オラクルのデータベースセキュリティへの取り組み [2022年4月版]/Oracle-Database-Security-Overview

Oracle Database のセキュリティへの取り組みに関する資料です。 機密性の高い情報を保護するデータ・セキュリティソリューションの概要をご紹介しています。

紹介している主なサービス：
標準監査、Audit Vault and Database Firewall、Data Safe、Advanced Security、Key Vault、Data Masking and Subsetting、Database Vault、Virtual Private Database、Blockchain Table、Data Safe

Transcript

1. オラクルのデータベースセキュリティへの取り組み [2022年4月版] 日本オラクル株式会社 クラウド事業戦略統括本部 ビジネス推進本部 大澤 清吾, CISSP 2022年4月
2. 2020,21年：国内の情報漏洩事件(10万件以上 or 報道で大きく取り上げられたもの) 年 日付 法人・団体名 件数・人数 原因 境界防御 で防げたか 漏洩内容 2021 11/30 パナソニック 詳細調査中 不正アクセス × 同社のネットワークが不正にアクセスされ、侵入時にファイルサーバー上の一部のデータにアクセス 11/4 ライトオン 24万7600件 不正アクセス 通販サイトへのサイバー攻撃により、同サイトと店舗会員24万7,600人分の個人情報が流出 8/17 ニップン 詳細調査中 ランサムウェア × サーバー、端末が同時に暗号化され、システム起動が不可で早期復旧が困難だとして決算報告を延期 8/6 警視庁 26万件 内部不正 × 特権IDで捜査や人事情報に不正アクセス。さらに上司のパソコンから26万件の運転免許データを削除 8/5 村田製作所 72,460件 内部不正 × 会計システムの更新プロジェクトに携わっていた中国の再委託先の社員が、取引先情報などを不正取得 4/1 ランドブレイン 200超の自治体 不正アクセス 自治体向けサービスのサーバーがランサムに感染し、取引先自治体の個人情報が流出した可能性 3/31 神奈川県警 詳細調査中 内部不正 × 捜査で知り得た情報を漏らす見返りに、現金を受け取っていた可能性がある 3/29 東急コミュニティー 約5000件 内部不正 × 元従業員が不正に顧客の氏名、住所、電話番号、マンション名、部屋番号を外部の法人へ持ち出し 3/29 松井証券 210名/総額2億円 内部不正 × システム開発担当企業のSEが、 顧客のID、パスワード、暗証番号を不正入手 2/12 マイナビ 21万2,816名 不正アクセス 不正ログインが発生し、サービス利用者21万2,816名分の履歴書情報が流出 1/21 DeNA 8件 内部不正 × カスタマーサポート業務において、お客様の個人情報を不正に使用し、カードローンの不正申し込み 1/15 ソフトバンク 170の機密ファイル 内部不正 × ライバル企業に転職した元社員の社外秘情報持ち出し 2020 12/8 LDH JAPAN 4万4,663件 不正アクセス オンラインショップがサイバー攻撃を受け、クレジットカード情報4万4,663名分が流出の可能性 12/7 PayPay 最大2007万件 不正アクセス × PayPayに対し、約260万の加盟店情報と従業員やパートナー企業に関する情報へ不正アクセス 11/20 三菱電機 8,635件 不正アクセス クラウドサービスへの攻撃により、取引先企業や個人事業主の金融口座情報について、情報が流出 11/17 peatix lnc. 677万件 不正アクセス イベント管理サービスの677万件の氏名,メールアドレス,パスワード等の利用者情報が流出した可能性 11/16 カプコン 合計約35万件 不正アクセス サイバー攻撃により、保有する顧客・従業員等の情報合計約35万件に流出の可能性があると発表 9/8 NTTドコモ 120件/2,542万円 不正利用 ドコモ口座を悪用し、七十七銀行、東邦銀行、中国銀行など複数の銀行の口座で不正出金が発生 7/22 みずほ総合研究所 約250万件 媒体の誤廃棄 × 顧客情報約66万9千件、顧客のサービス利用実績を記録した外部記憶媒体を誤って紛失(廃棄) 6/15 キタムラ 最大40万件 パスワードリスト 型攻撃 × Webサイトへの不正アクセスにより、顧客情報最大40万件が流出と一部顧客でポイントの不正利用 4/24 任天堂 約16万件 パスワードリスト 型攻撃 × 「ニンテンドーネットワークID」約16万件と、一部の「ニンテンドーID」について、外部からの不正ログイン 4/19 リジョブ 最大20万6991件 不正アクセス テストサーバーのデータベースに2015/12/5以前に登録していた最大20万6991件の流出の可能性 4/13 Classi 最大122万件 不正アクセス 教育機関向けSaaS「Classi」の最大122万件の利用ID・暗号化されたパスワードが流出の可能性 1/20 三菱電機 8122件+機密情報 不正アクセス ウイルス対策システムの脆弱性を突き、個人情報、技術・営業関連の機密情報が流出した可能性 Copyright © 2022, Oracle and/or its affiliates 2
3. システム開発等を担当するパート ナーSEが、2017-2019年の間に、 210名分のID、パスワード、取引暗 証番号などを不正入手 課題 • システム管理担当者が顧客 情報にアクセスできてしまった • 多要素認証が必須ではなかった 解決策 • 管理者へのアクセス制御の実現 • 厳格な本人確認:多要素認証 会計システムの更新プロジェクトに携 わっていた中国の再委託先の社員が、 取引先情報など約7万件を不正に 取得 課題 • 中国から個人情報にアクセス する業務を実施 • 個人情報を伏字化していない 解決策 • 業務委託先からのアクセス・ ルートの制限 • 開発データのマスキング 特権IDを不正利用し、捜査情報や 人事情報に不正アクセス。さらに、上 司のパソコンで不正プログラムを実行 し、26万件の運転免許データを削除 課題 • 管理者への権限過剰付与 • 改ざん対策ができていなかった • 不正な操作を検知できなかった 解決策 • 管理者の職務分掌の実現 • データの改竄・消去の防止 • 異常操作の早期発見＆警告 昨今の事案 Copyright © 2022, Oracle and/or its affiliates 3 再委託先からの不正アクセス システム担当による内部不正 パートナー企業による不正アクセス
4. 情報セキュリティにおける脅威は、外部脅威と内部脅威の2つに分類することが出来ます。標的型攻撃は起点となる 外部脅威の対策だけではなく、内部脅威に対するセキュリティ対策も重要となります。 情報セキュリティにおける脅威 Copyright © 2022, Oracle and/or its affiliates 4 外 部 脅 威 無差別型攻撃 ✓ 成功事例の多いシステムの脆弱性を利用し、無差 別に行う ✓ システムの脆弱性、設定ミスを狙う ◼ “85% ”のセキュリティ侵害は、CVEの発表後に発生(*1) ◼ クラウドサーバーをネット接続から“約52秒後”にサイバー攻撃の標的(*2) ◼ Amazon S3バケットの設定ミスを悪用し、無差別にクレジット カード情報を窃取するスクリプトがばら撒かれる(*3) 標的型攻撃 ✓ 組織の脆弱性を推定して、環境に応じて攻撃を行い、 成功するまで標的を繰り返し攻撃する ◼ Webアプリケーションの脆弱性をついた攻撃により内部に侵入(*4), インスタンスの資格情 報を盗み、ストレージから“暗号化されていないDBバックアップファイル”を奪取 ◼ 被害者のネットワークへのアクセスを取得し、偵察活動を行う、データを盗み出すための ネットワークリソース、バックアップ、またはその他の機密ファイルを探し出し、 “攻撃者は人 手によりランサムウェアを展開し、被害者のデータを暗号化“する (*5) 内 部 脅 威 従業員による不正アクセス ✓ 内部で権限を持つアカウントから重要な情報にアクセ スし、外部に持ち出す ◼ 従業員が“顧客サポート用のデータベースへ不正アクセス” (*6)し、顧客情報を不正に 持ち出し、第三者へ売却 ◼ SNSから技術開発担当へ接触し営業秘密情報持ち出し、中国企業に情報を提供 (*7) ◼ ライバル企業に転職した技術者が、転職前の企業の営業秘密情報を不正に取得(*8) *1 : CISA: Top 30 Targeted High Risk Vulnerabilities *2 : https://japan.zdnet.com/article/35135993/ *3 : https://gigazine.net/news/20190712-magecart-hack-amazon-s3-buckets/ *4 : https://searchsecurity.techtarget.com/news/252467901/Capital-One-hack-highlights-SSRF-concerns-for-AWS *5 : https://www.ipa.go.jp/files/000084974.pdf *6 : https://blog.trendmicro.com/trend-micro-discloses-insider-threat-impacting-some-of-its-consumer-customers/ *7 : https://www.nikkei.com/article/DGXMZO64989980U0A011C2AC8Z00 *8 : https://www.nikkei.com/article/DGXZQODG1204J0S1A110C2000000 内 部 脅 威 対 策 が 必 要
5. アメリカ合衆国国防総省(DoD) ： ゼロトラストセキュリティを提供 Copyright © 2022, Oracle and/or its affiliates 5 出典：https://www.afcea.org/content/dod-offer-zero-trust-architecture-year ネットワーク中心のセキュリティモデルからデータ中心の セキュリティモデルへのこのパラダイムシフトは、 最初にデータと重要なリソースを保護する方法に重点を置き、 次にネットワークに重点を置く すべてを許可して例外で拒否するのではなく、すべての [ネットワークアクセス]を拒否して例外で許可するという 基本的な前提を変更 巧妙な攻撃者は私たちの資格情報を盗み、特権に昇格し、 データを盗み出します。だからこそ、データ侵害を防ぐために、 ゼロトラストを採用する
6. 境界突破、内部不正を想定した対策が必要です 従来の単層式境界防御 ネットワーク中心型セキュリティモデル リソース防護重点型ゼロトラスト防御 データ中心型セキュリティモデル 守るべき経営資源（リソース）に焦点をあてセキュリティ対策を実施することが寛容です Copyright © 2022, Oracle and/or its affiliates 6 セキュリティ ポリシー ID管理 Detection & Response データ アプリ N/W 分析・可視化 自動化 Security Enforcement Endpoint(端末) データ アプリケーション ユーザ ネットワーク
7. 境界突破、内部不正を想定した対策が必要です 従来の単層式境界防御 ネットワーク中心型セキュリティモデル リソース防護重点型ゼロトラスト防御 データ中心型セキュリティモデル 守るべき経営資源（リソース）に焦点をあてセキュリティ対策を実施することが寛容です Copyright © 2022, Oracle and/or its affiliates 7 セキュリティ ポリシー ID管理 データ アプリ N/W ユーザ ネットワーク 内部不正 パスワードリスト 型攻撃 管理者 なりすまし攻撃 アプリケーション への不正アクセス Security Enforcement ネットワーク機器 脆弱性への攻撃 内部不正 データ 暗号化 特権ユーザー管理 アプリケーションへ の不正アクセス 管理者 なりすまし攻撃 パスワードリスト 型攻撃 ネットワーク機器 脆弱性への攻撃 監査証跡 行列アクセス制御 多要素認証 アプリ Detection & Response Endpoint(端末)
8. データ中心型セキュリティモデルでの各攻撃手法への解決策 8 パスワードリスト 型攻撃 内部不正 管理者 なりすまし攻撃 攻撃手法 アプリケーションへの 不正アクセス ネットワーク機器 脆弱性への攻撃 アカウント乗っ取り 多要素認証 伏字化されてされていない 機密データの持ち出し 保存状態でのデータ不可視化 (暗号化、マスキング) 個人情報への過大な可視性 行列レベルのアクセス制御 不正操作の内容が不明 操作ログの取得・保全 対策 管理者権限の不正利用 特権ユーザーのアクセス制御 リスク Copyright © 2022, Oracle and/or its affiliates
9. ゼロトラスト時代の情報保護における課題と解決策 • 特権ユーザーのアクセス制御 3. データのアクセス制御 / 権限分掌 • データベース管理者の職務分掌 (Database Vault) • アクセスパスの制限(Database Vault) 9 Copyright © 2022, Oracle and/or its affiliates 予防的対策 • 操作ログの取得・保全 4. 不正検知・証跡管理(Audit Vault and Database Firewall) • 異常操作の発見＆警告 • ログの改竄・消去の防止 発見的対策 • 行列レベルのアクセス制御 5. 行列レベルのアクセス制御 • ユーザー毎に行列レベルでのアクセス制御 (Virtual Private Database) • データの機密レベルとユーザー権限に応じたアクセス制御 (Label Security) 予防的統制 発見的統制 発見的対策 データドリブン セキュリティ • 保存状態でのデータ不可視化 (暗号化、マスキング) 1. データの暗号化 (Transparent Data Encryption) 2. 開発環境のデータ匿名化 (Data Masking and Subsetting)
10. リスク軽減のための施策と各種ガイドライン記載事項 10 Copyright © 2022, Oracle and/or its affiliates 名称 セキュリティ強化への取り組み 対象 改正個人情報 保護法 2015年9月 ：法律が成立・公布 2016年11月：ガイドラインが公開。保護するべき個人情報が明確化。通則編 に、アクセス制御、暗号化、監査・検知、マスキングが記載。 個人情報を保持している 事業者、及び業界団体 PCIDSS 2004年12月：PCI DSS制定 2013年11月 ：v3.0にバージョンアップ。 暗号化、アクセス制御、監査、マスキング、構成管理が記載 クレジットカードを 取り扱う企業 EU一般データ 保護規則 (GDPR) 1995年10月：EUデータ保護条令が採択 2016年5月 ：EU GDPRが発布。暗号化、アクセス制御、監査・検知、 マスキングの要件が記載。 EUの個人データを収集、 処理を行う事業者 サイバーセキュリティ経営 ガイドライン (経済産業省) 2015年12月：ガイドライン公開。多層防御と重要データ(データベース、 ファイル)への暗号化、アクセス制御、監査・監視が記載 2017年11月： v2.0にバージョンアップ 企業の経営者 政府機関等の情報 セキュリティ対策の ための統一基準 2005年9月：政府機関の情報セキュリティ対策のための統一基準 公開 2016年8月 ：平成28年度版公開。データベースの項目が新たに追加。 管理者権限分割、アクセス制御、監査、暗号化が記載 政府機関等 監査・検知 暗号化・伏字化 アクセス制御
11. SECURITY PART OF OUR DNA Immediate Focus On SECURE DATA 11 • 1977 年からビジネス・スタート • 最初の顧客は CIA • 米国政府の要求に応えるセキュリティ技術 • 透過的暗号化, 特権の職務分掌機能 などをデータベースに初めて実装 11 Copyright © 2022, Oracle and/or its affiliates
12. 米国政府の要求に応えるオラクルのセキュリティ技術 12 Copyright © 2022, Oracle and/or its affiliates Federal PKI – 2002 FISMA HSPD-12* 国土安全保障に関する 大統領令発令 Federal Identity, Credentialing and Access Management (FICAM) NIEM 2.0 -2007 HITECH ARRA Mandates State HIE compliance by 2014, HIX SICAM first draft released Memorandum 11-11 National Strategy for Trusted Identities in Cyberspace (NSTIC) 暗号化技術 Oracle Advanced Security 認証管理技術 Oracle Access Manager Oracle Audit Vault and Database Firewall ID管理技術 Oracle Identity Manager セキュリティレベル 職務分掌管理技術 Oracle Database Vault PIV, PIV-I, 連邦政府職員、請負業者に 対する個人識別情報 情報機関改革及び テロ予防法（2004） データラベル管理 Oracle Label Security 国防省及び情報機関用の高度セキュリティ製品 （非カタログ品、一部は輸出規制品） 1999 2002 2005 2007 2010 2012 …………
13. アプリケーションによる対策 データベースによる対策 アプリケーションによるセキュリティ実装の課題 Copyright © 2022, Oracle and/or its affiliates 13 ポリシーがアプリケーション毎にバラバラ 法対応等の変更時に個別での対応で高コスト パフォーマンス劣化やデータ量増などH/W影響大 一元的なポリシーによるセキュリティ対策 DBの設定変更のみで短期間・低コストで実装 パフォーマンス、データ量へのH/Wへの影響小 データ伏字化 暗号化 アクセス制御 特権ユーザー 管理 強制的な 暗号化 監査証跡 行・列レベルの アクセス制御
14. OS管理者の悪用、物理ファイルの盗難、紛失に対する対策 データベースを構成する物理ファイルを暗号化することで、情報を保護します。 Transparent Data Encryptionの主な特徴 強力な暗号アルゴリズムを利用して暗号化します。 例：NISTの標準共通鍵暗号方式 AES アプリケーションからは透過的にデータの暗号化/復号 化を実現することで、既存のアプリケーション（SQL）を 改修する必要がなくなります。 データベース暗号化による性能劣化を極小化することが 重要です。性能面に加え、投資対効果を高めることが可 能となります。 例：プロセッサの暗号化アクセラレーションの併用 14 アプリケーション SELECT name, cardnumber FROM credit; ヤマダタロウ 123456781234 5678 &he%@_0432 aG5#g&3f_g0R 1Blg 暗号化 DBファイル バックアップ ダンプファイル Copyright © 2022, Oracle and/or its affiliates 1. 暗号化 データベースのみならず、バックアップやダンプファイルなどあらゆる物理ファイルを透過的な暗号化を実現します。
15. セキュリティ、性能、開発・保守生産性を考慮した暗号化手段、方式を選択することが肝要です。 ストレージまたはOSによる暗号化 • サーバ管理者（OS特権ユーザ）によって直接読めてしまうので、ストレージ盗難対策以上の効果はありません。 • 暗号アルゴリズム危殆化時等にベンダーのサポートを受けることが可能です。 • アプリから透過的に暗号化を行うため、アプリケーション改修やチューニングが不要です。 アプリケーションによる暗号化 • 新規アプリケーションへの作り込みや既存アプリの改修・チューニングが必要です。 • 暗号アルゴリズム危殆化時等の対処、保守が困難です。 • 索引項目を暗号化した場合、索引検索が利用できなくなるため、性能担保が困難となります。 データベースによる暗号化 • サーバ管理者による不正閲覧や盗聴を防止することが可能です。 • 暗号アルゴリズム危殆化時等にベンダーのサポートが受けることが可能です。 • アプリケーションから透過的に暗号化を行うため、アプリ改修やチューニングは不要です。 ご参考：各システム階層における暗号化の特徴を把握する必要があります 15 情報漏洩の経路、手法に応じた縦深防御、ゼロトラストの対策が必要となります。情報を格納しているデータベース自身を暗号化するこ とで、防御線が破られた場合においてもセキュリティ強度を保つことが可能となります。 Copyright © 2022, Oracle and/or its affiliates
16. データの暗号化 国内Ａ社 : ExadataのDBを３週間で暗号化 • 対象システム 業務系 • ユーザー数 3万人以上 • データ量 2TB • 導入製品 Advanced Security Option ( Transparent Data Encryption) • 導入期間 ３週間 • 導入ステップ １．性能検証を実施 ２．暗号化した表領域を作成 ３．暗号化した表領域にデータを移行 ４．アプリケーションの動作確認 導入効果 アプリケーションを改修すること なく、ExadataのDBファイルを 直接参照して、データの中身が 漏えいするリスクを回避 Copyright © 2022, Oracle and/or its affiliates 16
17. 本番環境のデータベースから、秘匿化された安全なテストデータを開発環境で使用させます 機密性の高い情報を不可逆な形式で秘匿化します。 多様な秘匿化手法が必要となります。 • 固定数値、文字列、ランダム桁数、ランダム数値、文字列、 日付、配列リスト 、シャッフル、置換、他 主キー、一意性、参照整合性等の制約を考慮した秘匿 化が重要です。 • 本番と同様のデータ量、質、データ間の相互関連、データ ベース構成（パラメータ、索引など）を維持する必要があり ます。 開発、検証環境におけるデータ盗難に対する対策例 17 本番データベース 開発用データベース 秘匿化 開発、検証用データベースのデータをマスキングすることで、開発、検証環境からの情報漏洩リスクを排除します。 本番環境と同様のデータ量、質、相互関連（参照整合性）を維持することで性能検証での利用も可能となります。 NAME CREDIT_ID SALARY 鈴木 太郎 400-33-3234 40,000 佐藤 秀治 300-22-2943 60,000 田中 花子 400-55-1852 50,000 山田 三郎 300-11-4216 70,000 抽出 NAME CREDIT_ID SALARY 鈴木 太郎 400-11-7515 22,333 佐藤 秀治 300-44-8944 77,777 Copyright © 2022, Oracle and/or its affiliates
18. 不正アクセスと権限集中に対する対策 データベース管理者などの特権ユーザの職務を分掌すると共に、アクセス制御を強化します。 Database Vaultの主な特徴 データベースの特権ユーザやロールからのアクセスを強制 的に制御し、特権ユーザといえども自由なアクセスやコマ ンドの実行を制限 特権ロールを細かく分割定義し、付与することで、特権 ユーザの職務分掌を実現 例：DB管理は可能だが、監査証跡の削除は不可能。 いかなる経路からのアクセスに対しても、データベース側で 一律にデータを保護 ユーザ、IPアドレスなどのセッション情報、曜日・時間などを 組み合わせたルールに基づいてアクセスポリシーの作成に よる保護 Copyright © 2022, Oracle and/or its affiliates 18 アプリケーション 「顧客」領域 ユーザ用 ルール IP Address: 192.168.1.XX Time: 9:00 – 17:00 Role：「顧客」領域 参照権限 ユーザ 運用管理者 アクセス許可 管理者用 ルール IP Address: 192.168.1.201 DB User: ADMIN01 Role：DBA権限（特権） 「顧客」領域に対する 参照権限がない為 アクセス不可 DBサーバ 表 - Customer - Order 索引 プロシージャ DB管理者またはその成りすましによる不正閲覧・改竄、監査証跡削除を抑止し、情報漏洩リスクを最小化します。
19. アプリケーションを介したデータ盗難に対する対策例 ユーザの権限に応じてリアルタイムにデータを伏字化し、不要な情報取得を制限します。 Data Redaction の主な特徴 ユーザの権限やクライアント情報に応じてデータの一部を 伏字化します。 • データベースに伝搬することで、 Webアプリケーションのユー ザ、権限に応じたアクセスコントロールの実現が可能です データベース内で処理を完結させれば、アプリケーション の修正は不要となります。 また、複数のアプリケーションにポリシーを反映させることが 可能となりますので、人的ミスの抑制、アプリケーション 開発の生産性向上が望めます。 ユーザ、IPアドレスなどのセッション情報、曜日・時間などを 組み合わせたルールに基づいてアクセス制御が可能です。 19 アプリケーション クレジットカード番号 4451-2172-9841-4368 5106-6342-4881-5211 4892-3311-0090-5055 アプリケーション ユーザA ユーザB クレジットカード番号 4451-2172-9841-4368 クレジットカード番号 XXXX-XXXX-XXXX-4368 職責に応じて閲覧させるべき情報をデータベース側で制御することで、アプリケーションの開発生産性を向上させつつ、情報漏洩リスクを 最小化することを可能とします。 Copyright © 2022, Oracle and/or its affiliates アクセス制御
20. 正規利用者の業務を逸脱した不適切アクセスに対する対策例 ～ その1 ユーザー毎に行列レベルでのデータ可視範囲の制御し、不要な情報取得を制限します Virtual Private Databaseの特徴 アプリケーションを改修することなく、問い合わせたユーザー に応じて厳格なアクセス制御をし、利用者に業務に必要 な情報以外を表示しません。 きめ細かなアクセス制御条件の設定が可能です。 • 人や時間、クライアント端末、アプリなどアクセス条件 • オブジェクトだけでなく特定のSQL文タイプの指定 （SELECT、INSERT、UPDATE、INDEX、 DELETE） • 列の指定や列に対するマスク(NULL値として表示) データベース・ユーザが不正に別のユーザのデータを参照・ 操作する可能性を排除します。 20 Copyright © 2022, Oracle and/or its affiliates アクセス制御 ユーザー毎に行列レベルでのデータ可視範囲の制御することで、情報漏洩リスクを最小化することを可能とします。 CLARK 300 6/3/20 SCOTT 20 5/9/20 SCOTT 450 9/8/20 NAME QTY DATE CLARK 125 6/1/21 SCOTT 310 7/9/21 CLARK 90 9/2/21 ORDER表 CLARK SCOTT SELECT * FROM order WHERE name = 'CLARK'; ユーザー属性に応じて、 SQLが内部的に書き換え SELECT * FROM order; SELECT * FROM order WHERE name = 'SCOTT';
21. 正規利用者の業務を逸脱した不適切アクセスに対する対策例 ～ その2 ラベル・ベースにより厳格な行アクセス制御 Label Security の特徴 行データに付与されたデータ・ラベルとユーザが保持するセ ッション・ラベルを比較し、ラベルに応じた厳密なアクセス 制御します。 セッション・ラベルが、データ・ラベルよりも上位の場合にアク セスが許可され、同様に書き込みも制御がされます。 データ・ラベルは物理的に各レコードに格納され、ユーザー から見えなくすることも可能です。 セッション・ラベルを動的に変更することでアクセスできる範 囲を変更するなど、アプリケーションに組み入れた利用が 可能です。 21 Copyright © 2022, Oracle and/or its affiliates アクセス制御 セッション・ラベル Confidential 機密性のレベルが異なるデータを同じデータベースに混在させることが可能になり、運用コストやストレージ・コストを抑制できます。 Sensitive Confidential Public Public セッション・ラベル Sensitive
22. 監査ログの改竄防止と、事後の追跡調査に対する対策 処理性能に対する影響を最小化しつつ、漏れなく監査証跡を取得し、集中管理します。 Audit Vault and Database Firewall の特徴 データベース、OSなどで生成された監査データやログを、 一元化されたセキュアなリポジトリに統合します。 セキュリティ・ポリシーに違反している不正なデータベース・ アクセス（SQL文）及び、アクティビティを自動的に検 出し、侵入者が攻撃の痕跡を隠ぺいすることを防ぎます。 コンプライアンス・レポートにより、監査データやイベント データを容易に分析し、迅速に対策を講じることを可能 とします。 22 Copyright © 2022, Oracle and/or its affiliates 監査・検知 アラート レポート ポリシー 監査ログ 監査ログ 監査ログ データベース群 サーバー群 ユーザー 監査証跡管理 不正検知 監査ログを集中管理によりセキュリティ脅威の早期発見と事件発生時の追跡調査を迅速化することで、経営に対する影響を最小化します。
23. 顧客事例：バンダイ様 ECサイト“プレミアムバンダイ ”をOracle Exadataで刷新し、会員の個人情報を 高度なセキュリティで保護、グローバル展開も見据えた処理性能向上を実現 23 Copyright © 2022, Oracle and/or its affiliates DBサーバ性能、個人情報保護強化の課題を Oracle Exadataとデータベースセキュリティ製品で解決 大幅な性能向上 • バッチ処理： • 21分→2分39秒（会員情報洗い替え処理） • 57分38秒→8分29秒（会員受注集計処理） • 平均処理性能 • 10倍以上に向上 (45.4[TPS]→488[TPS]) 個人情報保護強化 • Oracle Advanced Security によるデータの暗号化 • Oracle Database Vault による管理者によるアクセスを 厳密にコントロールを実現 • Oracle Audit Vault and Database Firewall で 監査・監視し、Oracle Data Masking and Subsetting でテスト環境を保護
24. 顧客事例：楽天証券 様 マイナンバー対応を機に顧客情報管理基盤を多層防御のアプローチで構築 「利便性」と「セキュリティ強化」を両立することで新規顧客の獲得が増加 24 Copyright © 2022, Oracle and/or its affiliates  「Oracle Advanced Security」により、マイナンバーや 個人情報関連をすべて暗号化  「Oracle Database Vault」により、特権ユーザーの アクセス制御/職務分掌により外部からの脅威に対 応。また、相互監視による牽制効果により 内部不正への対策をより強化  「Oracle Audit Vault and Database Firewall」により、 データベース内での不正アクセスおよび暗号鍵な どOSが管理するファイルの監査・監視を実現  Oracle Consultingから提供された知見とノウハウを 活用することで最小限の開発期間で高度な セキュリティ基盤を構築 DBアクセス制御、暗号化、監査で 高セキュアな個人情報管理を6カ月で実現
25. データベースを中心にセキュリティ対策を実装することのメリット Copyright © 2022, Oracle and/or its affiliates 25 保護するデータの種類、対象システム数 アプリケーション側での実装 データベース側の実装 保護するデータの種類、対象システム数 保護すべき データ 個人情報 マイナンバー 個人符号番号 M＆A情報 コスト コスト アプリの 改修 アプリの 改修 アプリの 改修 アプリの 改修 リソース 増強 対象追加 対象追加 将来的には 大きな コストメリット 今後保護するべきデータはますます増加する事が予想される。データベース側で実装する事で、 最小限の変更箇所で対応する事が出来るため、セキュリティ要件の追加時に迅速かつ低コストで行える。 また、H/Wを増強が最小限になるため、CO2削減にも貢献できる 個人情報 マイナンバー 個人符号番号 M＆A情報 リソース 増強 データベース に実装 対象追加
26. 蟻の一穴を作らないポリシー策定、セキュリティ実装が重要となります データ中心型セキュリティモデルにおける対策の鳥瞰図 Copyright © 2022, Oracle and/or its affiliates 26 ユーザー アプリケーション イベントログ 監査証跡& イベントログ アラート レポート ポリシー テスト 開発 通信暗号化 管理者職務分掌 機密情報の発見 アカウントのリスク評価 セキュリティアセスメント 不正問合せ遮断 監査証跡管理 不正検知 データの暗号化 暗号鍵集中管理 データの秘匿化 アクセス制限 改竄・破壊防止 データ暗号化 バックアップ 行列レベルアクセス制御 表示データの伏字化 データの改竄防止
27. 蟻の一穴を作らないポリシー策定、セキュリティ実装が重要となります データ中心型セキュリティモデルにおける対策の鳥瞰図 Copyright © 2022, Oracle and/or its affiliates 27 ユーザー アプリケーション イベントログ 監査証跡& イベントログ アラート レポート ポリシー テスト 開発 ⑥行列レベルアクセス制御 ⑫通信暗号化 ④管理者職務分掌 ⑩機密情報の発見 ⑨アカウントのリスク評価 ⑧セキュリティアセスメント ⑬不正問合せ遮断 ⑭監査証跡管理 ⑭不正検知 ⑤表示データの伏字化 ①データの暗号化 ②暗号鍵集中管理 ③データの秘匿化 ⑦データの改竄防止 ④アクセス制限 ⑪改竄・破壊防止 ①データの暗号化 バックアップ Audit Vault and Database Firewall / Data Safe / Logging Analytics Audit Vault and Database Firewall Network Encryption Database Vault Data Redaction Blockchain Table Virtual Private Database, Label Security Data Safe Zero Data Loss Recovery Appliance / Object Storage Transparent Data Encryption Key Vault Data Masking and Subsetting/Data Safe Transparent Data Encryption
28. 28 Copyright © 2022, Oracle and/or its affiliates 機能 機能名 クラウド ライセンス ① データの暗号化 Transparent Data Encryption 標準機能 Enterprise Edition + Advanced Security ② 暗号鍵集中管理 Key Management Key Vault / OCI Vault Key Vault ③ データの秘匿化 Data Masking 無償 (Data Safe) [*2] Enterprise Edition + Data Masking and Subsetting ④ 管理者職務分掌/ アクセス制御 Database Vault DBCS HP ～ [*1] Enterprise Edition + Database Vault ⑤ 表示データの伏字化 Data Redaction DBCS HP ～ [*1] Enterprise Edition + Advanced Security ⑦ 行列レベルのアクセス制御 Virtual Private Database DBCS EE ～ [*3] Enterprise Edition Label Security DBCS HP ～ [*1] Enterprise Edition + Label Security ⑦ データの改竄防止 Blockchain Table 無償 すべてのEdition ⑧ セキュリティアセスメント Security Assessment 無償 (Data Safe) [*2] 無償ツールDBSAT(*4)を提供 ⑨ アカウントのリスク評価 User Assessment 無償 (Data Safe) [*2] - ⑩ 機密情報の発見 Sensitive Data Discovery 無償 (Data Safe) [*2] Enterprise Manager Lifecycle Mgmt ⑪ 改竄・破壊防止 Backup data protection Object Storage Zero Data Loss Recovery Appliance ⑫ 通信暗号化 Network Encryption 標準機能 すべてのEdition ⑬ 不正問合せ遮断 Database Firewall Web Application Firewall Audit Vault and Database Firewall ⑭ 監査証跡管理 / 不正検知 Log Management 無償 (Data Safe) [*2] / Logging Analytics Audit Vault and Database Firewall *1 DBCS High Performance以上で利用可能 *2 Oracle Cloud Databaseの利用でサービスを無償提供。監査記録の機能は100万レコード/ターゲット/月まで無償 *3 DBCS Enterprise Edition以上で利用可能 *4 Database Security Assessment Tool