データベース管理者こそがセキュリティホール？：オラクルデータベースの新潮流（2/2 ページ）

[敦賀松太郎，ITmedia]

セキュリティホールとなるDBAの特権を制御

　Oracle ASOを利用してデータそのものを暗号化したとしても、セキュリティ上万全とは言えない。データベースは一般的に、DBA（Database Administrator）と呼ばれる特権ユーザーによって管理されているが、そのDBAは設定したアクセス権を超えたデータベース操作が可能である。つまり、DBAによる内部からの情報漏えいというリスクがあるわけだ。

　そこでOracle Databaseには、「Oracle Database Vault」という機能が用意されている。この機能では、だれがどのデータにどのような条件でアクセスできるか事前に定義することが可能で、DBAなどの特権ユーザーであっても機密データにアクセスすることを禁止したり、アプリケーションのユーザーが決められた時間や場所以外からデータを閲覧できないようにする。これにより、社内からデータが持ち出されることを防げるだけでなく、内部統制の強化、職務分掌の実現を求めるコンプライアンスにも対応できる。

Oracle Secure Backupで安全にバックアップ

　データベースのデータは、コンプライアンスに対応するためにも、使用された後に一定期間はアーカイブとして保管する必要がある。しかし、データベースをそのままバックアップしたのでは、テープなどのメディアから機密データが漏えいするかもしれない。

　Oracle Databaseには、ネットワークに分散したデータベースはもとより、UNIXやLinux、Windowsのファイルシステムを対象にテープバックアップ機能を提供する「Oracle Secure Backup」が用意されている。Oracle Secure Backupでは、データベースからデータを取り出す前に暗号化が行われ、データの復号に必要なキーは、バックアップ元のデータベースでしかわからない。そのため、バックアップのために転送中のデータ、テープに書き込まれたデータの安全が確保されるのだ。万一、バックアップテープを紛失したり、盗難に遭ったとしても、内容の読み取り、改ざんは不可能だ。

　Oracle Databaseには、このようにデータ保護を実現する豊富な機能が用意されている。データベースは、そのまま使っていただけでは安全でないということを知るとともに、これらの機能を利用してデータの安全性を高めることをお勧めする。