情報セキュリティにおけるエンタープライズデータベースのセキュリティとは？

エンタープライズセキュリティの概要

エンタープライズセキュリティは、企業の内部情報や営業秘密に加えて、プライバシー関連法令に関わる従業員やユーザーのデータを保護する、多面的な課題です。実務上はデータセンター、ネットワーク、ネットワークサーバーの運用が中心となりますが、技術的には人材（ヒューマンリソース）の管理から始めることが重要です。

ソーシャルエンジニアリングの脅威

一部のセキュリティ研究者によれば、成功したハッキング攻撃の最大3分の2は、ソーシャルエンジニアリングが根本的な原因だとされています。この種の攻撃では、攻撃者が人間の心理的な弱点、従業員の誠実性の欠如、あるいは個人の軽信性を悪用し、Webリソースやデータリソースへの不正アクセスを試みます。

自動化されたハッキング攻撃

自動化されたハッキング攻撃はスクリプト駆動型であり、ログイン画面、お問い合わせフォーム、検索クエリ、バックエンド管理プロセスといった入力ポイントを通じて、Webサーバーやオンラインアプリケーションを含むデータセンターリソースに対し、絶え間なく攻撃を仕掛けます。

スクリプトボット攻撃の代表例としては、SQLインジェクション攻撃やクロスサイトスクリプティング（XSS）を突いた攻撃が挙げられます。セキュリティ対策が不十分なフォームを通じてサーバーへプログラムを送り込まれると、テーブル情報、パスワード、ユーザーの機密性の高い金融データを含むデータベース全体が漏洩する恐れがあります。

暗号化の重要性

エンタープライズセキュリティの重要性は、Web通信における暗号化の必要性からも理解できます。メールの送信時やWebサイトへのログイン時にパスワードを入力する際、データは暗号化されていない限り、複数のサードパーティの通信経路を経由して送信されるため、不正アクセスを行う悪意のある第三者によって傍受・閲覧される可能性があります。

こうした脅威には、通信事業者のネットワーク、ISP（インターネットサービスプロバイダ）、ローカルWi-Fi回線に仕掛けられたパケットスニッフィングソフトウェアを使う不正な攻撃者が含まれます。通信経路上でやり取りされる情報の価値はさまざまですが、いかなる企業や組織であっても、営業秘密、ユーザーとの通信、社内での議論を、悪意ある第三者による盗聴にさらすことは決して許容できるものではありません。

エンタープライズデータベースのセキュリティ上の課題

エンタープライズデータベースのセキュリティには数多くの問題があり、その規模はIT業界が認めたいと思う以上のものです。これらのセキュリティ上の懸念は、主に以下のアーキテクチャ上の問題に起因します。

• 複数のエントリーポイント − 従来型の集中型データベースとは異なり、Webベースのデータベースには多数のエントリーポイントが存在します。具体的には、Webサーバー、VPNアクセス、アプリケーションサーバーへのアクセス、インターネットポータルプロトコル経由のデータベースアクセスなどが挙げられます。数千に及ぶエントリーポイントを扱う場合は、有害なウイルスがシステムに侵入しないよう特別な注意が必要です。
• 最弱リンク問題 − エンタープライズセキュリティにおけるセキュリティホールに関する報道は、最弱リンク問題を浮き彫りにしています。多数のエントリーポイントやプラットフォームを扱う環境では、システム全体のセキュリティレベルは、連携構成の中で最も脆弱な部分と同等になってしまいます。
• Webベースのデータベース − 複数のWebポータルからの外部通信を許可する設定のデータベースは、重大なデータセキュリティの課題に直面します。ハッカーは常にWebポータルへの侵入を試み、最終的にはWebサービスアーキテクチャの弱点を見つけ出そうとします。