ＩＴ大全より（pdf １００冊） http://www.geocities.jp/ittaizen データベースにおけるセキュリティにつきまして資料ＮＯ．５一般社団法人情報処理学会正会員腰山信一 [email protected] 1 本資料の関連資料は下記をクリックしてＰＤＦ一覧からお入り下さい。ＩＴ大全（pdf １００冊） http://www.geocities.jp/ittaizen 目次番号６４５番他 2 管理権限の一極集中によるリスクを回避し、各役割に応じた権限を持つ複数の管理者によるデータベース管理体制が必要。日本版SOX法などの法規制に備えた、内部統制の基盤作りが必要 3 データベース管理データベースの起動/停止などユーザー・アカウント管理ユーザの作成・変更、プロファイルの作成・変更、接続の許可セキュリティ・ポリシー管理セキュリティポリシーに基くアクセス制御の設定、管理アプリケーション・データの管理アプリケーションに紐付く実データの管理、アクセス権限の付与 4 これからのデータベースに求められる要件今までの Database 権限さえあればデータへのアクセスが可能一般ユーザこれからのDatabase 権限に加え、複数の条件を満たす場合のみデータへのアクセスが可能 SELECT権限 INSERT権限 UPDATE権限 DELETE権限・・・etc. SELECT権限 INSERT権限 UPDATE権限 DELETE権限・・・etc. ロール（権限規定）セキュリティポリシーにそった複合条件に基くアクセス制御が必要条件を満たす場合はアクセス可能ロール（権限規定）アクセス制御条件 OSユーザホスト条件を満たさない場合はアクセス不可能一般ユーザクライアントのIP ロールを有効化するための条件を評価時間帯曜日･･･etc 様々な条件を柔軟に設定可能である事 5 情報の正当性の証明各種監査ログの取得と保全が必要。 ■ログを取っておくだけではなく活用するフェーズへ ■定期的な傾向分析による不正の早期発見ユーザのID・権限・ロールの付与プロセスやポリシーを管理する必要があります。 ■「権限を与えて良い」と誰が承認するのか？ ■承認のポリシーとプロセスは可視化されているか？ ■IDの生成・変更・削除とそれにともなう承認プロセスは履歴を保持しているか？ 6 ＩＤ管理基盤（アイデンティティ・マネジメント）によるユーザ・権限・ロールの一元管理と履歴の取得ユーザ（開発者・部門管理者など）管理者承認・権限設定等 ID・権限の設定 IDの取得申請付与プロセスの履歴レポートとして内部統制評価・監査に利用 7 財務諸表・IT業務処理統制・IT全般統制 IT業務処理統制財務諸表上の重要な勘定科目（ビジネスプロセス） •網羅性貸借対照表損益計算書資金計算書注記その他 •正確性 •妥当性 •承認業務プロセス・取引のクラス（ビジネスプロセス・行動規範）プロセスＢプロセスA •職務の分離プロセスＣ財務アプリケーション（統制の自動化） IT全般統制アプリケーションA アプリケーションＢアプリケーションＣ •プログラム開発 •プログラム変更 •コンピュータ運用 ID・権限管理のための基盤データベースオペレーティングシステムネットワーク •プログラムとデータへのアクセス •統制環境 8 情報を最も近い場所で守るデータベースに対する直接アクセスに関わるリスクはデータベース・セキュリティで最小化を図る必要があります。（予防的統制を構築する）開発者管理者リスク業務アプリケーションミドルウエアデータベース業務処理の情報業務処理の履歴エンドユーザ業務処理統制で実現する範囲全般統制で実現する範囲 9 データベース・セキュリティに求められるもの IT全般統制の中で「情報の正しさ」を保証する。 –職務分掌に基づいたアクセス・管理権限の最小化を実現する。 –より厳密なアクセスコントロールによってリスクの最小化を図る。 –上記以外の想定できるあらゆるリスクに対して最小化を図る。監査人に対して「情報が正しい」という証明ができる。 –情報にかかわる変更履歴の取得と保全を行う。 –データベースの管理操作についても履歴の取得と保全を行う。 –履歴をもとにモニタリング（内部統制の要素）を可能にする。 10 データベースに関わる職務分掌データベース利用者開発作業データベースの起動・停止アプリケーション管理 •バックアップ・リカバリユーザー利用 •領域・データファイルの拡大職務分掌データベース管理者 •チューニング作業セキュリティ管理者 •ユーザと権限の管理・ログの管理と分析・レポート 11 本資料の関連資料は下記をクリックしてＰＤＦ一覧からお入り下さい。ＩＴ大全（pdf １００冊） http://www.geocities.jp/ittaizen 目次番号６４５番他 12