情報漏洩事件は後を絶たず，さらなる対策が求められている。これからのセキュリティ対策において重要な視点は，重要データを格納するデータベースを不正ユーザからいかに守るかだ。データベース・セキュリティを進めている先進企業への取材から，やっておきたい5つの対策が浮かび上がってきた。
「個人情報が漏洩した場合のリスクを検討した結果，社会的なインパクトや企業イメージのダウンなど，影響は計り知れないと判断。個人情報は漏れてはならないという前提で，データベース・セキュリティに必要な要件を突き詰めた」（トマデジ執行役員 事業本部長 舟橋洋介氏）——。
舟橋氏は，データ放送を利用した視聴者と放送局の間の双方向通信向けの，アンケートなどの機能を持つASP（Application Service Provider）サービスを支えるシステム設計を担当。そのシステムには「データベース・セキュリティとして考えられるすべての対策を施している」（同氏）。
舟橋氏の言う「データベース・セキュリティ」とは，これまでのセキュリティ対策と異なり，守りたい重要データに着目したセキュリティである。
“データ”にも目を向ける機運
これまで情報漏洩対策と言えば，クラッカやウイルスなどによるインターネット経由での不正アクセスを防ぐのが主な目的だった。具体的にはファイアウォールやアンチウイルス・ゲートウエイなどを使う対策である。こうした対策も重要データを守るためのものであることに違いないが，その視点は「ウイルスの侵入を食い止める」「不正なパケットを遮断する」というように，データそのものでなく，不正ユーザーや不正行為に向けられている。
実際，「セキュリティ担当者の多くはWebサイトへの不正アクセスに目を向けており，内部犯行を想定したデータベース・セキュリティに手が回っていないのが現状」（NRIセキュアテクノロジーズ 事業開発部 セキュリティコンサルタント 鴨志田昭輝氏）という意見で多くの専門家の見方は一致する。だが昨年あたりから，データベース・セキュリティ（DBセキュリティ）への注目度は急速に高まってきた。
「ソフトバンクBBの情報漏洩事件で，企業のブランド・イメージがどんどん悪化していくのが目に見えた。データベースの情報漏洩対策（DBセキュリティ）は急務と判断した」（ぷららネットワークス ネットワーク管理部 副部長 荒木孝広氏）。
昨年のソフトバンクBBや今年2月のNTTドコモの情報漏洩事件は，社内のデータベースからデータを抜き取られて社外に流出。内部犯行によるものとされている。DBセキュリティはデータに着目したセキュリティ対策であるため，内部犯行対策になるという側面がある。多くのセキュリティ担当者がDBセキュリティに注目する理由は，ここにある。
今年4月には個人情報保護法が全面施行され，「個人情報の漏洩対策を進めるという社内の機運が一気に高まった」（ニコンカメラ販売 企画部 システムグループ グループリーダー 賢けん賀が雅紀氏）。これまでのセキュリティ対策に加え，DBセキュリティを新たな柱として取り組む動きは活発になっている（表1[拡大表示]）。
難しくても，避けては通れない
DBセキュリティには，DBならではの難しさがある。セキュリティ対策とはいえ，既存システムのDBサーバーを一定期間停止させるのは現実的ではない。また，DBサーバーの性能がシステム全体の性能を左右するケースは多く，セキュリティ対策だからと言って大幅な性能の低下は許されない。
実際，DBセキュリティをシステムに取り入れたトマデジの舟橋氏は，「一からシステムを作ったからこそ，考えられる限りのセキュリティ対策をシステムに盛り込めた」と言う。既存システムへの影響を最小限に抑えつつセキュリティ対策を進めなければならない。これが，DBセキュリティならではの難しさだ。
ただ，RDBMSのデフォルト設定や一般的なDBアプリケーションは，セキュリティの観点からすると脆弱であり，DBセキュリティは避けては通れない課題と言える。RDBMSのデフォルト設定では監査ログを取らない場合が多く，情報が漏洩しても証拠が残らない。多くのDBアプリケーションは一つのDBアカウントを使い回すので，DBからは誰がアクセスしているかが分からない。このような状況は変えなければならない。
まずはログ取得から始めよう
先行してDBセキュリティに取り組んでいるユーザー企業やシステム・インテグレータへの取材から，“これだけはやっておきたい”5つの対策をまとめた（図1[拡大表示]）。
まず基本となるのが，誰がどのデータに対して何をしたかを知るために，DB監査ログを収集することである（対策1）。DB監査ログを取得できる体制が整ったら，収集したログを基に不審な動きを探りたい（対策2）。うまくすれば，情報漏洩を水際で防ぐことが可能になる。「データベースから不正にデータを引き出そうとする場合，データベースの構造を調査するなど，不審な動きが必ずある。そうした動きを察知して早めに手を打てば，傷口が広がらずに済む」（シーエーシー 生産品質強化本部 統括PMOセンター 設計・インフラ監理グループ 鹿谷崇志氏）。
セキュリティ対策としては基本的なことだが，DBセキュリティとして，RDBMSへのアクセス制御を見直したい（対策3）。「データベースのアカウントを，複数のユーザーで使い回している企業が多い」（電通国際情報サービス ビジネスソリューション事業部 情報基盤サービス部 統括マネージャー 芝田潤氏）という状況では，不正アクセスが簡単にできてしまう。
さらに，RDBMSから取り出した後のデータ保護（対策4）にも目を向けよう。ここでは，データの暗号化やシン・クライアントの導入が考えられる。そして忘れてはならないのが，「SQLインジェクション」などの，DBアプリケーションの脆弱性対策である（対策5）。以下，この5つの対策を順に見ていこう。
