Tweet

診断ツールでデータベースの健全性を保つ

狙いその3：すべての人に安心感を

　過去に起きたデータベースからの情報漏えい事件を見ると、ひとたびデータベースから重要な情報が漏えいしてしまったときには、そのデータにかかわるすべての人々（企業、社員、顧客、SI業者、株主）に大きな衝撃と損失を与えることは明らかです。セキュリティにゴールはないといわれますが、できる限りの対策を取ることによって、すべての人が安心できる状況にしておくことが最低限必要なことです。

　データベースのセキュリティに関しては、どこまで何をやればいいかというセキュリティスタンダードのような明確な指針は一般的にはなく、PCI DSSのような業界ごと、もしくは企業ごとに独自にポリシーを立て、それを満たしていこうという状況が見受けられます。脆弱性評価ツールを活用することにより、自分たちが運用しているデータベースは最低ラインのセキュリティをクリアできているのか、業界または企業独自のセキュリティポリシーをしっかり満たしているのか、しっかりと診断できます。また、対処できているというレポートを状況証拠として、株主や顧客、監査法人などに示すことも可能です。レポートは、過去に実施した診断結果もすべて記録としてツールの中に蓄積されるため、過去からのセキュリティ対策の推移レポートとして企業の取り組み状況の進ちょく記録を関係者に示すこともできます。

●図4　脆弱性評価レポートの一例

脆弱性評価ツールの効果的な活用を

　このサイトをご覧になっている方々の中には、SI業者やソフトウェア販売会社、あるいはセキュリティサービスベンダなどに勤務されている方も多いと思います。そこで、ユーザー企業の視点ではなく、セキュリティサービスをユーザー企業に提供する側の視点で脆弱性評価ツールを考えてみたいと思います。

　データベース脆弱性評価ツールは、ITサービスを提供している会社にとって、大変利用価値が高いビジネスのツールです。ユーザー企業にセキュリティ診断サービスのようなサービスを提供する際に、脆弱性評価ツールを積極的に活用することで、サービスを提供するスタッフのスキルレベルや知識レベルに左右されることなく、少ない工数と短い時間でデータベースのセキュリティ診断を行うことができます。

　脆弱性評価ツールは各社からリリースされており、無償版や試用版が用意されていますので、積極的に試してみることをお勧めします。実際にビジネスで活用される場合には、各製品の特長とランニングコストを見定め、最適なツールを選択することがポイントです。表1はデータベースの脆弱性評価にフォーカスした十分な機能を持った製品の一例です。

　データベースのセキュリティは、まずは現状把握をしっかり行うために、今回紹介した脆弱性評価から始めて、使用中のデータベースインスタンス自体をしっかりとセキュアな状況ことが重要です。脆弱性評価は1回だけで終わらせるのではなく、日々の運用の中で継続して行っていく点も大切です。

　これらができて初めて、前回までにご説明したアクセスログの取得とモニタリングを実装していくといった進め方が、最も望ましいデータベースセキュリティの実装方法なのです。

3/3

Index
診断ツールでデータベースの健全性を保つ
	Page 1 データベースの脆弱性評価とは？
	Page 2 狙いその1：内部の人為的ミス・不正行為に備える 狙いその2：バックドアからの侵入に備える
	Page 3 狙いその3：すべての人に安心感を 脆弱性評価ツールの効果的な活用を

ここがポイント！ DBセキュリティの実装

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）