クラウド化するだけで暗号化対策も可能
「運用」とは該当するシステムの機能を継続的、安定的に正常稼働させることだ。つまり、システムに障害を発生させないようにし、万一障害が発生しても迅速に復旧できるようにする。また、障害を予防・検出し、障害から復旧することもシステム運用の重要な要素だ。
障害を予防するためには、障害が発生しそうな傾向を掴み事前に防ぐことはもちろんだが、万一障害が発生したときに備えて、それをいち早く検出できるようにしておくことも必要だ。そして障害が発生したとしても、システムを正常な状態に迅速に戻せるようにも備えなければならない。「システム運用においてはこの3つが非常に重要です」と、株式会社アシスト クラウド技術本部 技術統括部の原田拓朗氏は語る。
原田氏はセミナーにおいて「セキュリティ」「モニタリング」「バックアップ・DR（Disaster Recovery）」の観点から、Oracle Cloudでデータベースを運用する際における“3つの重要項目”にどう対処すれば良いのかについて説明している。
もし、悪意のある攻撃により重大なセキュリティ事故が引き起こされた場合、その攻撃で狙われるのは「データ」だ。そしてデータを管理しているのがデータベースであり「システム運用ではデータベースのセキュリティが重要となります」と原田氏は指摘する。
セキュリティ事故は、外部からの不正アクセスや内部での不正利用、ランサムウェア攻撃などさまざまなものがあるため、これら事故原因ごとに対策するのは限界がある。そこで個々に対処するのではなく「守るべきはデータ、つまりはデータベースです」と原田氏。
日本では、ネットワークを主軸としたセキュリティ対策が主流だが、これからはデータを中心としたセキュリティが重要になってくる。また、海外に比べてクラウドセキュリティの高さに対する理解が遅れている側面もある。Oracle Databaseには、たくさんのセキュリティ対策機能があり、それらはOracle Cloudでも利用できる。むしろオンプレミスよりも「簡単に使える仕組みやサービスがある」というのだ。
まず「Oracle Base Database Service」では、Oracle Databaseでは10gR2から採用され、実績のあるTDE（透過的データベース）暗号化機能が無償で利用でき、デフォルトでデータベースの暗号化が適用される。また、TDE暗号化機能では、データファイルだけでなく、バックアップファイルやエクスポート・ダンプファイルなども暗号化される。Oracle Cloudでは、データベースにデフォルトで暗号化が適用される。注目すべきは、TDE暗号化の機能を利用するために、オンプレミスではEnterprise EditionのAdvanced Securityが必要である一方、Oracle Base Database Serviceであれば、Standard Editionでも無償でTDE暗号化機能を利用でき、安全・安心に運用できるという点だ。
また、Oracle Data Safeも無償で利用できる。これにはセキュリティアセスメント機能があり、データベースの基本構成、監査状況など約50項目を調査可能だ。さらにログイン情報やパスワード変更履歴など、ユーザーに特化したアセスメント機能もある。
リスクレベルの表示やレポートのダウンロードなどはWebコンソールから利用でき、スケジュール実行機能を使えば継続的にセキュリティリスクのチェックが可能となっているという。「実装時だけでなく“継続して”できることは、セキュリティを守る上で大きなポイントになる」と原田氏は指摘する。
また、Oracle Data Safeではリスクレベルがあらかじめ定義されているので、何をリスクとするかを決める手間はなく、すぐにアセスメント機能を使い始められる。これも大きなメリットだ。その上でリスクの是正策も提示され、チェックした結果からセキュリティ事故発生の予防にすぐにつなげられるという。
さらには、監査ログの収集機能も欠かせない。このログを用いて、あらかじめ定義された監査ポリシーに従いセキュリティチェックを行えるという。ここでもリスクレベルが提供されているため、何をリスクとするかに頭を悩ませることなく、すぐに利用を始められるのだ。監査ログは取得していても活用できていない組織が多い中、Oracle Data Safeでは監査ログからリスクをすぐに検出でき、監査ログの長期保管にも対応できる。
このようにOracle Cloudでは簡単かつ、すぐに使えるデータベースセキュリティ機能がある一方で、注意すべき点もある。その一つが、リスクレベルのカスタマイズができないことだ。低リスクから中リスクへの変更や、任意のリスクの追加はできない。そのためOracle Cloudの基準に合わせて運用するか、より高いレベルの監査などには、別途サードパーティ製のデータベース監査ツールを併用する必要もある。
