データベース・セキュリティー

menu icon

データベース・セキュリティー

データベース・セキュリティーの複雑性について、さらにデータの機密性、保全性、可用性を保護するためのいくつかのプラクティス、ポリシー、テクノロジーについて説明します。

データベース・セキュリティーとは

データベース・セキュリティーとは、データベースの機密性、保全性、可用性の確立と保持のために設計された、さまざまなツール、コントロール、手段を指します。 この記事では、データ漏えいで侵害されることが最も多い要素である機密性に焦点を当てています。

データベース・セキュリティーでは、以下に対する処置と保護が必要になります。

  • データベース内のデータ
  • データベース管理システム(DBMS)
  • すべての関連アプリケーション
  • 物理データベース・サーバー、仮想データベース・サーバー、その基礎となるハードウェア
  • データベースにアクセスするために使用されるコンピューティング・インフラストラクチャーとネットワーク・インフラストラクチャー

データベース・セキュリティーは、情報セキュリティーのテクノロジーと手法のすべての側面が関係する、複雑で困難な取り組みです。 また、データベースの使いやすさとは、当然相容れません。 データベースは、アクセスしやすく便利であるほど、セキュリティー上の脅威に対してより脆弱になります。そして反対に、脅威に対して堅牢であるほど、アクセスが難しく不便になります。(このパラドックスは、アンダーソンの法則(IBM外部へのリンク)と呼ばれることもあります。)

重要である理由

定義によると、データ漏えいはデータベース内のデータの機密性の維持に失敗することです。 データ漏えいによる企業への影響は、以下のように被害の内容によってさまざまです。

  • 知的財産の侵害:知的財産(取引上の秘密、発明、独自のプラクティス)は、市場において競争上の優位性を維持するために重要です。 知的所有権が盗まれたり暴露されたりすると、競争上の優位性の維持または回復が難しくなるか、不可能となります。
  • ブランド評価の損傷:自社のデータ、または顧客やパートナーのデータの保護に対する信頼を失うと、顧客やパートナーからの製品やサービスの購入(または取引)が停止する可能性があります。
  • 事業継続性の損失:漏えいが解決されるまで、一部のビジネスは運用を継続できなくなります。
  • コンプライアンス違反の罰金またはペナルティー:サーベンス・オクスリー法やPayment Card Industryデータ・セキュリティー標準(PCI DSS)などの国際的な規定、HIPAA法などの業界固有のデータ・プライバシー規定、ヨーロッパの一般データ保護規則(GDPR)などの地域的なデータ・プライバシー規定はいずれも、準拠できなかった場合の財務的な影響は甚大です。最悪のケースでは、違反ごとに数百万ドルを超える罰金が科せられます。
  • 漏えいの修復と顧客への通知のコスト:侵害された組織は、顧客に漏えいを通知するためのコストに加え、フォレンジックと調査活動、危機管理、トリアージ、影響を受けたシステムの修理などの費用も支払う必要があります。

一般的な脅威と課題

ソフトウェアの不適切な構成、脆弱性、ユーザーの不注意や誤操作は、多くの場合に漏えいの原因となります。 データベース・セキュリティー攻撃の最も一般的なタイプとその原因を以下に示します。

社内の脅威

社内の脅威は、データベースへの特権アクセスを持つソースである、以下の3つのいずれかに起因するセキュリティー上の脅威です。

  • 危害を加えようとする悪意ある社内の関係者
  • 攻撃に対してデータベースを脆弱化させるエラーを引き起こす、不注意な社内の関係者
  • フィッシングなどの手法または資格情報データベース自体へのアクセス権限の取得によって資格情報を取得した部外者、つまり侵入者

社内の脅威は、データベース・セキュリティー侵害の最も一般的な原因の1つです。これは多くの場合、特権ユーザーのアクセス資格情報を保持している従業員が多すぎることによります。

人的エラー

報告されているすべてのデータ漏えいの半数近く(49%)(IBM外部へのリンク)の原因は、賢明でないユーザーまたは無知なユーザーによる、事故、脆弱なパスワードの設定、パスワードの共有などの行為です。

データベース・ソフトウェアの脆弱性の悪用

ハッカーは、データベース管理ソフトウェアを含むあらゆる種類のソフトウェアの脆弱性を見つけて、ターゲットにすることで生計を立てています。 すべての主要な商用データベース・ソフトウェア・ベンダーとオープンソース・データベース管理プラットフォームは、定期的にセキュリティー・パッチを発行してこうした脆弱性に対応しています。しかし、これらのパッチをタイムリーに適用できないと、機密漏れの可能性が高まります。

SQL/NoSQLインジェクション攻撃

これは、データベース固有の脅威です。この攻撃では、任意のSQLまたは非SQLの攻撃ストリングを、 WebアプリケーションまたはHTTPヘッダーによって提供されるデータベース照会に挿入します。 セキュアなWebアプリケーションのコーディング手法に従わず、定期的な脆弱性テストを実施しない組織は、この攻撃に対して無防備です。

バッファー・オーバーフローの悪用

バッファー・オーバーフローは、固定長ブロックのメモリーで保持できるデータ量を超えて、プロセスが書き込みを行おうとするときに発生します。 攻撃者は、隣接するメモリー・アドレスに格納された超過データを、攻撃を開始する基盤として使用します。

サービス妨害(DoS/DDoS)攻撃

サービス妨害(DoS)攻撃では、攻撃者はターゲット・サーバー(ここではデータベース・サーバー)に大量の要求を送信します。そのため、サーバーは実際のユーザーからの正当な要求を実行できなくなり、多くの場合、不安定になったり異常終了したりします。

分散型サービス妨害攻撃(DDoS)では、複数のサーバーから大量の要求が送信されるため、攻撃を停止することがより困難になります。 詳細については、次の「DDoS攻撃とは」(3:51)の動画をご覧ください。

マルウェア

マルウェアは、脆弱性の悪用やデータベースの損傷のみを目的として作成されたソフトウェアです。 マルウェアは、データベースのネットワークに接続しているあらゆるエンドポイント・デバイスから侵入します。

バックアップへの攻撃

データベース自体を保護するために使用されているものと同じ厳密な制御を使用してバックアップ・データを保護できない組織は、バックアップへの攻撃に対して脆弱になります。

こうした脅威は、以下の要因によってさらに深刻化します。

  • 増大するデータ・ボリューム:ほぼすべての組織において、データの収集、保管、処理の需要は、今後も急増し続けます。 そのため、データ・セキュリティーのツールやプラクティスには、近い将来と遠い将来のニーズに対応するために高いスケーラビリティーが求められます。
  • インフラストラクチャーのスプロール化: ネットワーク環境は、企業がワークロードをマルチクラウドまたはハイブリッドクラウドのアーキテクチャーに移行するにつれて、ますます複雑化しています。そのため、セキュリティー・ソリューションの選択、導入、管理は、これまで以上に困難になっています。
  • 厳しさを増す規制要件:規制コンプライアンスの世界的状況は複雑さを増しており、完全遵守が難しくなっています。
  • サイバーセキュリティーのスキル不足:専門家は、2022 年までに800万ものサイバーセキュリティーの職が埋まらない可能性があると予測しています。

ベスト・プラクティス

データベースは、ネットワークにほぼ常時アクセス可能であるため、ネットワーク・インフラストラクチャーの一部または構成要素に対するセキュリティー上の脅威は、すべてデータベースへの脅威となります。また、ユーザーのデバイスやワークステーションに対する攻撃も、すべてデータベースへの攻撃となります。 したがって、データベース・セキュリティーは、データベース自体だけを対象とするのではなく、さらに範囲を広げて考える必要があります。

ご使用の環境のデータベース・セキュリティーを評価して、チームの最優先事項を決定する際には、以下の各項目を考慮してください。

  • 物理的セキュリティー:ご使用のデータベース・サーバーは、オンプレミスであるか、クラウド・データセンター内にあるかにかかわらず、安全で温度や湿度が管理された環境内に配置されている必要があります。(データベース・サーバーがクラウド・データセンターにある場合は、クラウド・プロバイダーの責任において確認します。)
  • 管理とネットワークのアクセス制御:実際の業務に必要な最小限のユーザーのみにデータベースへのアクセス権限を付与する必要があります。また、その権限も業務に必要な最小限のレベルに制限します。 同様に、ネットワークのアクセス許可も必要な最小限のレベルに制限してください。
  • エンド・ユーザー・アカウント/デバイスのセキュリティー:データベースにアクセスしているユーザー、アクセスの日時と方法を常に把握する必要があります。 データ・モニタリング・ソリューションは、データ・アクティビティーが異常な場合やリスクが高く見える場合にアラートを出すことができます。 データベースが収容されているネットワークに接続するすべてのユーザー・デバイスは、(適切なユーザーのみによる管理下で)物理的に保護され、常にセキュリティー管理対象である必要があります。
  • 暗号化:すべてのデータ(データベース内のデータと、資格情報データを含む)は、保管中も転送中も、クラス最高の暗号化で保護する必要があります。 すべての暗号鍵は、ベスト・プラクティス・ガイドラインに従って処理する必要があります。
  • データベース・ソフトウェアのセキュリティー:常に最新バージョンのデータベース管理ソフトウェアを使用し、パッチはすべて発行されたらすぐに適用します。
  • アプリケーション/Webサーバーのセキュリティー:データベースと対話するアプリケーションとWebサーバーはすべて攻撃用のチャネルになる可能性があるため、継続的なセキュリティー・テストとベスト・プラクティス管理を行う必要があります。
  • バックアップ・セキュリティー:データベースのすべてのバックアップ、コピー、イメージに対して、データベース自体と同じ(または同等に厳密な)セキュリティー管理を行う必要があります。
  • 監査:データベース・サーバーとオペレーティング・システムへのすべてのログインを記録し、機密データに対して実行されるすべての操作もログに記録します。 データベース・セキュリティー標準監査は、定期的に実行する必要があります。

コントロールとポリシー

データベース・セキュリティーでは、ネットワーク環境全体に階層化されたセキュリティー管理を実装することに加えて、データベース自体へのアクセスに対する適切なコントロールとポリシーを確立する必要があります。 以下の機能がご利用になれます:

  • データベースのインストール、変更、構成管理を管理するための 管理コントロール
  • アクセス、暗号化、トークン化、マスキングを管理するための 予防コントロール
  • データベース・アクティビティーのモニタリングとデータ損失防止ツールをモニターするための検出コントロール。 このソリューションにより、異常なアクティビティーや不審なアクティビティーを検出してアラートを通知できます。

データベース・セキュリティー・ポリシーは、お客様のビジネス目標(重要な知的財産の保護など)、サイバーセキュリティー・ポリシークラウド・セキュリティー・ポリシーと統合され、これらをサポートしている必要があります。 お客様の組織内でセキュリティー・コントロールの維持と監査の責任者が指定されていること、また、お客様のポリシーがクラウド・プロバイダーのポリシーを、共有された責任契約において補完するものであることを確認してください。 セキュリティー・コントロール、セキュリティー意識のトレーニングと研修プログラム、侵入テスト、脆弱性評価戦略は、すべてお客様の正式なセキュリティー・ポリシーをサポートするように確立する必要があります。

データ保護ツールとプラットフォーム

現在、さまざまなベンダーによってデータ保護のためのツールとプラットフォームが提供されています。 完全なソリューションには、以下のすべての機能が含まれている必要があります。

  • 検出:データベースがクラウドまたはオンプレミスのどちらにホストされていているかにかかわらず、すべてのデータベースにわたる脆弱性のスキャンと分類が可能で、特定した脆弱性について修正のための推奨を提供できるツールを見つける必要があります。 検出機能は、多くの場合、規制コンプライアンス要件に準拠するために必要です。
  • データ・アクティビティーのモニタリング:デプロイメントがオンプレミスであるか、クラウド内であるか、コンテナ内であるかにかかわらず、すべてのデータベースのすべてのデータ・アクティビティーをモニターして監査できるソリューションを選択してください。 お客様がより迅速に脅威に対応できるように、不審なアクティビティーに対するアラートをリアルタイムで通知できるものであることも不可欠です。 また、ルール、ポリシー、職務分離の実施と、統一された包括的なユーザー・インターフェースによるデータ状況の可視化を実現できる必要もあります。 さらに、そのソリューションで、コンプライアンス要件を満たすために必要なレポートを生成できることも必ず確認してください。
  • 暗号化とトークン化:漏えいが起きた場合、暗号化は侵害に対する最終防衛線となります。 選択するツールには、オンプレミス、クラウド、ハイブリッド、またはマルチクラウドの環境においてデータを保護する、柔軟な暗号化機能が含まれている必要があります。 お客様の業界のコンプライアンス要件に適合する、ファイル、ボリューム、アプリケーションの暗号化機能を備えたツールを見つけてください。コンプライアンス要件によっては、トークン化(データ・マスキング)または高度なセキュリティー鍵管理機能が要求される場合があります。
  • データ・セキュリティーの最適化とリスク分析:データ・セキュリティー情報と高度な分析を組み合わせることによってコンテキストに沿った洞察を生成できるツールを使用すると、最適化、リスク分析、レポート作成を容易に行うことができます。 そのためには、データベースの状況とセキュリティーに関する大量の履歴データと最新データを保持して合成できるソリューションを選択してください。また、包括的でありながら使いやすいセルフサービス・ダッシュボードを介したデータの探索、監査、レポート作成の機能を備えている必要もあります。

データベース・セキュリティーとIBM Cloud

IBMが管理するクラウド・データベースは、組み込みのIDとアクセス管理、可視性、インテリジェンス、データ保護機能など、IBM Cloud Securityのネイティブなセキュリティー機能を提供します。 IBM管理のクラウド・データベースでは、データベースは本質的に安全な環境でホストされるため、お客様の管理面での負担が大幅に軽減されます。

またIBMでは、よりスマートなデータ保護プラットフォームであるIBM Security Guardiumも提供しています。この製品では、お客様の環境がオンプレミス、クラウド、ハイブリッドのいずれであるかにかかわらず、すべてのデータベース、データウェアハウス、ファイル共有、ビッグデータ・プラットフォームに対して、データ・ディスカバリー、モニタリング、暗号化、トークン化、セキュリティーの最適化、リスク分析の機能を使用できます。

さらに、IBMの管理されたクラウド向けのデータ・セキュリティー・サービスもご活用ください。このサービスは、データのディスカバリーと分類、データ・アクティビティーのモニタリング、暗号化機能と鍵管理機能を備え、合理化されたリスク軽減手法を使用して社内外の脅威からお客様のデータを保護します。

IBM Cloudアカウントに今すぐ登録して、ご利用を開始できます。