数億円被害と事業停止を防ぐインシデント対策　オラクルのセキュリティファースト設計は何がすごいのか

Oracleは製品、サービスにあらかじめセキュリティを組み込んでいる

　Oracleは1977年に米国CIAのプロジェクトへの参画から始まり、最初から機密情報を扱っている。1979年には商用化した世界初のデータベースであるOracle Version 2が米軍の空軍基地で採用された。以降、長きにわたり製品はもちろん企業文化においてもセキュリティを重視しているのがOracleだ。

　実際、CTO配下にはセキュリティプログラミングを推進するエンジニアが1,700名以上在籍している。「ソフトウェア、ハードウェア、クラウドすべてにおいて、製品の設計、開発、構築、テスト、運用に至るまでセキュリティを組み込むことで、セキュリティ性を高めています」と人見氏。それらを通して顧客の扱うデータの機密性、完全性、可用性を保護しているのだ。

　Oracleではオンプレミスで培った高度な技術をクラウドへ、またその逆も行えるようにするためにクラウドとオンプレミスで同じアーキテクチャとなっている。主力であるデータベースも、オンプレミスからパブリッククラウド、プライベートクラウドすべてにおいて、高いセキュリティでデータの管理、保護、活用ができるようになっている。

　そしてクラウドはデータベースだけで成り立つわけではないため、Oracle Cloud全体も堅牢なセキュリティを実現している。例えばクラウドでは、すべてのデータ、データベース、ストレージ、ネットワークは暗号化される。「暗号化されていないデータはストアされません」と人見氏。人為的なミスの削減では、リスクのある設定を検知しセキュリティポリシーを有効化。脆弱性があれば修復し、顧客が利用するクラウド環境を自動で安全なものにする。

　Oracleの一番の強みであるデータ中心のセキュリティでも、セキュリティ対策の自動化を行う。また特権ユーザーのアクセスも制御でき、ID認証では多要素認証やリスクベースの認証などゼロトラストで求められる機能が組み込まれており、これらセキュリティ機能は年々進化し、昨今のサイバー攻撃の多様化に対応する。

　実際にデータ中心のゼロトラストセキュリティを実現する際には、外部だけでなく内部からの攻撃にも対処しなければならない。これには強制的な暗号化と特権ユーザーの管理が有効だ。加えて、アプリケーションがアクセスできるデータの範囲を行や列という、細かなレベルで制御もできる。それらがきちんと運用されているかは、監査ログを取り詳細に追跡でき、これをクラウドだけでなくオンプレミスでも適用され、ハイブリッドクラウドにも対応する。

　データ自体の改ざんに対しては、オブジェクトストレージの保持ルール機能やデータベースへの改ざん防止機能が備わっており、ランサムウェア対策にはバックアップデータを守る機能も用意されている。データレベルできちんと守り、障害の直前まで復旧できるようになっているのだ。

　また機密データがどこにありマスキングされているか、ユーザーアクティビティなども可視化している。そして重要なこととして、Oracleでは国内外、各国のセキュリティ基準にも対応している。このように、Oracleはデータを中心としてセキュリティを高めることに注力しており、そこに期待して同社の製品、サービスを使ってほしいと人見氏は言う。