第2回 データベースの認証を総点検

星野 真理
株式会社システム・テクノロジー・アイ
2005/2/17

---

　個人情報保護法（個人情報の保護に関する法律）の全面施行まで残すところ1カ月となり、「データセキュリティ対策を！」という声はピークに達したといえるのではないでしょうか。一方、情報漏えいトラブルは後を絶たず、思いもよらぬ会社が情報漏えい問題でニュースをにぎわしています。また、単なる情報漏えい事件では終わらず、漏えいデータを使用した恐喝まがいの事件も増えてきています。

　一般的に不祥事は、「忘れたころに……」といいます。しかし情報漏えいトラブルについては、まだ先の事件が記憶に新しいところに次の事件が勃発し、先の事件が記憶から薄れていくというサイクルになっているようです。

　「セキュリティは1日にしてならず」。しっかりしたインフラの構築と管理者の運用努力、システム使用者の忍耐により強固なセキュリティが実現可能です。この連載で、その実装プロセスを見ていきましょう。

データセキュリティはデータの重要性確認から

　さて、第1回「個人情報データ保護の思考回路」では、データベースセキュリティ実装へのチェック項目を10点挙げました。今回は、この10点についてより検討を重ねていくことにします。

　第1回のチェックにおいて実装OKにならなかった項目について、「なぜ、そのチェック項目が満たせないか」を考えてみると原因は以下の3つに大別されます。

• リスクへの認識の不足
• セキュリティ実装への技術力不足
• 予算準備の困難さ

　昨今の情報漏えい事件の原因を見てみると、一番顕著なものは「リスクへの認識の不足」ではないでしょうか？ リスクへの認識が欠如していたからこそ、セキュリティ実装への技術力の不足を補おうともせず、予算準備について真剣に考えることを遅延させてきてしまった。その結果が、情報漏えい事件発生に結び付いてしまったように感じます。

　つまり、データセキュリティとはデータの重要性を再確認し、そのうえでデータ漏えいの危険性を稼働中のシステム、もしくは開発中のシステムについて検証していく作業から始まります。

　では、データの格納場所であるデータベースについてのチェックポイントを確認してみましょう。データベースにおけるチェックポイントを分類してみると「認証」「アプリケーションから見えるデータの妥当性」「データ管理方針」の3つに分かれます。

認証の重要性

　データベースセキュリティにおいて、最も重要なものは認証です。悪意のあるユーザーがいたとしても、データベースに接続できなければ何もできないのです。では、認証の仕組みから検討していきましょう。

　図1で示す認証の仕組みは、アプリケーションの形態により2つに大別されます。クライアント／サーバとWebアプリケーションです。

図1：「チェックポイント１ 認証」

　ここで、「いまはもうイントラネットとインターネットの世界だから、クライアント／サーバなんて考える必要ない」と思ってはいけません。現行のクライアント／サーバシステムは多くのコストと年月をかけて開発し、トラブル対応を乗り越え、パフォーマンス改善を行い、やっと安定運用したシステムなのです。そう簡単に捨てるわけにはいきません。

　また、管理作業や開発作業自体はクライアント／サーバで行うのが通常です。開発にかかわる人材からの情報漏えいが発生したことも考えると、「クライアント／サーバ環境は、社内のものだから大丈夫」という神話は、もはやないに等しいというものです。クライアント／サーバシステムこそチェック対象としてしっかり考える必要があるのです。

1/3

Index
データベースの認証を総点検
	Page1 データセキュリティはデータの重要性確認から 認証の重要性
	Page2 クイズ：ここが危険だ！ 認証編
	Page3 認証を見直してセキュリティ強度を向上しよう

関連記事

データベースセキュリティの基礎のキソ

Database Expertフォーラム

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）