株式会社システム・テクノロジー・アイ2005/1/28@ITを訪れる方の興味は、より高度なIT技術の習得であり、同時に最新IT技術を少しでも早く知ることではないでしょうか?もちろん社会の一員である以上、経済や政治、法律にも興味があって当然です。筆者が感じる限りでは、これまでそれらはIT技術に直接関係しておらず別々の思考回路で取り扱われていたように思います。左脳と右脳、文系と理系のような間柄かもしれません。2005年4月から個人情報の保護に関する法律(個人情報保護法)が全面施行され、それに合わせてIT技術の見直しや社内インフラのセキュリティ強化が必要になります。この連載では、個人情報保護について正しい見解を持っていくための思考回路の鍛錬をしていく過程で、個人情報データの入れ物であるデータベースのシステム構築に関するヒントについてお話をさせていただきます。個人情報保護の基礎知識ではまず、個人情報保護についての基本知識をそろえるために、皆さんに問い掛けをさせていただきます。以下の質問に対して、その答えを2センテンス以内でまとめてみてください。実施していくのは、どの部署の担当でしょう?答えというか、私の見解です。個人情報とは個人を特定できる情報であり、名前、メールアドレス、電話番号などを含むデータの組み合わせを指します。組み合わせでなくとも、メールアドレスのように1つの情報でも個人を特定できるものであれば立派な個人情報です。個人情報を取り扱う企業が守るべき義務を定め、それに違反した場合には行政機関が処分を行うことを明確にした法律です。個人情報の取り扱い方(収集方法や管理方法)について定めたもので、情報漏えいのみに対して処分が行われる法律ではありません。実施していくのは特定の部署だけというわけではなく、企業に属するすべての人材が心がける必要があります。法律が守られなかった場合に責任を負うのはその人材の属する企業となります。法制化前の現在においても個人情報を保護しなくていいわけではないのですが、法制化により図1に示すような形が強制されます。データベースのセキュリティ度チェックさて、個人情報保護法について理解してみると個人情報データの格納場所であるデータベースの在り方や、データを守るという観点の見直しが必要となるのは当然です。データベースを提供する各ベンダでは、セキュリティに対する国際認定基準をクリアするべく製品開発を行っています。その先頭を走るOracleでは17種の国際認定基準をクリアしています。その中にはパッケージソフトウェアでは最高といわれるISO/IEC15408のEAL4レベルの認定も含まれており、いかなるセキュリティ強化も実現可能です。データベースが高い国際認定基準をクリアしているからといって、それらを使ったデータベースシステムそのものが安全であるということにはなりません。データベースが提供するセキュリティ機能を使っていくのはシステムを構築する側の責任です。昨今のデータベース利用の形態は図2のような形が多く、さまざまなセキュリティチェック項目があるはずです。図2でのチェック項目をまとめると表1のようになります。皆さんの現行システム、もしくは現在開発中のシステムについて、表1に示すチェック項目をいくつ満たしているかを考えてみてください。上記のチェック項目の○が少ないほど、データ漏えいの問題が発生する可能性が高くなります。10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。WannaCryがホンダやマクドにも。(2017/7/11)2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。(2017/7/5)人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。Threat)対策の観点から考える。