「情報が漏洩するリスクの一番高いのが，データベースから取り出した後のデータだ。そのため，業務委託先にデータを渡す際は，通信やファイルの暗号化などの対策を進めている」（東京海上日動火災保険 IT企画部 専門次長 高橋秀敏氏）。正規のDBアクセス権限を持つユーザーがデータベースから取り出したデータや，そのデータの委託先への受け渡し，バックアップ・データなどへの備えが必要だ（図8[拡大表示]）。
PCへの対策として，(1)データをPCに保存させない，(2)PCから外部記憶メディアにコピーさせない，(3)ファイルを暗号化する，(4)見せる必要のないデータを暗号化する——などがある。
一方，バックアップ・データに対しては，テープなどの盗難リスクがあれば暗号化したい。
残さない，コピーさせない
「データベースを操作できる高セキュリティ・ルーム内にシン・クライアントを導入した」（アッカ・ネットワークス 取締役執行役員 チーフ・セキュリティ・オフィサ 戦略事業開発部長 中木正司氏）。シン・クライアントを使えば，ハードディスクを搭載していないためデータがPCに残らない。
ただし，シン・クライアントを導入するには，既存のPCを置き換える必要がある。すぐに置き換えるのが難しいケースでは，USBメモリーなどの外部記憶装置を利用できなくしたい。ビットワレットは，コールセンター内のPCに情報漏洩対策ツール「InfoBarrier」を導入している。「USBメモリーなどの外部記憶装置や印刷機能の利用を禁止している。クリップボードのデータ削除機能を備えており，画面データをテキスト・データとしてコピーすることさえできない」（沼上氏）。
取り出す時点でファイルを暗号化
ファイルを社外に渡す必要がある場合，ファイルそのものを暗号化するのは効果的だ。アサヒインターネットサービスは，グループ会社のキャンペーン担当者と個人情報をやり取りする際，ファイルを暗号化して渡している（図9[拡大表示]）。
顧客データをAPサーバーから取り出す時点で，アプリケーションを利用しているユーザーしか復号化できないようにファイルが暗号化されている。このファイルをアサヒインターネットサービスのオペレータが自分のUSBキーで復号化するとともに，社外のキャンペーン担当者向けに暗号化。メールなどでファイルをキャンペーン担当者に送付する。
USBキーはログ収集機能を備えている。このログ収集機能は，復号化した際に同社のログ収集サーバーへログを送信する。このログを見れば，誰がどういうファイルを復号化したのかが，一目瞭然になるようにしている。
メンテナンスは“意味のない”データで
暗号化はデータ保護の有効な手段だが，RDBMSには限定的に使いたい。見せる必要のないデータは取り出せないようにアクセス制御するのが基本。この点を押さえたうえで，保護する必要のあるデータのみ暗号化したい。
例えば，データベース管理者はメンテナンスのためにデータにアクセスする必要がある。そのような場合，見せる必要のないカラムのデータを暗号化することは有効な手段になる。
Oracle DBが標準でカラム・データの暗号化機能を備えているほか，SQL Server 2005（SQL Server 2000の次バージョン）がネイティブで機能を備える。ジャパン・インフォメーション・テクノロジーの「eCipherGate」などのサードパーティ製ツールもある。
テープの暗号化はよく見極めて
「災害対策として，テープをデータセンターから持ち出し，倉庫に保管している」（ビットワレット 沼上氏）といった場合は，盗難に備えてバックアップ・データを暗号化したい。
バックアップ・データの暗号化には主に，(1)バックアップ・ソフトが備える暗号化機能を使う方法と，(2)RDBMSの機能などでデータベースをあらかじめ暗号化しておく方法がある。(2)の場合，バックアップ時に再度暗号化する必要はない。ビットワレットは(2)の方法を利用している。
一方で，バックアップ作業がデータセンター内で完結し，テープがデータセンター外に出ないのであれば，盗難に遭う可能性は低い。暗号化を実施するかどうかを見極める必要がある。
