Worldに行ってきました。オラクルとクラウドという言葉から斬新なアイデアがあるかということに惹かれたのもありますが、データベースのセキュリティでは進んでいると思われるOracleの最新動向を理解しようと思って行ってきました。「データベースは金庫になれるか」というのは、ずいぶん前から話題にはなっていました。保管して保護する方法と同様の考え方です。してアクセスログはきちんと取っておいてくださいというような、インシデントレスポンスが強調されているという状況になっています。Worldで聞いてきた概要を書いていきます。Worldでは、セキュリティ・トラック的に、いくつかのセッションが組まれていて、結構勉強になりました。それでは、Oracleのセキュリティコントロールから始めます。depthで、マルチレイヤーの予防/防御、検出、管理を行っていくということで、基本的なセキュリティのアプローチを取っています。その中で、以下の項目のように対応を取っています。認証されたアクセスのみを許可することで、バイパスされたデータアクセスの防止。2-tier鍵管理を採用して、鍵の管理にも十分な対策の実施。データリダクション機密データが取り出されることを防止するため、データベースへのアクセスの直前で機密データへのアクセスをコントロール。アプリケーションから取り出されることに対しても予防。機密データのスプローリングの防止データマスキングとサブセッティングにより、本番とテスト環境でのデータの匿名化の実施。特権ユーザのリスクの回避データに対するDBAのアクセスを制限。マルチファクタ認証の使用。レルムによる保護ゾーンの作成。特権とロールの使用状況を確認リアルタイムで、どのような特権が使われているかを解析。ラベルベースのアクセスコントロールラベルを使用したユーザおよびデータの分離。行レベルでのアクセスをコントロール。ユーザにもラベル付けし、アクセスできるデータを限定。(発見的コントロール)データベース・ファイアウォールによるネットワーク・イベント、データ監査、イベントログなどをデータウエアハウスにし、アラート、レポート、ポリシー設定に利用。データベースアクティビティの監視(検出/ブロック)、SQL文法解析など。これにより、SQLインジェクションなどの攻撃を防止。一元化されたセキュリティリポジトリによるリアルタイム化。管理的なセキュリティコントロールデータベース内の機密データの検出によるデータの保護。構成管理データベース・ライフサイクル管理。以上のように、外部からの攻撃、内部(特に管理者)の犯罪、開発環境のセキュリティ、クラウドでのデータ保護、監査、インシデント対応などに十分対応できるセキュリティ機能はそろっているように思えます。今回は、Oracleのセキュリティ機能を見てきましたが、他のデータベースやDAM製品等でも同様の機能を提供しているものと思われます。これらをきちんと採用していくことで、金庫に近いレベルのセキュリティ対策が可能になるものと思われます。セキュリティ管理は技術的な面だけではありませんが、守るべきところを確実に守っていくということで、重要であると思われます。