SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

Data Tech 2022

2022年12月8日(木)10:00~15:50

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

Security Online Press(PR)

数億円被害と事業停止を防ぐインシデント対策 オラクルのセキュリティファースト設計は何がすごいのか

データ資産を守り、 レジリエンスを⾼めるオラクルのハイブリッドクラウドセキュリティとは

 サイバー攻撃リスクが増大している。経営者もサイバー攻撃の危機を経営上の課題として、数年前より遙かに重視するようになった。サイバー攻撃は複雑化、巧妙化しており、もはや境界防御などだけでは限界があり、侵入があることを前提にリスクを最小化する対策が求められている。そこで、日本オラクルの事業戦略統括 戦略事業推進本部 本部長である人見尊志氏と、アシスト ビジネスインフラ技術本部 データベース技術統括部の寄川修辰氏がOracleのハイブリッドクラウドセキュリティについて解説。サイバー攻撃から企業の重要な資産であるデータを守り、レジリエンスをいかに高めるかについて、話を聞いた。

複雑化する攻撃対策にはデータを中心としたゼロトラストセキュリティが必要

 2021年7月、ある国内製造業の企業がランサムウェアの攻撃を受け、サーバーや端末が同時多発的に暗号化され使えなくなる被害が発生した。このときグループ企業にまで被害が広がりバックアップデータまで暗号化されたという。

 人見氏によれば「決算報告が遅れる被害が発生しています」という。他にも病院がランサムウェア被害に遭い、復旧までに2ヵ月かかり、一部診療科での新規患者の受入を中止する事態も発生したとのこと。

画像クリックで拡大
画像クリックで拡大

 このようなインシデントが発生すれば、損害は広範囲に拡がり対応コストもかなり大きくなる。事業が止まることによる損害、第三者への賠償、法令違反による罰金など損害は多岐にわたり、日本国内でも1社あたり数億円の損失が発生すると試算されている。

 今やセキュリティインシデントは「単なる情報システムの問題ではなく、企業の経営層として取り組むべき課題です」と人見氏は指摘。

画像クリックで拡大
画像クリックで拡大

 脅威に対処するために米国では、1990年代の境界防御に始まり、2001年の米国同時多発テロ事件以降の縦深防御、その後は被害から迅速に復旧するサイバーレジリエンスのセキュリティモデルで取り組んできた。

 「米国では昨今、ゼロトラストおよびデータ中心型防御に注目が集まっています」と人見氏。ゼロトラストセキュリティについては、2020年くらいから米国のNIST(National Institute of Standards and Technology(米国国立標準技術研究所))がガイドラインを出し、米国国防総省はそれに倣いリファレンスアーキテクチャを出している。米国国防総省でも、ゼロトラストセキュリティに注力しているのが現状だ。

 人見氏によれば、ポイントはデータ中心のセキュリティモデルにシフトしていることだという。クラウドなど様々なIT環境の変化があり、守るべきITリソース環境が分散しているため、ネットワーク中心のセキュリティでは守れなくなっている。ゆえに「もっとも守るべき資産であるデータへの侵害を防ぐために、ゼロトラストのモデルで対応しているのです」と指摘する。

 ゼロトラストではデータにアクセスする度に、その正しさを検証する。あるいは重要なデータがきちんと守られているかを、モニタリングすることが重要となっている。

画像クリックで拡大
画像クリックで拡大

 これらの流れを背景に、2022年のセキュリティトピックとして以下の5つが挙げられている。

  • ゼロトラストセキュリティの実装
  • 事業継続視点での完全性、可用性の対策強化
  • AI/機械学習を活用したインテリジェントな対策
  • セキュリティ向上のために必要となる状況の可視化
  • CISO(Chief Information Security Officer)の役割と責任範囲

 まず1つ目の「ゼロトラストセキュリティの実装」と2つ目の「事業継続視点での完全性、可用性の対策強化」については、ランサムウェアの被害に遭うと、平均的なダウンタイムは19日間におよび、復旧コストは1億円以上かかる。身代金を払っても、すべてのデータを取り戻せた割合は8%しかない。つまり事業継続の視点では、データをどう守っていくかが重要な観点になる

 3つ目として、セキュリティを強化する際に有効となる「AI/機械学習を活用したインテリジェントな対策」が挙げられている。IT環境が複雑化する中では、監視すべきログやコンポーネントが数多くある。それらをきちんと正しく保つには、膨大なデータをうまく扱えなければならない。その上でパッチ適用の自動化も進める必要があり、多岐にわたる対応にはAIを用いたインテリジェントな対策が必要だ。

 そして4つ目として挙げられているのが「セキュリティ向上のために必要となる状況の可視化」だ。既に重要な情報の30%はクラウドにあり、それを守るためには、情報が守られているかを明らかにする可視化が必要となる。またクラウドを使う上で大きな脅威となるのが、人為的な設定ミスなど。環境をセキュアに保つための管理の自動化だ。もっとも、そうすると最初から高いセキュリティ性のあるクラウドも求められるであろう。

 高いセキュリティを組織として実現する際に重要なのが、5つ目のトピックの「CISO(Chief Information Security Officer)の役割と責任範囲」だ。さらにビジネス観点から情報セキュリティに責任を持つ、ビジネス情報セキュリティ責任者の採用も必要となっているという。

Oracle Cloud、Exadata Cloudの導入、運用のパートナーをお探しでしたら、ぜひアシストへ!

アシストの支援やサポートの詳細、ダウンロード資料などはこちらのページでご確認ください。

次のページ
Oracleは製品、サービスにあらかじめセキュリティを組み込んでいる

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
関連リンク
Security Online Press連載記事一覧

もっと読む

この記事の著者

谷川 耕一(タニカワ コウイチ)

EnterpriseZine/DB Online チーフキュレーターかつてAI、エキスパートシステムが流行っていたころに、開発エンジニアとしてIT業界に。その後UNIXの専門雑誌の編集者を経て、外資系ソフトウェアベンダーの製品マーケティング、広告、広報などの業務を経験。現在はフリーランスのITジャーナリスト...

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/16642 2022/10/25 10:00

Job Board

PR

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2022年12月8日(木)10:00~15:50

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング