情報セキュリティにおけるデータベースセキュリティの重要性とは？その必要性を解説

データベースセキュリティとは、データベースを不正アクセス、改ざん、削除といった脅威から守ることを指します。データベースは企業にとって不可欠な経営資源であるため、データベースセキュリティは組織全体の情報システムセキュリティ計画において極めて重要な構成要素となります。

組織のサービスを円滑に提供するために情報を保管・保護する必要があることに加え、データベース設計者には、データとして管理されている個人のプライバシーを保護する責任もあります。

プライバシー保護と法的義務

プライバシーとは、自分自身に関するデータを自らコントロールする権利のことです。プライバシーを保護するための法律を制定している国も多く、個人に関するデータを収集・保存するすべての組織は、地域のプライバシー関連法令に準拠したポリシーを採用することが法的に義務付けられています。

現在では、B2B（企業間取引）やB2C（企業と消費者間の取引）など、電子的な手段でビジネスが行われるのが一般的です。グローバル経済における共通要素は情報の電子的な転送と保存であり、このため電子データこそが組織の最重要資産となっています。こうしたデータの改ざんは事業そのものを崩壊させる恐れがあり、処理の遅延は顧客の信頼低下や市場シェアの喪失につながりかねません。

各国の法規制の動向

米国では、グラム・リーチ・ブライリー法により、企業は顧客に対して自社のプライバシーポリシーを通知し、個人データを社外に提供されたくない顧客向けにオプトアウト（拒否）の手段を設けることが求められています。

また、社会保障番号、クレジットカード番号や金融口座番号、口座残高、投資ポートフォリオ情報など、機微なデータが含まれる可能性がわずかでもあるコンピュータ上のデータは、厳重に保護されるべきです。患者の医療データの利用や開示については、当初、米国各州の法律がまちまちに存在するだけで、患者のプライバシーと機密性の保護には大きな抜け穴が残されていました。

見落とされがちなデータベースの防御

一部の大規模組織では、ネットワークやホストOSを保護するためにアンチウイルスソフト、ファイアウォール、さらには侵入検知システム（IDS）まで導入しています。しかし、「ネットワーク境界部のファイアウォールなどによって十分守られている」という思い込みから、エンタープライズデータベースサーバーへの適切な対策を怠っているケースが少なくありません。

そもそもデータベースこそ、企業がITに投資する最大の目的であり、そこに格納されているデータはしばしば企業の最も価値のある資産です。言い換えれば、データベースを保護していない企業とは、玄関に鍵をかけ、入り口ごとに武装警備員を配置していても、肝心の金庫室がない銀行のようなものだと言えます。

データベースサーバーがハッカーに狙われる理由

• ハッカーがデータベースサーバーを攻撃対象として好む理由は、その価値の高さにあります。貴重なデータが集中しているためです。

• 一部のデータベースサーバーは、デフォルトのユーザー名とパスワードのまま運用されています。例えば、ユーザー「scott」のパスワード「tiger」や、ユーザー「system」のパスワード「manager」などが典型例です。

• 一部のデータベースサーバーは、ベンダーが出荷時に設定した初期設定のまま使用されており、デフォルトでpublic権限に実行権限が付与されるなどの危険な状態になっています。

• データベースサーバーに適切なセキュリティパッチが適用されておらず、既知の脆弱性が放置されています。