
Sean Bergman は Netwrix のリード プロダクト アナリストです。2009 年からのキャリアの中で、サポート、プリセールス エンジニアリング、プロダクト エンジニアリング、プロダクト マネジメントなど幅広い経験を積み、最終的にプロダクト マネジメントの Vice President（副社長）を務めました。現在の役割では、すべての製品にわたる調査と要件収集を専門とし、クラウドおよびエンタープライズのビジネス ソリューションに重点を置いています。