次のページへデータを「重要度別」に分類する攻撃者が企業のデータを狙う場合、攻撃対象となるサーバはファイルサーバやデータベースサーバとなります。ウィリアムズ氏は、「まず、企業内のデータを重要度別に分類してほしい」と勧めています。Masterのランク付けと同じですね)。具体的に、どの区分にどんなデータが当てはまるのでしょう。ブロンズは、データ保護の必要性がほとんどないものです。広く一般に公開されている資料、誰でも入手可能なデータが当てはまります。シルバーは、法的な規制対象ではないが、企業活動において他社に知られては不都合があるような“保護が必要”なデータが対象になります。ここに区分するデータは、暗号化を施して保管します。ゴールドは、クレジットカード情報もひも付いた個人情報やマイナンバーなど、“法的に保護する必要のある”データが対象になります。データの暗号化に加えて、業務や役割に応じたアクセス制限を正しく施します。内部不正対策も含めて、SQLを監視してアクセス履歴のログも残すようにします。プラチナは、“企業活動を行う上で最重要となるデータ”が対象です。データ、買収に関する情報などです。ゴールドとは明確に分けて保管します。データベースへのアクセス保護のために、「5つ」の対策を実践する最低限しなければならないことは、それぞれの経路で、「誰が、どこまでアクセスできるかの正しい設定」と「その把握」とウィリアムズ氏は述べます。それをした上で、以下のような、不正をどのように識別し、阻止するかの方法や手段を講じることとしています。Encryption)」です。OSのファイルやデータベース単位で暗号化を行い、仮に生データだけを盗み取られても情報を読み取れない(意味を成さない)状態で保管します。続いて、「データベースへのアクセス保護」です。データ単位でアクセス権や表示可能な内容の範囲を設定し、ユーザーごとの権限を正しく管理します。データベースへの攻撃に備え、以下の4つの手法を取ることで対策してほしいとウィリアムズ氏は説明します。Masking):データ形式は維持したまま、内容を異なるもの(*など)に書き換えるウィリアムズ氏は特に、「データベース管理者はデータベースを高性能で稼働・運用させるための操作権限は必要です。機密データを閲覧する必要まではありません。権限を適切に付与することで、権限を持ちすぎている管理者への危険性が軽減されますし、内部不正を防ぐ対策にもなります」と話し、職務に応じた権限を適切に与えることの重要性を説きます。セキュリティ・リスク・アセスメント」サービスの提供を開始すると発表した。Firewall」を発表した。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。