“危険なクラウドデータベースサービス”の見分け方3箇条（1/2 ページ）

クラウドデータベースサービス「Database as a Service」（DBaaS）の導入は比較的簡単だ。ただし、セキュリティに関する問題を避けて通ることはできない。

公開 2015年09月25日 15時00分

著者

Ed Moyle

[TechTarget]

印刷する

DBaaSの選択肢は充実しつつある（画面はAmazon SimpleDBのサービス紹介ページ）

　フランスの英雄ナポレオン・ボナパルトのものとされる名言に「戦争は90％が情報だ（War is 90 percent information）」がある。この名言について3点補足する。まず、この名言は200年前と同様に現代にも当てはまる。次に、この名言は戦場だけでなく、ビジネスにも同様に適用できる。そして最後に、90％は控えめな数値であり、今日のビジネスは文字通り情報が全てだ。

　クラウドベンダーはここ数年、Database as a Service（DBaaS）の改良を続けており、その導入件数は増加し続けている。DBaaSは、効率性やスケールメリットなどクラウドのメリットをデータベースの世界にもたらすために誕生した。米Amazon Web Services（Amazon）の「Amazon Aurora」「Amazon SimpleDB」、米Microsoftの「Azure SQL Database」、オープンソースソフトウェア（OSS）のクラウド基盤「OpenStack」の「Trove」など、既に幾つかのDBaaSがある。

　ユーザー企業はDBaaSに飛び付く前に、DBaaS固有のリスクを理解することが重要だ。DBaaSには、企業が最終的に決める用途に影響するセキュリティ面の問題がある。

併せて読みたいお薦め記事

「DBaaS」のお薦めは

重要性高まるデータベースセキュリティ

DBaaSとは

　DBaaSに付随するセキュリティの問題について詳しく説明する前に、DBaaSについてあらためて定義しておく。DBaaSは新しい概念なので、全ての人が同じように使用しているとは限らないからだ。

　本稿では、DBaaSつまりクラウドデータベースサービスと、「クラウドにあるデータベース」とを区別している。単にデータベースがクラウドにあるからといってDBaaSだと見なすわけではない、ということだ。例えば、以下はDBaaSだとは見なさない。

従来のデータセンターでクライアントPCをホストしているのと変わらない方法で、パブリッククラウドまたはプライベートクラウドで米Microsoftの「SQL Server」を実行
データベースサーバの契約をマネージドホスティングベンダーと締結

　DBaaSは一般的に、クラウドベンダーが管理するクラウドデータベースサービスを指す。エンドユーザーにとって、DBaaSのデータベース管理はブラックボックスになる。IaaS、PaaS、SaaSと同様、従量課金モデルやオンデマンドのプロビジョニング、マルチテナントなどが関わってくる。企業の観点では、DBaaSは魅力的だが恐ろしくもある。

　一方、ビジネスという観点では、DBaaSの潜在的なコスト抑制効果と管理の合理化効果は非常に興味深い。データの機密性や完全性、可用性は重要である。それをDBaaSベンダーに委ねることが心配の種となるのは当然だろう。

DBaaSのセキュリティを確保する3つのポイント

　DBaaSは全ての企業や状況に適しているわけではないことを強調しておく。他のクラウドサービスと同様、DBaaSを適用するユースケースを評価することをお勧めする。具体的には、DBaaSを利用するビジネスプロセスやアプリケーション、コンテキストに関する評価だ。

　こうした評価は、DBaaSが自社の文化やリスクへの耐性に合致しているかどうかを確認することを目的としている。他のクラウドサービスと同じようにDBaaSを評価し、数値を入念に検査してほしい。例えば、データをDBaaSベンダーの環境へ移動することに法的な影響はあるだろうか。「PCI DSS」（カード情報を扱う企業向けのセキュリティ標準）の保護対象となるクレジットカード保有者のデータ、「HIPAA」（医療保険の相互運用性と説明責任に関する法律）の規制を受けるePHI（保護されるべき電子医療情報）などが関係する可能性がある。またプライバシーポリシーなどエンドユーザーとの間の約束が、データの保存方法や場所に影響するかどうかといった確認が必要になる。

　SaaSやIaaSと同様、DBaaSベンダーの選定において評価や調査は重要な意味を持つ。米セキュリティ業界団体Cloud Security Alliance（CSA）の「Consensus Assessments Initiative Questionnaire（CAIQ）」「Cloud Controls Matrix（CCM）」などの評価ツールは、こうした作業をサポートする。クラウドベンダーがセキュリティ対応能力を自己評価したCSAのレジストリ「STAR（Security, Trust & Assurance Registry）」は、他のクラウドサービスと同様、DBaaSの選定プロセスの効率化に役立つだろう。

　他のクラウドサービスと同様、DBaaSのセキュリティと運用の側面を評価することは重要な第一歩になる。

次ページへ安全なDBaaSの選定ポイントを紹介