データベース・セキュリティーとは

データベース・セキュリティーは、以下について対処し、保護する必要があります。

• データベース内のデータ。
  
• データベース管理システム（DBMS）。
  
• すべての関連アプリケーション。
  
• 物理データベースサーバーまたは仮想データベースサーバー、およびその基盤となるハードウェア。
  
• データベースへのアクセスに使用されるコンピューティングまたはネットワークインフラストラクチャ。

データベース・セキュリティは、情報セキュリティのテクノロジーと実践におけるあらゆる側面を含む、複雑で困難な取り組みです。また、データベースのユーザビリティとも当然相反します。データベースがアクセスしやすく、使いやすいものであればあるほど、セキュリティ上の脅威に対して脆弱であり、脅威に対して安全であればあるほど、アクセスや利用が困難になります。このパラドックスはアンダーソンの法則と呼ばれることもあります。

定義上、データ侵害とは、データベース内のデータ機密性の維持における失敗のことです。データ侵害が企業にどの程度の損害を与えるかは、さまざまな結果や要因によって異なります。

• 侵害された知的財産：企業秘密、発明、独自の慣行などの知的財産は、市場で競争上の優位性を維持する能力において重要な要素である場合があります。知的財産が盗まれたり暴露されたりした場合、競争上の優位性を維持したり回復したりすることが、困難または不可能になる場合があります。
  
  
• ブランドの評判の低下：顧客やパートナーは、貴社のデータや自分のデータが保護されると信頼できない場合、貴社の製品やサービスの購入（または貴社との取引）に消極的となる可能性があります。
  
  
• 事業継続性（またはその欠如）：一部の事業は、侵害が解決されるまで営業を再開できません。
  
  
• コンプライアンス違反に対する罰金や罰則：サーベンス・オクスリー法（SAO）やPCI DSS（Payment Card Industry Data Security Standard）などの世界的な規制、HIPAA法などの業界固有のデータ・プライバシー規制、あるいは、欧州の一般データ保護規則（GDPR）のような地域規模のデータ・プライバシー規制の遵守を怠ったことによる財政的影響として、最悪の場合、違反1件あたり数百万ドルを超える罰金を科される可能性があります。
  
  
• 侵害の修復および顧客への通知におけるコスト：侵害を受けた組織は、侵害を顧客に伝えるコストに加えて、犯罪捜査および調査活動、危機管理、トリアージ、影響を受けたシステムの修復などにかかる費用を支払わなければなりません。

ソフトウェアの設定ミス、脆弱性、よくある不注意や誤用が、侵害につながる場合があります。データベース・セキュリティー攻撃の最も一般的な種類または原因を以下に挙げます。

内部脅威とは、データベースへの特権アクセスを持つ次の3つのソースのいずれかによるセキュリティー脅威のことです。

• 損害を与えようとする悪意のあるインサイダー。
  
• データベースを攻撃に対して脆弱にするエラーを引き起こす不注意なインサイダー。
  
• 侵入者とは、フィッシングなどのスキームを介して、または認証情報データベース自体にアクセスし、何らかの方法で認証情報を入手する部外者です。

内部脅威はデータベース・セキュリティー侵害の最も一般的な原因の1つであり、特権ユーザーのアクセス資格情報を保持している従業員が多すぎた結果として生じます。

事故、脆弱なパスワード、パスワードの共有、その他の賢明でない、または十分な情報を得ていないユーザーの行動が、報告されたすべてのデータ侵害のほぼ半分（49%）の原因となっています。

ハッカーは、データベース管理ソフトウェアを含むあらゆる種類のソフトウェアの脆弱性を発見し、標的にすることで生計を立てています。すべての主要な商用データベース・ソフトウェア・ベンダーやオープンソース・データベース管理プラットフォームは、これらの脆弱性に対処するため定期的にセキュリティー・パッチを発行していますが、これらのパッチのタイムリーな適用を怠った場合、危険にさらされる可能性が高まります。

データベース固有の脅威であり、WebアプリケーションまたはHTTPヘッダーによって提供されるデータベースクエリに、任意のSQLまたはSQL以外の攻撃文字列を挿入することが含まれます。安全なWebアプリケーションのコーディング慣行に従わず、定期的に脆弱性テストを実施しない組織は、これらの攻撃にさらされる可能性があります。

バッファ・オーバーフローは、プロセスが保持できる範囲を超えるデータを固定長のメモリブロックに書き込もうとしたときに発生します。攻撃者は、隣接するメモリアドレスに保管されている余分なデータを、攻撃を開始するための基盤として使用できます。

マルウェアは、脆弱性を利用したり、データベースに損害を与えたりするために特別に作成されるソフトウェアです。マルウェアは、データベースのネットワークに接続している任意のエンドポイントを介して侵入する可能性があります。

データベース自体を保護するために使用されるものと同様の、厳格な制御でバックアップ・データを保護できない組織は、バックアップに対する攻撃に対して脆弱である可能性があります。

これらの脅威は、次の要因によって悪化します。

• データ量の増大：データのキャプチャ、ストレージ、処理は、ほぼすべての組織で指数関数的に増加し続けています。データ・セキュリティー・ツールや慣行は、近い将来および遠い将来のニーズに対応できるように、スケーラブルである必要があります。
  
  
• インフラストラクチャの無秩序な拡大：特に企業がワークロードをマルチクラウドまたはハイブリッドクラウドアーキテクチャに移行するにつれて、ネットワーク環境はますます複雑になり、セキュリティソリューションの選択、導入、管理がこれまで以上に困難になっています。
  
  
• 厳格化し続けている規制要件：世界的な規制コンプライアンスを取り巻く状況はますます複雑化しており、すべての義務を遵守することがますます困難になっています。
  

サービス拒否（DoS）攻撃では、攻撃者はターゲットサーバー（この場合はデータベースサーバー）に多数のリクエストを大量に送り込み、サーバーは実際のユーザーからの正当なリクエストを処理できなくなり、多くの場合、サーバーは不安定になるか、またはクラッシュします。

分散型サービス拒否攻撃（DDoS）では、大量の攻撃が複数のサーバーから行われるため、攻撃の阻止がより困難になります。

データベースはネットワークからアクセスできるため、ネットワーク・インフラストラクチャー内またはその一部のコンポーネントに対するセキュリティー上の脅威は、データベースに対する脅威でもあり、ユーザーのデバイスやワークステーションに影響を与える攻撃はデータベースを脅かす可能性があります。したがって、データベース・セキュリティーは、データベースだけよりもはるかに広い範囲について考慮する必要があります。

環境内のデータベースセキュリティを評価してチームの最優先事項を決定するときは、以下の各領域を考慮してください。

• 物理的なセキュリティー：データベース・サーバーは、オンプレミスであるか、クラウド・データセンター内にあるかに関わらず、安全な気候制御環境内に配置する必要があります。データベースサーバーがクラウドデータセンター内にある場合、クラウドプロバイダーがこれを引き受けます。
  
  
• 管理者とネットワークのアクセス制御：実際的な最小数のユーザーがデータベースにアクセスできるようにし、彼らの権限は、業務を行う上で必要な最小限のレベルに制限する必要があります。同様に、ネットワークへのアクセスは、必要最小限の権限に制限します。
  
  
• ユーザーアカウントとデバイスのセキュリティ：誰がデータベースにアクセスしているのか、いつ、どのようにデータが使用されているのかを常に認識する。データ監視ソリューションは、データアクティビティが異常である場合やリスクが高いと思われる場合に警告を発することができます。データベースを収容するネットワークに接続するすべてのユーザーデバイスは、物理的にセキュア（適切なユーザーのみが扱える状態）であり、常にセキュリティ管理の対象とします。
  
  
• 暗号化：データベース内のデータや認証データなどのすべてのデータは、保存中および転送中、最高クラスの暗号化で保護する必要があります。すべての暗号化キーは、ベスト・プラクティス・ガイドラインに従って扱う必要があります。
  
  
• データベース・ソフトウェアのセキュリティー：常に最新バージョンのデータベース管理ソフトウェアを使用し、パッチが発行されたらすべてのパッチを適用します。
  
  
• アプリケーションとWebサーバーのセキュリティー：データベースと連携するアプリケーションやWebサーバーはすべて攻撃チャネルとなる可能性があるため、継続的なセキュリティー・テストとベスト・プラクティスの管理の対象となります。
  
  
• バックアップのセキュリティ：データベースのすべてのバックアップ、コピー、またはイメージは、データベース自体と同じ（または同等に厳格な）セキュリティ管理の対象とする必要があります。
  
  
• 監査：データベースサーバーとオペレーティングシステムへのすべてのログインを記録し、機密データに対して実行されたすべてのオペレーションも記録します。データベースのセキュリティ標準監査は、定期的に実施する必要があります。

ネットワーク環境全体にわたって多層的なセキュリティ制御を実装することに加えて、データベースセキュリティでは、データベース自体へのアクセスのための正しい制御とポリシーを確立する必要があります。それには以下が含まれます。

• データベースのインストール、変更、および構成管理を制御するための管理コントロール。
  
  
• アクセス、暗号化、トークン化、マスキングを管理するための予防制御。
  
  
• データベースアクティビティ監視およびデータ損失防止ツールを監視するための検出制御。これらのソリューションにより、異常なアクティビティや疑わしいアクティビティを特定して警告することができます。

データベース・セキュリティ・ポリシーは、クリティカルな知的財産の保護、サイバー・セキュリティ・ポリシー、クラウド・セキュリティ・ポリシーなどの全体的なビジネス目標と統合され、サポートされる必要があります。組織内のセキュリティー管理の維持と監査に対する責任が指定されていること、および責任を共有する契約でクラウド・プロバイダーのポリシーがクラウド・プロバイダーのポリシーを補完することを確認します。セキュリティー管理、セキュリティー・アウェアネス向上トレーニングおよび教育プログラム、ペネトレーション・テストと脆弱性評価戦略はすべて、正式なセキュリティー・ポリシーをサポートするために確立される必要があります。

現在、さまざまなベンダーがデータ保護ツールやプラットフォームを提供しています。フルスケール・ソリューションには、次のすべての機能が含まれている必要があります。

• 検出：クラウドでホストされているかオンプレミスでホストされているかに関わらず、すべてのデータベースの脆弱性をスキャンして分類し、特定された脆弱性を修復するための推奨事項を提示できるツールを探します。多くの場合、規制遵守義務に準拠するために、検出機能が求められます。
  
  
• データ・アクティビティの監視：ソリューションは、デプロイメントがオンプレミス、クラウド、またはコンテナのいずれであるかに関わらず、すべてのデータベースにおけるあらゆるデータ・アクティビティを監視および監査できる必要があります。不審なアクティビティーをリアルタイムで警告することで、脅威に迅速に対応できるようにします。また、ルール、ポリシー、職務の分離を適用でき、包括的で統一されたユーザー・インターフェースを通じてデータのステータスを可視化できるソリューションも必要です。どのソリューションを選択しても、コンプライアンス要件を満たすために必要なレポートを生成できることを確認してください。
  
  
• 暗号化およびトークン化機能：侵害の際、暗号化は侵害に対する最終的な防御線となります。選択するツールには、オンプレミス、クラウド、ハイブリッド、またはマルチクラウド環境でデータを保護できる柔軟な暗号化機能が備わっている必要があります。トークン化（データ・マスキング）や高度なセキュリティー・キー管理機能が必要となる場合がある業界のコンプライアンス要件に準拠した、ファイル、ボリューム、アプリケーションの暗号化機能を備えたツールを探しましょう。
  
  
• データ・セキュリティーの最適化とリスク分析：データ・セキュリティー情報と高度な分析を組み合わせることで、コンテキストに応じた洞察を生成できるツールにより、最適化、リスク分析、レポート作成を簡単に実行できます。データベースのステータスとセキュリティーに関する大量の履歴データと最近のデータを保持および合成できるソリューションを選択し、網羅的でユーザーフレンドリーなセルフサービス・ダッシュボードを通じてデータ探索、監査、レポート機能を提供するソリューションを探しましょう。