ホワイトペーパー紹介｜情報システム部⾨の無実を証明する
こんにちは！インサイトテクノロジーマーケティング本部です。
企業における情報漏洩事件が度々起こっている現在、自社が持つ情報を守ることの重要性が再注目されるようになってきています。情報漏洩事故が起きてしまった場合、情報システム部門は、漏洩経路の分析をしなければならなかったり、最悪のケースでは、漏洩元として疑われる可能性すらあります。なぜならば、データや情報を管理しているのは情報システム部⾨であるからです。
では、情報システム部分がどのように自らの無実を証明できるのでしょうか？本日ご紹介するホワイトペーパーではそのソリューションについてご提案しています。また、⾃社の技術者が不正アクセスしていないことを証明するための仕組みを低コストで実現し、継続的にデータを守る⽅法についてもご解説しています。
どこから情報は漏洩する？情報漏洩はデータベースから
情報漏洩のトップ経路は「紙媒体」（29.8%）と言われており、データベースが必ずしも直接の経路や原因ではありませんが、漏洩した情報の基となったのは、データベースに格納されていると考えられます。一般的に、重要な機密情報が格納されているデータベースには、高度なセキュリティー対策が講じられているため、外部から不正侵⼊することは⾮常に困難なはずです。そのため、情報漏洩事故が発生した場合データベースに対してアクセス権限を持つ社内ユーザーの犯⾏による可能性が高いといわれています。
漏洩の経路は、主に顧客情報が格納されているデータベースに対してアクセス権限を持つユーザー（特権IDユーザー）が顧客情報へアクセスし、USBやスマートフォンなどへ情報を保存、外部の顧客情報を欲する企業へ売買するという仕組みとなります。この場合、データベースセキュリティ製品を利⽤しデータへのアクセスログを記録していれば、不正アクセスを追跡することは技術的に可能です。また不正アクセスをリアルタイムで検知することができれば、顧客情報が他社へ拡散されるのを防ぐことが出来るようになります。
特権IDはどう管理すべきか？
では、特権IDをどう管理した方がいい良いでしょうか。本資料では、特権IDを利⽤する情報システム部⾨の技術者の無実を証明するための「特権IDの精査」と「ログモニタリング」という2つの方法が紹介されています。「特権IDの精査」は、データへのアクセスを統制するには情報システム部⾨内の⾼権限ユーザーを共有せず、データベースにログインするユーザー個々に権限を付与し個⼈を識別するようにします。一方、「ログモニタリング」は、特権IDを利⽤し顧客情報や個⼈情報へのアクセスを定期的にチェックすることで、不正アクセスがなかったことを確認します。
データベース監査製品に対する3つの重要要件
「ログモニタリング」を実現するためのデータベース監査製品には、3つの重要要件があります。それは、「顧客要件を満たす監査ログが取得できること」、「システムに影響を与えないこと」と「低コストでの導⼊、運⽤」になります。
本資料では、データベースのログを取得するテクノロジーによる差異を説明します。ログを取得するテクノロジーは、⼤きく分けて「Network 型」「メモリ参照・エージェント型」「Audit( 標準監査) 型」の3タイプあります。(相違点について下記の図をご参照)
PISOの特徴
弊社が提供する製品PISOはメモリ参照というロギングテクノロジーを採⽤しているため、監査ログ取得前後で性能への影響を⼼配する必要はありません。また、「蓄積ログ量の重複排除」「リアルタイムの監視・警告」「⾃動化されたデータ管理」といった特徴があり、低コストでの運用が可能になります。
本ホワイトペーパーを一読することで、特権IDの管理方法やそれぞれ３つのタイプのデータベースの監査仕組みについてより詳しく理解することができます。また、PISOが実現できることと対応環境についても紹介しております。データベースセキュリティ製品を、情報システム部⾨からの不正アクセスがないことを証明する仕組みとしてご検討されているのでれば、ぜひこちらから本資料をダウンロードしてください。
