データベースにおける可用性とセキュリティのバランス（ペンタセキュリティシステムズ）

韓国に本社を持ち、Webアプリケーションセキュリティとデータベースセキュリティを提供するペンタセキュリティシステムズ株式会社。データベース暗号化製品「D'Amo」は日本で本格的に製品展開を始めて数年だが、韓国では製品の発売から10年を数え、多くの導入実績がある。

特集特集

2014年4月17日（木） 11時35分

韓国に本社を持ち、Webアプリケーションセキュリティとデータベースセキュリティを提供するペンタセキュリティシステムズ株式会社。データベース暗号化製品「D'Amo」は日本で本格的に製品展開を始めて数年だが、韓国では製品の発売から10年を数え、多くの導入実績がある。

今回は同社のテクニカルエンジニアである美濃部崇氏に、データベースセキュリティの重要性と、製品概要や特徴などについて話を聞いた。

――なぜ今、データベースセキュリティが求められているのでしょうか

現在のITセキュリティは非常に広い分野にまたがっています。ウイルス対策やネットワークセキュリティ、Webアプリケーションの保護は広く認識されていますが、データベースのセキュリティ対策はあまり意識されていないように感じます。たしかにデータベースは外部から見えにくいという面もありますが、企業の中枢部であり、貴重なデータの宝庫です。

データベースは大きく2つの脅威にさらされています。ひとつは外部からの攻撃です。データベースそのものはシステムの内部にあり、外部からは見えにくい位置にあるといっても、企業のＷｅｂサイトは、グローバルなインターネットに公開されています。日々増加するＷｅｂサイトの攻撃によって、バックエンドのデータベースから顧客情報などが盗まれるといったインシデントは多数発生しています。

もうひとつの脅威は、内部の人間によるデータの漏えいです。データベース管理者がバックアップデータを持ち出したり、重要なデータを意図的にコピーして持ち出すといった事件が発生しています。個人情報は“守るべきも”のとして多くの企業が認識しているにもかかわらず、情報漏えい対策としてのデータベースのセキュリティはほとんど意識されていないのが現状です。

――データベースセキュリティの重要性は意識されにくい理由は

データベースにおいては、パフォーマンスの向上、可用性の確保などが優先順位として高く、セキュリティ意識があまり働かないのが現状のようです。データベースの管理者（DBA）がいても、基本的な目的はテーブル構造などの管理や運用であり、セキュリティは「自分の担当ではない」という考えがあるかもしれません。

海外の企業ではデータベースを含む全社のセキュリティを管理する担当者が存在します。しかし日本企業では、データベースに関する事項はDBAに一任されており、DBAがデータベースに求めるものはセキュリティではないため、自分の仕事であるという認識が生まれないのでしょう。

――「D'Amo」とはどのような製品ですか

D'Amoは、暗号化とアクセスコントロールおよび監査により、データベース内の情報を保護する統合セキュリティソリューションです。プラグイン方式を採用していることが特徴で、これにより、オラクルやマイクロソフトのデータベースへセキュリティ機能の追加導入が容易に実現できます。

データベースへのクエリはD'Amoのモジュールを介して行われます。暗号化をカラム単位で行うため、データベースへの負荷を最小限に抑えることができることも大きな特徴です。たとえばオラクルのデータベースの場合、暗号化カラムの検索時の平均負荷は5～7％です。

さらに、アクセスコントロール機能を搭載しています。一般的にDBAは、すべてのデータにアクセスすることができ、それがデータの持ち出しを許してしまう原因になっていました。しかしD'Amoでは、暗号化権限とデータベースへのアクセス権限を分離して管理することが可能です。これによりDBAは、テーブルの検索などはできても暗号化されたデータを復号することはできず、情報漏えいの抑止につながります。

ただし、暗号化による情報の保護は暗号化キーの管理が適切に行われていることが前提です。どんなに強固なアルゴリズムで暗号化していても、キーがあれば復号化されるリスクを伴います。万が一キーを紛失してしまったり、担当者の変更によりキーを紛失してしまう場合もあります。そこで、キーを管理することは、セキュリティ管理者において、暗号化にひも付いた重要なタスクであるという点を強調しておきます。

――日本ならではの機能や導入実績について教えてください

管理コンソールのインタフェースや、ドキュメントはすべて日本語にローカライズされています。また、サポートも日本の代理店が対応します。代理店だけでは解決が困難な場合は、当社と韓国の本社が連携しながら解決にあたります。

　製品を日本で最初に導入してから５年ほどになり、導入事例も増えています。たとえばある官公庁ではD'Amoを検証いただいた結果「わかりやすく、セキュリティと可用性のバランスが取れている」という評価をいただきました。また、製造業では、システムのクラウド移行の際に、D'Amoを合わせて展開し、これによりクラウド上のデータベースにも強固な暗号化を実現しています。

――今後の展開について教えてください

　何よりも、データベースセキュリティへの意識を高めたいと考えています。そのためにはデータベースのエンジニアや管理者に直接訴求するのではなく、企業のセキュリティ意識を高めることが重要です。企業全体としてどのようなセキュリティが必要かを考えたときに、データベースセキュリティがひとつの選択肢としてあがることを望んでいます。そのための啓発活動には積極的に取り組みます。

　製品については、ひとつは組み込み型のパッケージ製品という特徴をアプローチしていきます。たとえば人事管理システムのベンダと協業してD'Amoを組み込むなどの提案です。また、既存のデータベースにプラグインとして導入可能なメリットを活かして、中小規模の企業にも販路を拡大したいです。

　さらに、オープンソースへの対応要望をうけて、MySQLに対応した「My D'Amo」の販売も開始しました。無料の評価版を用意していますので、まずは使っていただくことでオープンソースを活用している企業にも暗号化を検討していただきたいです。

　また暗号化キーの管理において、本国では統合的なキー管理のための専用アプライアンスも提供しています。日本では暗号化の意識を高めることが先決ですが、意識が高まってきたら、次のステップとしてキー管理アプライアンスの日本展開も視野に入れています。今後も市場を見ながら、暗号化とセキュリティの啓発活動をしていきます。

――ありがとうございました

データベースにおける可用性とセキュリティのバランス（ペンタセキュリティシステムズ）

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

Office 365 のセキュリティ課題を整理する Gartner のフレームワークとは

北朝鮮の APT 引っかかってみた／Acer 社ランサム五千万ドル／データセンター火災影響が攻撃者に他 [Scan PREMIUM Monthly Executive Summary]

PDFサイバー攻撃手法一覧、28ビューアの安全性点検

Microsoft Windows の win32k.sys において管理者権限の奪取が可能となる境界外書き込みの脆弱性（Scan Tech Report）

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

Office 365 のセキュリティ課題を整理する Gartner のフレームワークとは

北朝鮮の APT 引っかかってみた／Acer 社 ランサム 五千万ドル／データセンター火災影響が攻撃者に 他 [Scan PREMIUM Monthly Executive Summary]

PDFサイバー攻撃手法一覧、28ビューアの安全性点検

Microsoft Windows の win32k.sys において管理者権限の奪取が可能となる境界外書き込みの脆弱性（Scan Tech Report）

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

SaltStack Salt において wheel_async client での認証の実装不備により認証を回避して遠隔からのコード実行が可能となる脆弱性（Scan Tech Report）

Sensorweb製ScadaBRに任意のファイルをアップロードされる問題

意図しない「Trello」のボード「公開」設定、非公開への変更方法を案内

北朝鮮の APT 引っかかってみた／Acer 社 ランサム 五千万ドル／データセンター火災影響が攻撃者に 他 [Scan PREMIUM Monthly Executive Summary]

VMware vRealize Operations Managerなどの複数の脆弱性に関する注意喚起を発表

baserCMS に複数の脆弱性、最新版へのアップデートを呼びかけ

インシデント・事故 記事一覧へ

ホテルサンルート台北へ不正アクセス、宿泊客へのATM操作を促す不審電話で発覚

みらいワークス運営の人材プラットフォームに不正アクセス、2,456人分の会員情報流出

「Trello」の設定ミスが原因、採用関連情報が閲覧可能に

中小企業庁の「ミラサポplus」サイト内の個人情報が閲覧可能に

ランドブレイン社へのランサムウェア攻撃、総務省委託業務も対象に

みずほ銀行で発生したシステム障害の対応状況を公表

調査・レポート・白書 記事一覧へ

国土交通省「鉄道の混雑緩和に資する情報提供に関するガイドライン」策定

IDCの国内企業833社セキュリティ対策実態調査、被害の4割はランサムウェア感染

「グリーセキュリティ報告書2021」発行、リモートワークを狙った攻撃が増える傾向に

医療の脱アナログ化、診療録等電子化のセキュリティガイダンス公開

請求情報のデジタル化運用手引きを公開、電子インボイス化に向け

中小企業の7割近くがサイバー攻撃を経験、最多はWebサイト改ざんに

研修・セミナー・カンファレンス 記事一覧へ

SHIFT SECURITY「クラウド監視」テーマのオンラインセミナー、AWSやAzureの監視事例を紹介

Office 365 のセキュリティ課題を整理する Gartner のフレームワークとは

グローバル 5 カ国の専門家が登壇、マキナレコードが「Cyber Intelligence Summit 2021」オンライン開催

CrowdStrike、日本を取り巻くサイバー脅威について Interop Tokyo 2021 で基調講演

ゼットスケーラーとクラウドストライク共催オンラインセミナー、両社CTO基調講演

応募資格25歳以下、NICTの「SecHack365」2021年度受講生募集

製品・サービス・業界動向 記事一覧へ

Salesforce の設定不備の問題はなぜ起きたのか？ ～ SHIFT SECURITY が 3 つの無償サービスを続ける理由

不動産入居申込の API を OWASP ASVS に対応、保証会社への個人情報や審査結果送信など

IBMが考えるクラウドセキュリティ5つの必須条件2021年版

売上前年比130％の吉野家公式通販、不正防止サービス「Sift」導入

トレンドマイクロ、5G/ローカル5G向けセキュリティソリューション「Trend Micro Mobile Network Security」提供開始

富士通とトレンドマイクロ、ローカル5Gを活用したスマートファクトリー環境でのセキュリティソリューションを実証

おしらせ 記事一覧へ

セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの ～ 2021年 CrowdStrike カレンダー読者プレゼント

ScanNetSecurity システム更新のお知らせ

特典ノベルティ写真公開、Scan PREMIUM 創刊22周年記念キャンペーン11月末迄

ScanNetSecurity 創刊22周年御礼の辞（上野宣）

上野編集長就任１０周年記念オンライン飲み会 ７月１７日開催（ScanNetSecurity）

上野宣 編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）

北朝鮮の APT 引っかかってみた／Acer 社ランサム五千万ドル／データセンター火災影響が攻撃者に他 [Scan PREMIUM Monthly Executive Summary]

脆弱性と脅威記事一覧へ

北朝鮮の APT 引っかかってみた／Acer 社ランサム五千万ドル／データセンター火災影響が攻撃者に他 [Scan PREMIUM Monthly Executive Summary]

インシデント・事故記事一覧へ

調査・レポート・白書記事一覧へ

研修・セミナー・カンファレンス記事一覧へ

製品・サービス・業界動向記事一覧へ

Salesforce の設定不備の問題はなぜ起きたのか？～ SHIFT SECURITY が 3 つの無償サービスを続ける理由

おしらせ記事一覧へ

セキュリティ業界最強の「ヤバイＴシャツ屋」でも売っていないもの～ 2021年 CrowdStrike カレンダー読者プレゼント

上野編集長就任１０周年記念オンライン飲み会７月１７日開催（ScanNetSecurity）

上野宣編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）