データベース・セキュリティー：基本ガイド

データベース・セキュリティーとは

データベース・セキュリティーとは、データベースの機密性、保全性、可用性の確立と保持のために設計された、さまざまなツール、コントロール、手段を指します。この記事では、データ漏えいについて、最も侵害されることが多い要素である機密性に焦点を当てています。

データベース・セキュリティーでは、以下に対する処置と保護が必要になります。

データベース内のデータ
データベース管理システム（DBMS）
すべての関連アプリケーション
物理データベース・サーバー、仮想データベース・サーバー、その基礎となるハードウェア
データベースにアクセスするために使用されるコンピューティング・インフラストラクチャーとネットワーク・インフラストラクチャー

データベース・セキュリティーは、情報セキュリティーのテクノロジーと手法におけるすべての側面が関わってくる複雑で困難な取り組みです。そのため、データ・セキュリティーはデータベースの使いやすさとは相容れないものとなります。データベースは、アクセスしやすく便利であるほど、セキュリティー上の脅威に対してより脆弱になります。そして反対に、脅威に対して堅牢であるほど、アクセスが難しく不便になります。（このパラドックスは、アンダーソンの法則（IBM外部へのリンク）とも呼ばれています。）

データ・セキュリティーが重要である理由

定義によると、データ漏えいとはデータベース内のデータの機密性の維持に失敗することです。データ漏えいによる企業への影響は、以下のように被害の内容によってさまざまです。

知的財産の侵害：知的財産（取引上の秘密、発明、独自のプラクティス）は、市場において競争上の優位性を維持するために重要です。知的所有権が盗まれたり暴露されたりすると、競争上の優位性の維持または回復が難しくなるか、不可能となります。
ブランド評価の損傷：自社のデータ、または顧客やパートナーのデータの保護に対する信頼を失うと、顧客やパートナーからの製品やサービスの購入（または取引）が停止する可能性があります。
事業継続性の損失：漏えいが解決されるまで、一部のビジネスは運用を継続できなくなります。
コンプライアンス違反の罰金またはペナルティー：サーベンス・オクスリー法やPayment Card Industryデータ・セキュリティー標準（PCI DSS）などの国際的な規定、HIPAA法などの業界固有のデータ・プライバシー規定、ヨーロッパの一般データ保護規則（GDPR）などの地域的なデータ・プライバシー規定はいずれも、準拠できなかった場合の財務的な影響は甚大です。最悪のケースでは、違反ごとに数百万ドルを超える罰金が科せられます。
漏えいの修復と顧客への通知のコスト：侵害された組織は、顧客に漏えいを通知するためのコストに加え、フォレンジックと調査活動、危機管理、トリアージ、影響を受けたシステムの修理などの費用も支払う必要があります。

一般的な脅威と課題

ソフトウェアの不適切な構成、脆弱性、ユーザーの不注意や誤操作は、多くの場合に漏えいの原因となります。データベース・セキュリティー攻撃の最も一般的なタイプとその原因を以下に示します。

社内の脅威

社内の脅威は、データベースへの特権アクセスを持つ、以下の3種類のいずれかの者に起因するセキュリティー上の脅威です。

危害を加えようとする悪意ある社内の関係者
攻撃に対してデータベースを脆弱化させるエラーを引き起こす、不注意な社内の関係者
フィッシングなどの手法または資格情報データベース自体へのアクセス権限の取得によって資格情報を取得した部外者、つまり侵入者

社内の脅威は、データベース・セキュリティー侵害の最も一般的な原因の1つです。これは多くの場合、特権ユーザーのアクセス資格情報を保持している従業員が多すぎることによります。

人的エラー

報告されているすべてのデータ漏えいの半数近く（49%）の原因は、賢明でないユーザーまたは無知なユーザーによる、事故、脆弱なパスワードの設定、パスワードの共有などの行為です。

データベース・ソフトウェアの脆弱性の悪用

ハッカーは、データベース管理ソフトウェアを含むあらゆる種類のソフトウェアの脆弱性を見つけて、標的とすることで生計を立てています。すべての主要な商用データベース・ソフトウェア・ベンダーとオープンソース・データベース管理プラットフォームは、定期的にセキュリティー・パッチを発行してこうした脆弱性に対応しています。しかし、これらのパッチをタイムリーに適用できないと、機密漏れの可能性が高まります。

SQL/NoSQLインジェクション攻撃

これは、データベース固有の脅威です。この攻撃では、任意のSQLまたは非SQLの攻撃文字列を、WebアプリケーションまたはHTTPヘッダーによって提供されるデータベース照会に挿入します。安全なWebアプリケーションのコーディング手法に従わず、定期的な脆弱性テストを実施しない組織は、この攻撃に対して無防備です。

バッファー・オーバーフローの悪用

バッファー・オーバーフローは、固定長ブロックのメモリーで保持できるデータ量を超えて、プロセスが書き込みを行おうとするときに発生します。攻撃者は、隣接するメモリー・アドレスに格納された超過データを、攻撃を開始する基盤として使用します。

マルウェア

マルウェアは、脆弱性の悪用やデータベースの損傷のみを目的として作成されたソフトウェアです。マルウェアは、データベースのネットワークに接続しているあらゆるエンドポイント・デバイスから侵入します。

バックアップへの攻撃

データベース自体を保護するために使用されているものと同じ厳密な制御を使用してバックアップ・データを保護していない組織は、バックアップへの攻撃に対して脆弱になります。

こうした脅威は、以下の要因によってさらに深刻化します。

増大するデータ量：ほぼすべての組織において、データの収集、保管、処理の需要は、今後も急増し続けます。そのため、データ・セキュリティーのツールやプラクティスには、近い将来と遠い将来のニーズに対応するために高いスケーラビリティーが求められます。
インフラストラクチャーのスプロール化：ネットワーク環境は、企業がワークロードをマルチクラウドまたはハイブリッドクラウドのアーキテクチャーに移行するにつれて、ますます複雑化しています。そのため、セキュリティー・ソリューションの選択、導入、管理は、これまで以上に困難になっています。
厳しさを増す規制要件：規制コンプライアンスに関する世界的状況は複雑さを増しており、完全遵守が難しくなっています。
サイバーセキュリティーのスキル不足：専門家は、2022年までに800万ものサイバーセキュリティーの職が埋まらない可能性があると予測しています。

サービス妨害（DoS/DDoS）攻撃

サービス妨害（DoS）攻撃では、攻撃者はターゲット・サーバー（ここではデータベース・サーバー）に大量の要求を送信します。そのため、サーバーは実際のユーザーからの正当な要求を実行できなくなり、多くの場合、不安定になったり異常終了したりします。

分散型サービス妨害攻撃（DDoS）では、複数のサーバーから大量の要求が送信されるため、攻撃を停止することがより困難になります。詳しくは、次の「DDoS攻撃とは」（3:51）の動画をご覧ください。

ベスト・プラクティス

データベースは、ネットワークにほぼ常時アクセス可能であるため、ネットワーク・インフラストラクチャーの一部または構成要素に対するセキュリティー上の脅威は、すべてデータベースへの脅威となります。また、ユーザーのデバイスやワークステーションに対する攻撃も、すべてデータベースへの脅威となります。したがって、データベース・セキュリティーは、データベース自体だけを対象とするのではなく、さらに範囲を広げて考える必要があります。

ご使用の環境のデータベース・セキュリティーを評価して、チームの最優先事項を決定する際は、以下の各項目を考慮してください。

物理的セキュリティー：ご使用のデータベース・サーバーは、オンプレミスであるか、クラウド・データセンター内にあるかにかかわらず、安全で温度や湿度が管理された環境内に配置されている必要があります。（データベース・サーバーがクラウド・データセンターにある場合は、クラウド・プロバイダーの責任において管理します。）
管理とネットワークのアクセス制御：実際の業務に必要な最小限のユーザーのみにデータベースへのアクセス権限を付与する必要があります。また、その権限も業務に必要な最小限のレベルに制限します。同様に、ネットワークのアクセス許可も必要な最小限のレベルに制限してください。
エンド・ユーザー・アカウント/デバイスのセキュリティー：データベースにアクセスしているユーザー、およびデータの使用日時や使用方法を常に把握する必要があります。データ・モニタリング・ソリューションは、データ・アクティビティーに異常が見られる場合や、リスクが高いと見られる場合にアラートを出すことができます。データベースが収容されているネットワークに接続するすべてのユーザー・デバイスは、（適切なユーザーのみによる管理下で）物理的に保護され、常にセキュリティー管理対象である必要があります。
暗号化：すべてのデータ（データベース内のデータと、資格情報データを含む）は、保存中も転送中も、最高水準の暗号化で保護する必要があります。すべての暗号鍵は、ベスト・プラクティス・ガイドラインに従って処理する必要があります。
データベース・ソフトウェアのセキュリティー：常に最新バージョンのデータベース管理ソフトウェアを使用し、パッチはすべて発行されたらすぐに適用します。
アプリケーション/Webサーバーのセキュリティー：データベースと対話するアプリケーションとWebサーバーはすべて攻撃用のチャネルになる可能性があるため、継続的なセキュリティー・テストとベスト・プラクティス管理を行う必要があります。
バックアップ・セキュリティー：データベースのすべてのバックアップ、コピー、イメージに対して、データベース自体と同じ（または同等に厳密な）セキュリティー管理を行う必要があります。
監査：データベース・サーバーとオペレーティング・システムへのすべてのログインを記録し、機密データに対して実行されるすべての操作もログに記録します。データベース・セキュリティー標準監査は、定期的に実行する必要があります。

コントロールとポリシー

データベース・セキュリティーでは、ネットワーク環境全体に階層化されたセキュリティー管理を実装することに加えて、データベース自体へのアクセスに対する適切なコントロールとポリシーを確立する必要があります。これらには、以下が含まれます。

データベースのインストール、変更、構成管理を管理するための 管理コントロール。
アクセス、暗号化、トークン化、マスキングを管理するための 予防コントロール。
データベース・アクティビティーのモニタリングとデータ損失防止ツールを監視するための検出制御。このソリューションにより、異常なアクティビティーや不審なアクティビティーを検出してアラートを通知できます

データベース・セキュリティー・ポリシーは、お客様のビジネス目標（重要な知的財産の保護など）、サイバーセキュリティー・ポリシー、およびクラウド・セキュリティー・ポリシーと統合され、これらをサポートしている必要があります。お客様の組織内でセキュリティー・コントロールの維持と監査の責任者が指定されていること、また、お客様のポリシーがクラウド・プロバイダーのポリシーを、共有された責任契約において補完するものであることを確認してください。セキュリティー管理、セキュリティー啓発の研修と教育プログラム、侵入テスト、脆弱性評価戦略は、すべてお客様の正式なセキュリティー・ポリシーをサポートするために確立する必要があります。

データ保護ツールとプラットフォーム

現在、さまざまなベンダーによってデータ保護のためのツールとプラットフォームが提供されています。完全なソリューションには、以下のすべての機能が含まれている必要があります。

検出：データベースが、クラウドまたはオンプレミスのどちらにホストされているかにかかわらず、すべてのデータベースにわたり脆弱性のスキャンと分類を実行でき、特定された脆弱性に対して修正するための推奨を提供できるツールを見つける必要があります。検出機能は、多くの場合、規制コンプライアンス要件に準拠するために必要です。
データ・アクティビティーのモニタリング：デプロイメントがオンプレミスであるか、クラウド内であるか、コンテナ内であるかにかかわらず、すべてのデータベースのすべてのデータ・アクティビティーをモニターして監査できるソリューションを選択してください。お客様がより迅速に脅威に対応できるように、不審なアクティビティーに対するアラートをリアルタイムで通知できることも不可欠です。また、ルール、ポリシー、職務分離の実施と、統一された包括的なユーザー・インターフェースによるデータ状況の可視化を実行できる必要もあります。さらに、そのソリューションで、コンプライアンス要件を満たすために必要なレポートを生成できることも必ず確認してください。
暗号化とトークン化：漏えいが起きた場合、暗号化は侵害に対する最終防衛線となります。選択するツールには、オンプレミス、クラウド、ハイブリッド、またはマルチクラウドの環境においてデータを保護する、柔軟な暗号化機能が含まれている必要があります。お客様の業界のコンプライアンス要件に適合する、ファイル、ボリューム、アプリケーションの暗号化機能を備えたツールを見つけてください。コンプライアンス要件によっては、トークン化（データ・マスキング）または高度なセキュリティー鍵管理機能が要求される場合があります。
データ・セキュリティーの最適化とリスク分析：データ・セキュリティー情報と高度な分析を組み合わせて、コンテキストに沿った洞察を生成できるツールを使用すると、最適化、リスク分析、レポート作成を容易に行うことができます。そのためには、データベースの状況とセキュリティーに関する大量の履歴データと最新データを保持して合成できるソリューションを選択してください。また、包括的かつ使いやすいセルフサービス・ダッシュボードを通してデータの探索、監査、レポート作成の機能を備えている必要もあります。