ホワイト ペーパー
分析用セキュリティ レイヤとしてのデータ仮想化
はじめに
分析は、さまざまな業界のビジネスに大きなチャンスと、ビジネス成果を向上させる情報を提供します。成長を
推進し、顧客を引きつけて維持し、イノベーション推進とコスト削減を図るための手法として、分析とビジネス イ
ンテリジェンスの価値はこれまでにないほど高まっています。最高情報責任者（CIO）はこうしたチャンスについ
て認識しています。Gartner が 2012 年に 2300 人の CIO を対象に実施した調査では、分析がテクノロジーの
優先度における第 1 位になっています。
企業によっては、競合他社との差別化を図る分析が何よりも機密度の高い資産となることがあります。しかしな
がら、セキュリティ対策を適切に講じない場合、情報は常に漏えいの危険にさらされます。
概要
このドキュメントでは、データ仮想化を分析のセキュリティ レイヤとして使用する方法について説明します。内容
は以下のとおりです。
•
分析におけるセキュリティの課題
•
シスコ データ仮想化の主なセキュリティ機能
•
セキュリティ強化とビジネス俊敏性のバランス
© 2015 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public.
1/8
分析におけるセキュリティの課題
分析を使ってセキュリティの問題解決にあたる場合、データ セキュリティ全体を困難にしているデータ サイロの
複雑さとアーキテクチャの複雑さを理解することが重要です。
データ サイロ：分析のメリットを十分に活用するために、多くの組織では、従来型のデータ ソース、ビッグデータ
環境、クラウドベースのサービスやプラットフォームなどから得たさまざまな形式のデータを使用します。企業が
Oracle などの従来型のリレーショナル データベースから Hadoop などの分散型ソリューションまでの幅広い
実装オプションを利用して、数百ものトランザクション情報ソース、運用データ ストア、データ ウェアハウスと複
数の従属データ マートを使用するのは珍しいことではありません。また、新たなデータ ソースが次から次へと
追加されています。セキュリティ ポリシーを維持するには、統合対象のデータ ソースを保護する必要があり
ます。
アーキテクチャ：組織が新たな事業部門や製品を追加するのに伴い、IT 部門はビジネス ニーズをサポートす
るために新たなアプリケーションを導入します。このようにして数年が経つと、ビジネス ニーズを満たすための
取り組みが、統合が不十分なネットワークや冗長なシステムを生み出してしまうことがあります。こうした IT
アーキテクチャには往々にして脆弱な依存関係が内在し、ビジネスの継続性を確保しつつ変更することが難し
い状況に至ることがあります。こうした依存関係は、新しいデータ セキュリティ ポリシーを導入する上で大きな
障壁となります。
データの量、種類、複雑さが大幅に増大しているのに加え、新しいコンプライアンス規制に準拠しなければなら
ないため、データ資産を保護し、リスクを軽減することは企業の情報管理戦略において重要な要素です。何百
ものシステムと何千人ものユーザを抱える大企業で、権限を持つユーザだけに適切なデータの参照のみを許
可するのは複雑な作業です。また、一部の機密データについては、ネットワークを通過する際に暗号化する必
要もあります。
データ セキュリティをシンプル化するシスコ データ仮想化
Cisco® Data Virtualization は、すべてのデータを単一ビューで表示するだけでなく、全社規模のデータ セキュ
リティ管理に対応する一貫性のあるソフトウェア レイヤも提供します。また、シングル サインオン機能を利用し
て、数多くのさまざまなシステムで共通のセキュリティ認証と承認を可能にします。企業のデータおよび分析環
境に存在するあらゆるデータを暗号化して、機密情報のセキュリティも最大化します。
複数のデータ ソースとコンシューマにセキュリティ ポリシーを実装するためのデータ セキュリティの中心として
シスコ データ仮想化を使用することで、ビジネスと IT の俊敏性の向上、信頼性の確保、生産性の向上を図る
ことができます。ビジネス ユーザにとってはデータに対する信頼性が高まり、IT 部門は最重要資産であるデー
タを適切に制御し、容易に管理できるようになります。クリーンで信頼性のあるデータを得ることで、情報をより
効果的に活用して消費者ニーズを的確に把握し、革新的な製品やサービスを生み出し、コンプライアンス規制
の負担も軽減されます。データを元のソースから直接統合し、コンシューマに直接提供することで、監査が必要
なときにいつでも完全なデータ系統を使用できます（図 1 を参照）。
© 2015 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public.
2/8
図 1. シスコ データ仮想化によるデータ セキュリティ管理の統合
シスコ データ仮想化の主なセキュリティ機能
権限に応じた適切なデータの参照のみを許可することは、データ セキュリティの重要な要件です。データをセ
キュリティ保護するために、Cisco Information Server にはユーザを認証し、ユーザとグループの権限に応じ
てデータに対する操作を許可するセキュリティ機能が用意されています。設計時、Cisco Information Server
はリソースの所有権を確立し、リソースの共有と変更を適用します。実行時に、Cisco Information Server
Security は Cisco Information Server のリソースと、それらのリソースが返すデータへのアクセスを制御しま
す。その結果、Cisco Information Server に対するすべての要求と、要求に含まれるすべてのリソースについ
て Cisco Information Server 内でセキュリティが適用されます。図 2 は、シスコ データ仮想化セキュリティ管
理レイヤを形成するセキュリティ コンポーネントの詳細を示しています。
© 2015 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public.
3/8
図 2.
シスコ データ仮想化の統合データ セキュリティ管理
セキュリティが適用可能な場合
Cisco Information Server でセキュリティを確立する第一歩は、ユーザ ID を検証することです。このプロセス
を認証と呼びます。次に、承認プロセスで、Cisco Information Server を使用して Cisco Information Server
のリソースに対する特権を付与および適用することができます。Cisco Information Server のリソース権限の
主なカテゴリは次のとおりです。
•
読み取り、書き込み：設計時（Cisco Information Server Studio で作業する場合）に、ユーザまたはグ
ループがリソースを参照または変更できるかどうかを指定します。
•
選択、挿入、更新、削除：実行時に、ユーザまたはグループが表形式のリソース（ビューや列など）に
対して特定の SQL コマンドを実行できるかどうかを指定します。
•
実行：実行時に、ユーザまたはグループがプロシージャ（Web サービスやスクリプトなど）を実行し、そ
の実行結果を確認できるかどうかを指定します。
•
付与：設計時に、ユーザまたはグループが特定のリソースに対する特権をユーザまたはグループに付
与できるかどうかを指定します。リソースの所有者には必ず付与権限が割り当てられます。
Cisco Information Server は独自のセキュリティ ドメインをサポートします。Cisco Information Server のドメ
インはユーザ情報、グループ定義、およびグループのユーザ メンバーシップを Cisco Information Server そ
のもので管理します。また、特権をロールに基づいて定義することができます。責任、関係、および制約に従っ
てユーザのアクションを柔軟に規制することで、ユーザに幅広い承認タスクの実行を許可できます。
ほとんどの組織はすべてのユーザ情報を単一のリポジトリで一元化し、企業全体でユーザとグループを管理し
ます。多くの場合、2 つの異なるユーザ データベースまたはセキュリティ ドメインを管理するのではなく、企業
の Lightweight Directory Access Protocol（LDAP）ディレクトリと統合することが推奨されます。Cisco
© 2015 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public.
4/8
Information Server は、Microsoft Active Directory などの LDAP ディレクトリからのセキュリティ プロファイル
を使用して、保護するデータ ソースへのユーザ アクセスを認証します。
Cisco Information Server 内での認証
Cisco Information Server はドメインの概念をサポートします。ユーザ名とドメイン名の組み合わせは明確で、
Cisco Information Server での認証の実行方法を決定します。ユーザが Cisco Information Server への接続
を試みる場合、自身であることを識別するクレデンシャル（通常はユーザ名とパスワード）を提示して、Cisco
Information Server ドメインから認証を受ける必要があります。Cisco Information Server は自身のリソース
および外部データ ソースへのアクセスに使用するパスワードを暗号化します。ユーザとグループは Cisco
Information Server または外部認証システムで定義できます。
ユーザが LDAP ドメインなどの外部認証システムに対して認証を行うと、Cisco Information Server は外部シ
ステムに認証の実行を要求します。ユーザの認証が成功すると、ユーザに関する情報（ロール メンバーシップ
やグループ メンバーシップなど）にアクセスできます。
Cisco Information Server 内での承認
ユーザの認証が成功すると、セキュリティ保護されたリソースへのアクセスに承認が必要になります。設計時で
も実行時でも、ユーザがリソースに何らかのアクションを実行しようとすると、Cisco Information Server はユー
ザの特権およびユーザが属しているグループの特権をチェックし、そのアクションの実行を許可されているかど
うか確認します。承認は操作に関係するすべてのリソースに対して行われます。つまり直接アクセスするリソー
スだけでなく、他のリソースに対する権限も必要になります。ユーザがアクションを実行するために必要な特権
を持っていない場合は、該当するエラーが返されます。
基盤となるデータ ソースの保護
Cisco Information Server は自身のリソースについて認証や承認を行うだけでなく、基盤となるリソースの保
護も行います。高機能なデータベース システムの大半には、データ コンテンツへのアクセスを制限する行レベ
ルのセキュリティなどの機能が実装されているため、Cisco Information Server は基になるデータ ソースのセ
キュリティ インフラストラクチャを使用して、特定の Cisco Information Server ユーザ プロファイルで認証と承
認を行います。したがって、基になるデータ ソースのセキュリティ動作は、Cisco Information Server がクライ
アントとして導入されても変更されません。
Cisco Information Server で使用するためにデータ ソースをプロビジョニングする際、管理者は認証クレデン
シャルの単一の共有セットか、現在のユーザ固有のクレデンシャルのどちらを使ってデータ ソースにアクセス
するかを指定します。クレデンシャルの単一のセットが指定されている場合は、基になるデータ ソースで実行さ
れるすべての承認がこれらのクレデンシャルを使用して実行されます。
ユーザ固有のクレデンシャルが使用される場合、ユーザは現在の Cisco Information Server クレデンシャル
を使ってデータ ソースで直接認証を行います。「パススルー」認証と呼ばれるこのオプションは、行レベルおよ
びその他のセキュリティ目的でユーザ アカウントをデータベースに定義する際に、基盤となるデータ ソースで
すでに行われた作業を利用します。このシナリオでは、すべてのユーザのセキュリティ設定をすべてのデータ
ソースで確実に同期することが重要です。
データ ソース レイヤできめ細かい制御を実装する、行レベル セキュリティなどの機能をサポートしていない
データ ソースを認識することが重要です。これらのデータ ソースには、フラット ファイル、Microsoft Excel スプ
レッドシート、ビッグデータ ストアなどがあります。そのため、Cisco Information Server の行レベル セキュリ
ティ機能を使用してデータ コンテンツ セキュリティをテーブルまたはビューに適用する方法が最適です。
© 2015 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public.
5/8
Cisco Information Server での行レベル セキュリティによるデータの保護
デフォルトでは、テーブルまたはビューへのアクセスが許可されているユーザは、そのビューに含まれるすべて
のデータ行にアクセスできます。しかし場合によっては、ユーザに一部のデータ行の参照を制限する必要があ
ります。たとえば、従業員の給与に関する情報を返すビュー（従業員ごとに 1 行ずつ）を作成する場合は、管理
関係に基づいてこれらの行へのアクセスを制限することがあります。従業員のマネージャとそのマネージャ（最
上位は CEO）は、その従業員の給与情報を参照できても、別のマネージャの監督下にある他の従業員の給与
は参照できないようにする必要があります。つまり、指定した行のみ表示できるようにして行レベル セキュリ
ティを適用します。
リソース キャッシュがソリューションに含まれている場合、Cisco Information Server の行レベル セキュリティ
は特に重要です。このシナリオでは、キャッシュ レイヤまたはその上位レイヤで行レベルのポリシーを定義して
キャッシュされたデータでそれらのポリシーを使用します。この設定では、行レベルのポリシーができる限り速
い段階で導入され、Cisco Information Server 処理エンジンのプッシュ最適化手法が利用されることによって
オーバーヘッドが最小化されます。
行レベル セキュリティでは、テーブルへのアクセス権を持つユーザが、そのテーブルのすべての行にはアクセ
スできない場合があります。この制約は現在のユーザの従業員 ID を使ってビューの定義の WHERE 句に設
定できます。マネージャの制約を満たす行のみ結果セットに含まれます。これは行ベースのセキュリティの一般
的な使用例で、Cisco Information Server の実装は、行レベル セキュリティを実現するための標準パラダイム
です。
Cisco Information Server では、他のシステムがこの概念をサポートするために使用するのと同じ手法で行レ
ベル セキュリティを有効にします。Cisco Information Server の管理者は、ポリシーを柔軟に設定することで、
地域、現在の場所、事業部門などの特定の条件に基づいてエンド ユーザに対する行レベル セキュリティを有
効にできます。これらの制約がテーブルまたは行に関連付けられている場合、ポリシーが適用されるエンド
ユーザはポリシーの基準に基づいて制限されたデータ ビューを取得します。
柔軟性を上げるため、Cisco Information Server にはポリシーをまとめてネストするオプションがあり、Cisco
Information Server の管理者はポリシー グループ内でポリシーをどのように適用するかを指定できます。
シングル サインオンとトークンベースの認証
シングル サインオン（SSO）は、統一された認証ポリシーと承認ポリシーを全社にわたって適用するため、全社
的な認証メカニズムとなっています。トークンベース認証の一般的な考え方はシンプルです。ユーザはユーザ
名とパスワードを一度入力するだけで、複数のセキュアなシステムにアクセスできるトークンを取得できます。
分析ソリューションのセキュリティを設計する場合は、ソリューション内のすべての階層（分析階層、データ統合
階層（Cisco Information Server 階層）、データ アクセス階層）で同じユーザ ID を使用する SSO を採用する
と便利です。
Cisco Information Server には SAML ベースの SSO、Kerberos SSO、および Microsoft NT LAN Manager
（NTLM）との統合機能が組み込まれており、分析階層から Cisco Information Server 階層までユーザ認証を
伝播できます。着脱可能な認証モジュールを通じて、ロジックまたは顧客が実行する手順をプロセスに追加で
きますが、認証は変更できません。
Kerberos SSO を通じて、Cisco Information Server はユーザ認証コンテキストをデータ ソースに伝播できま
す。たとえば、SSO 認証を使用する企業では、Cisco Information Server ユーザは各自のユーザ ID やユー
ザ パスワードでログオンします。ユーザが Cisco Information Server にデータのクエリを実行すると、Cisco
Information Server はユーザを識別するユーザ トークンを受信し、そのトークンをチェックしてから、基になる
© 2015 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public.
6/8
データ ソースにユーザ トークンとともにクエリを渡します。データ ソースはその情報を検証して、ユーザをサイ
ンオンさせずに適切なデータを返します。
Cisco Information Server の承認スキームは Kerberos 認証と緊密に統合されています。Kerberos 認証を受
けたユーザには、それらのユーザおよびユーザが属するグループに対して暗黙または明示的に定義されたア
クセス許可に従い、アプリケーションとデータを表示および使用する権限と特権が付与されます。データとリ
ソースは、Kerberos システムおよび関連付けられている LDAP サーバによって識別された認証および承認済
みのユーザのみが使用できます。
関連付けられた LDAP サーバを使用してユーザ ID とグループの提携を確立および維持する場合、Cisco
Information Server は LDAP サーバを使って、認証と承認が一致することを前提にアプリケーション、リソース
およびデータの使用を承認できます。
送信中のデータの暗号化
データおよび分析環境では日常的にさまざまなシステムやアプリケーション間でデータの転送が行われていま
す。ネットワークを通過する機密データを保護することは、企業全体のデータ セキュリティを最大化する上で重
要です。Cisco Information Server は SSL を接続メカニズムとしてサポートしており、ユーザはインターネット
上でのプライベート通信について一意に暗号化されたチャネルを作成することで転送中のデータを保護できま
す。SSL を通じて、Cisco Information Server とコンシューマ アプリケーション間のすべての通信が暗号化さ
れます。CIS とデータ ソース間のすべての通信も暗号化されます。
Cisco Information Server は相互認証をサポートしており、証明書ベースの認証を通じて公開サービス、Web
サービス データ ソース、および Oracle データベースの SSL 証明書を交換することで信頼性を確立します。
Web サービスの場合、Cisco Information Server は WS-Security を認証メカニズムとしてサポートしています
が、HTTPS に依存してすべての通信を暗号化します。
Oracle Java Database Connectivity（JDBC）、オープン データベース コネクティビティ（ODBC）および
ADO.NET 接続の有線暗号化は、RSA、SSL、および Tiny Encryption Algorithm - Variant（TEAV）を含む各
種暗号化テクノロジーにより提供されます。
Web サービス用の WS-Security 標準
Cisco Information Server は、公開された Cisco Information Server Web サービスを認証する WS-Security
をサポートします。Cisco Information Server 内の Web サービス要求は、その要求に対するメタ処理が含ま
れているパイプラインを使用して処理されます。CIS は、このパイプラインに WS-Security 処理を組み込んで
おり、ユーザが独自の処理を追加することもできます。WS-Security 標準は、交換されたデータが Web サー
ビスの一部である場合にセキュリティの問題を解決するよう進化しているため、Cisco Information Server の
管理者は最新の標準に対応するようパイプラインを修正できます。管理者は、パイプライン内で実行する操作
のコレクションを自由に設定できます。
まとめ
現在のビッグデータと分析環境において、データ仮想化は、企業のデータ セキュリティ管理を統合し、セキュリ
ティを強化しつつ俊敏性を損なわずにビジネス成果を向上させるソリューションを実現するという意味において
戦略的な役割を担っています。
© 2015 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public.
7/8
シスコ データ仮想化は、セキュリティの問題に対する対応以外にも、多数のデータ ガバナンス機能により、
データへのアクセスと配信を制御し、一貫性のある、安全で高品質な監査可能データの維持を可能にします。
これにより、ビジネス ユーザ、データ サイエンティスト、アナリストがデータを十分に理解・活用して、的確な意
思決定を行える信頼性の高い環境を構築できます。
めまぐるしく深化する分析環境においてデータ セキュリティとガバナンスが浸透する中、将来を見据えた組織
はシスコ データ仮想化を活用して情報管理とデータ セキュリティ戦略をシンプル化および強化し、データ サイ
ロと IT アーキテクチャの複雑化の問題を解消しています。
©2015 Cisco Systems, Inc. All rights reserved.
Cisco、Cisco Systems、および Cisco Systems ロゴは、Cisco Systems, Inc.またはその関連会社の米国およびその他の一定の国における登録商標または商標です。
本書類またはウェブサイトに掲載されているその他の商標はそれぞれの権利者の財産です。
「パートナー」または「partner」という用語の使用は Cisco と他社との間のパートナーシップ関係を意味するものではありません。(1502R)
この資料の記載内容は 2015 年 2 月現在のものです。
この資料に記載された仕様は予告なく変更する場合があります。
お問い合せ 先
シスコシステム ズ合同会社
〒107‐6227 東京都港区赤坂 9-7-1 ミッドタウン・タワー
http://www.cisco.com/jp
6.15