 |
≫ |
|
|
|
|
データベースは多くの場合、正社員だけでなく業務委託・契約・派遣社員などさまざまな属性の人が共有して使用している。また、正社員であっても所属部門や職級により、業務上必要な情報や操作が異なっているはずだ。そうした環境で情報漏えいを防ぐには、担当業務を遂行するために必要な情報以外にはアクセスできないようにすることである。そのためには情報の属性を分類し、ユーザの属性と結びつけながら、付与する権限の詳細を決めてアクセスを制御する必要がある。HP-UXは、システム全体の中で細かく権限を設定できる役割ベースのアクセス制御機能（HP-UX Role-based Access Control）を備えており、Oracle Database 10gは、データベースの中でユーザごとに行う詳細なアクセス制御機能（Oracle Database Vault  ）を提供する。この2つを併用することにより、システム管理者側とユーザ側の双方のアクセス制御が実現する。
さらにはHP-UXでは、ユーザ認証ソフトウェア（Red Hat Directory Server、HP-UX AAA Server（RADIUS））が無償でバンドルされており、オペレーティング環境の一部として厳格な品質検査を受けたうえで製品としてのサポートも提供されているため、余分なコストをかけずにセキュアなユーザ認証環境を構築することができる。また、Oracle Database 10gでは、仮想プライベート・データベースの行・列レベルのアクセス制御を実施できる機能（ファイングレイン・アクセスコントロール ）やアクセス制御の条件としてアプリケーションのユーザ属性情報を利用するための仕組み（アプリケーション・コンテキスト ）がある。
|
| |
図3：アクセス制御イメージ |
|
万一、重要な情報が不正アクセスを受けて盗まれた場合や、社内ユーザが悪意を持って記録メディアで外部に持ち出した場合、あるいはバックアップデータを格納したメディアの紛失や盗難に遭った場合でも、格納データやバックアップデータ、さらには通信データに対して暗号化が施されていれば、情報を悪用される危険は減少する。
こうした暗号化ニーズに対して、Oracle Database 10gには、格納データを暗号化するTransparent Data Encryption 、バックアップデータを暗号化するRecovery Manager 、通信データを暗号化するOracle Advanced Security がある。またHP-UXは、暗号キーを利用するOSレベルでのボリューム・ファイル暗号化機能のEVFS（Encrypted Volume & Filesystem）を標準で提供している（現在はボリューム暗号化のみをサポート、ファイル暗号化はHP-UX次期バージョンでサポート予定）。EVFSでは、アプリケーション側で特別なAPIを実装したり改変したりする必要のない強力なデータ保護機能を提供しており、不正アクセスやバックアップメディアへの不正コピーなどに対応するとともに、Oracle Database 10gの外側に設置されるセットアップファイルやスクリプトファイルなどを自動的に暗号化して保護することも可能だ。
|
| |
図4：暗号化イメージ |
|
個人情報保護法や日本版SOX法などの法律に適応するには、データベースへのアクセス制御を厳格化すると同時に、アクセス記録を証跡として残すことが必要になる。データベースの監査は、社内向け侵入検知システム(IDS)のような役割を果たし、悪意を持った社内ユーザなどのデータベースへの不正な動作を監視(記録・統計)するとともに、データベース監査の実施を社内的に周知することにより、不正行為に対する抑止効果を生む効果もある。
HP-UXに実装されているTrusted OS技術の流れを汲むコンパートメント技術のSecurity Containmentでは、高信頼性モードに加え標準モードでもC2準拠の広範な監査機能を利用できる。アプリケーションレベルだけでなく「システムコール」レベルでのシステムアクティビティも監査する。また、ユーザやシステムの挙動を監視するHP-UX専用の侵入検知ソフトウェアであるHP-UX Host Intrusion Detection System（HP-UX HIDS）では、対象システムのカーネル監査データやログファイル、特定のファイルの改ざんを監視する。一方、Oracle Database 10gでも複数の監査機能が実装されている。実行されたSQL文そのものも取得可能であるとともに、特定DDL文の監査、特定権限による操作の監査、特定オブジェクトへの操作などの標準的な監査機能に加え、オブジェクト単位ではなくデータの値を基準とした監査(ファイングレイン監査機能)や、データベース管理者の操作をデータベース管理者がアクセスできないOS上のファイルに出力することによって監査証跡の客観性を保つDBA監査機能がある。
またHP-UXでは、セキュリティ設定強化支援ツール(Bastille)も無償提供されており、システム構築前のインストール時に要塞化が容易に行える。 |
|
データベースシステムのセキュリティ対策は、ネットワーク、アプリケーション、データベース、OSの各層でアクセス制御、暗号化、検知・追跡といった対策を施すことによって、どこかの層のセキュリティが破られた場合でも被害の発生を抑制できる。この多層防御の考え方は、データに対する多彩なセキュリティ機能を提供するOracle Database 10gとHP-UXであるからこそ実現し、データベースプラットフォームの最後の砦となる。 |
|
印刷用画面へ
