エース保険の厳しい要求に応えたDB監査アプライアンスの実力：コンプライアンス時代のDB監査術

保険という形で「最高の安心」を提供するエース保険。利用者の情報管理に対してもその姿勢は貫かれている。同社がDB監査アプライアンス「SecureSphere DMG」を導入した背景、そして導入して得られた数多くのメリットに迫る。

[PR／ITmedia]

PR

　「選ばれる保険会社」を目指すエース保険。前身会社を含め85年以上の豊富な実績を持つ同社は、グローバルで展開するエース・グループの先進的なノウハウも取り入れ、企業や個人を対象に、自動車保険や海外旅行保険、地震保険など幅広いサービスを提供している。

　保険という形で「最高の安心」を提供する同社。そこには必然的に顧客の情報が多く集まる。最高の安心をうたうには、顧客のデータ保護にも注意を払う必要がある。従来からIPS（Intrusion Prevention System：侵入防止システム）やファイアウォールなどのセキュリティ対策に取り組んできた同社だが、個人データの保護や内部統制などのコンプライアンス対応、さらにその先にある運用の効率化を目指し、2007年12月、東京エレクトロン デバイスが販売する、米国Imperva（インパーバ）のデータベース（DB）監査アプライアンス「SecureSphere （セキュアスフィア）DMG」を導入した。同社がDBアクセスの監査、監視システムの導入に踏み切った軌跡を追う。

機能、コスト、運用など多角的にツールを評価

情報システム本部
システム運用部 グループリーダー
木下昌子氏

　顧客のプライベートな情報を多く保有する保険会社は、万全のセキュリティ体制が求められる。エース保険も毎年監査を実施し、セキュリティ対策が正しく機能しているかをチェックしてきた。その監査において、2006年、「DBの変更、更新の際、アクセス権限管理、変更管理、権限者の管理、監視が正しく行われていないとの指摘を受けました」と、情報システム本部システム運用部グループリーダーの木下昌子氏は、監査ツール導入の動機を振り返る。

　監査の指摘に対し、当初は、DBが標準で備える監査機能を利用する方法も検討したというが、DBサーバへの負荷も高まる上、そもそもDBが標準で備える監査機能では監査の“独立性”を満たすとはいえない。また、Oracle、Microsoft SQL Server、Sybase、DB2という4種類のDBを運用していることもあり、出力される情報にばらつきが生じてしまうことも運用面からするとマイナスとなる。ここを属人的に行うことも不可能ではないが、将来的な運用とリスクを回避するためツールの導入を決定した。

　DBアクセスの監査を行う各社の製品を検討した結果、4社の製品を選定、実機を借りて2〜3週間ずつ、機能、コスト、運用性など、約30項目に上る評価を行った。その結果、同社が選択したのは、東京エレクトロン デバイスが提案した「SecureSphere DMG」だった。

SecureSphere

　「サービスの停止は決して許されないため、ネットワークやアプリケーションなどの変更が不要な点が決め手となりました。また、詳細なリポート機能を装備している点、そして経済性も大きなポイントでした」と木下氏。

　エース保険では、取り扱う保険商品によって複数のWebアプリケーションと上述した4つのDBサーバが稼働している。監査で指摘されたOracleとMicrosoft SQL Serverを接続するネットワークスイッチのミラーポートにSecureSphere DMGを接続するスニフィング構成を取り、既存のDBやネットワークに大きな変更を加えることなくDBの一元監視を実現した。パケットキャプチャ型の製品だからこそ取り得る構成だ。

　さらに、SecureSphere DMGのライセンス体系も注目したという。製品によっては、監視対象となるインスタンスの数で価格が変化するものもあるが、SecureSphere DMGはアプライアンスの機種ごとに固定した価格体系となっている。DB数に依存しない価格体系であるという点が、IT投資を長期的かつ有効に利用できるものと評価された。

　情報システム本部システム運用部部長の加藤文武氏は、「一般的に、情報システム導入検討は迅速に行われるものですが、DB監査ツールの導入に当たっては、1年半の検証期間を設けました。社内の経費予算委員会や本社の承認が必要なこともあり、監査法人から指摘を受けたコンプライアンス対応という部分だけでなく、未来につながる投資であるという認識で、ツールを評価／検討しました」と、将来を見据えた取り組みであることを強調する。

新システムでさらなる効果に期待

情報システム本部
システム運用部 部長
加藤文武氏

　SecureSphere DMGの導入により、これまでは可視化されていなかった不正アクセスやポリシー違反などがクエリレベルで詳細に把握できるようになり、潜在的なリスクの識別／防御が可能になったと加藤氏は話す。

　そうした情報を基に、ポリシーの策定、監視項目の絞り込みなどを進めるのと並行して、監査法人からの具体的な質問に回答するフォーマットで出力されたリポートを提出。その後は改善要求もないという。「リポート機能はすごいのひとこと。こんな細かいところまで取れるのかと情報量の豊富さに驚きました。当社では定期的に監査リポートを出力していますが、リポートを不正アクセスやポリシー違反だけでなく、事故になりそうなインシデントを別の観点からとらえることが可能になったことは、未然にリスクの芽を摘み取ることができるという意味で、運用上、非常に重宝しています」（木下氏）。

　さらに、監査以外の副産物で非常に有益なものがあると木下氏。SecureSphere DMGはDBに対するアクセスログだけでなく、そのレスポンスログも取得できるため、どんなクエリの場合にどの程度パフォーマンスが低下しているかを容易に把握できる。そうした情報をDBチューニングに生かすなど、保守／メンテナンス面でも大きなメリットが生じているという。

　同社は現在、今後のサービスの拡充に向けて、多くの代理店がアクセスできるシステムの構築を目指している。これにより、ネットワークのトラフィック量が増大するのは必至で、高度なセキュリティ、性能監視を実現するツールが担う役割は大きい。

　「今後はDBの統合も検討していますが、その前にスニフィング構成を取るSecureSphereのメリットを生かして、まずはスイッチにDBを集約する予定です。SecureSphere DMGはバージョンアップも控え、また、日本語化も予定されているため、今後ますます運用が容易になると期待を寄せています」（木下氏）。

　「今後も多重階層によるセキュリティの強化を進めていく予定です。運用の経験値が高まればより高度な活用も期待できるでしょう」（加藤氏）。

　情報漏えいの防止や内部統制の徹底には、DBの監視、監査が鍵となる。顧客のニーズと満足を重視した世界水準の商品、サービスを提供する同社のシステムを支える「SecureSphere DMG」の意義は大きい。

ホワイトペーパーダウンロード

コンプライアンス体制は4つのステップで実現できる

複数の規制や基準に個別に対応するにはコストがかさむ。効率的かつ効果的にコンプライアンス体制を構築するにはどうすればよいのか。

　コンプライアンスが重要視されるようになり、企業はさまざまな規制への対応を求められている。異なる規制に個別に対応し、運用していくには多大なコストが掛かる。そのコストを抑え、コンプライアンス体制を整えるには何をすべきか。

　コンプライアンスが要求する項目は「データ統治」と「データ保護」という2つの重要な問題を中心に考えられている。両方の問題を解決しつつ総合的なコンプライアンス体制構築を支援するのが米国Impervaの「SecureSphere」だ。複数の異なる規制や基準の要件を満たすに当たって、予想される障害克服を容易にする統治プロセスを提供する。このホワイトペーパーでは、データ保護とコンプライアンスのライフサイクルについて解説するとともに、SecureSphereを活用してライフサイクルを実現するための手順を示す。

TechTargetジャパン ホワイトペーパー ダウンロードセンターにて入手できます。