データベースセキュリティツールは必須なのか（後編）
機密情報“ダダ漏れ”データベース設計の共通点（1/2 ページ）
企業のデータセンターに保存されているデータの保護において、データベースセキュリティツールが非常に重要な役割を果たす。企業のデータベースに不足しているデータセキュリティ機能を詳しく見てみよう。
外部公開サーバとデータベースのセキュリティ対策の違い（TechTargetジャパン「ベネッセ事件でも標的に 『データベース』からの情報漏えい対策3カ条」より）《クリックで拡大》
企業では、複数の種類のデータベースを保護しなければならないのが一般的だ。そのようなRDBMSユーザーの要件を考慮すると、データベースセキュリティの死角は拡大する。そのため、企業のデータセンターの情報保護において、データベースセキュリティツールが重要な役割を果たす。前編「意外にセキュリティは甘い？ データベースのデータ保護に不安を感じる理由」に続き、ツールを使用して、企業のデータベースに不足しているデータセキュリティ機能をどのように補完できるのか詳しく見てみよう。
データベースアセスメント
データベースアセスメントツールは、データベースの構成設定とパッチのレベルを確認するものだ。このツールは「データベース脆弱性評価ツール」と呼ばれることもある。汎用的なサーバやエンドポイントの評価ツールとは異なり、データベース脆弱性評価ツールでは、OSレベルの設定とデータベースに保存された構成情報を確認する。後者の情報はサーバ評価ツールでは確認できない。このようなデータベース向けツールには、具体的な構成ミスや一般的な攻撃ベクトルの有無について、何千もの確認項目があらかじめ用意されている。これには、ベンダー推奨のデータベースセキュリティベストプラクティスだけでなく、業界推奨のセキュリティモデルも含まれる。
確かに、一部のデータベースには基本的なセキュリティチェック機能と一般的な管理機能が組み込まれている。だが、語られない重大な真実は、サードパーティー製の脆弱性評価ツールが重要であることだ。サードパーティー製ツールを使用すると、詳細を把握し、多くのデータベースベンダーが対応していない情報を取得できる。データベースベンダーは、特定のデータベースの脆弱性や関連するパッチについて企業に注意喚起する。一方、サードパーティーベンダーは、データベースベンダーが提供しない回避策や構成変更、分析などの情報を提供する。サードパーティーベンダーは、セキュリティ上の危険だとされているデータベースオプションの解除も推奨している。
さらに、ほとんどのサードパーティー製ツールは、技術に詳しくないユーザーを念頭に設計されている。そのため、セキュリティチームとDB管理チームの間で必要な職務を分離し、データベースの技術的な詳細をよく知らない担当者でも、適切なポリシーが施行および強制されていることを確認できる。
暗号化
ほとんどのデータベースは暗号化機能を備えており、通常、データベース内の特定の列やセルを暗号化する。このような内部機能は一般的にアプリケーションが管理している。そのため、暗号化機能を使用するには、アプリケーションを強化して、データベース暗号化ライブラリを呼び出してデータを暗号化／復号できるようにする必要がある。このような暗号化は、パフォーマンスと統合の問題から人気がない。また、データベースで暗号化の機能が提供されるにもかかわらず、「アプリケーションレイヤー暗号化」と呼ばれることが多い。
現在、データベースユーザーの大半は、透過的なデータ暗号化（TDE）を使用している。TDEは全てのデータに作用し、データベースとディスク間での書き込み／読み取り時にデータを暗号化する。また、直感にやや反するが、TDEはアプリケーションレイヤー暗号化よりも処理時間が短い。それから、TDEの大きなメリットは、ユーザーやアプリケーションだけでなく、データベース自体からもTDEが認識されないことだ。そのため、アプリケーションコードやデータベースクエリを変更することなく、暗号化機能を追加できる。結果として、ディスクファイルと全てのデータベースアーカイブが外部の目から保護される。
TDEには弱点が2つある。1つは、データのセキュリティを確保するために強力なキー管理システムが必要なこと。もう1つは、認証されたユーザーやアプリケーションが要求すると復号されたデータを取得できることだ。TDEを使用すると保存中のデータに関するセキュリティ上の課題はほとんど解決できるが、アクセスと使用方法を検証する必要がある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社インターネットイニシアティブ] 人材不足と属人化が深刻に 「攻められない情シス」を変革する一手とは？ -
製品資料
[株式会社イトーキ] 会議室が「空いてるのに使えない」問題の解決策とは？ -
事例
[株式会社イトーキ] 製造現場を取り巻く経営課題 「持続的な現場力」を強化する方法とは？ -
製品資料
[株式会社イトーキ] 社員の力を引き出す、「ABW（Activity Based Working）」を実現する秘訣とは？ -
製品資料
[株式会社BREXA Technology] 「インシデント初動対応」が遅れる3つの構造的要因とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Active Directory」復旧で“詰む”企業が続出 ランサムウェアに備える4対策
-
2
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
3
企業が「Microsoft Azure」を選ばざるを得ない理由
-
4
なぜノートPCの更新が「4年→6年」に？ AIインフラ急拡大の余波
-
5
「RAGは終わった」は本当か――ロングコンテキストが変えたこと、変えられないこと
-
6
複雑化するフォント管理に終止符を Monotypeが提唱する安全な運用方法
-
7
“RAG is dead”は本当？ AIエージェントが切り拓く「次世代RAG」と検索の未来
-
8
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
9
WiMAXとは何か――技術とアプリケーション
-
10
「セキュリティ運用と侵入後の初動防御」に関するアンケート
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
AIが苦手な「汚いデータ」になっていない？ AI投資を無駄にしないための注意点
-
3
急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要？
-
4
法人向け光回線のプランはどう選ぶ？ 機能面／保守体制／コストを一覧で比較
-
5
三井ホームに学ぶ「無線LAN環境」構築 快適なオフィスと高度なIT運用の両立法
-
6
SNMPより詳細で、パケット解析より簡単な「トラフィック可視化・分析」の方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
「RPA導入の成果が出ない」を防ぐ、成果につながる自動化対象業務の選び方
-
9
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
10
サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー