SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

Security Online Day 2024 春の陣

2024年3月13日(水)10:00~17:10

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

Security Online Press(AD)

「詳しい人ほど誤解が多い」意外と実現可能なデータベース暗号化、性能低下の懸念も解決へ

データベース暗号化の方式ごとのメリット・デメリット

 サイバー犯罪者が窃取を狙う機密情報は、PCなどのエンドポイント上ではなく、サーバーやデータベース上で管理されている。つまり、機密情報の保護を検討するにあたり、データベースに格納されているデータ自体を暗号化しておくことは優先度の高い有効な対策であり、万が一盗まれたとしても情報の中身が読み取れない。まさに社員や顧客、事業を守るための“最後の砦”ともいえるだろう。

 しかしながら、実際にデータベース暗号化の導入を検討してみると、一筋縄ではいかないことがわかる。たとえば、対策に踏み切ろうと考えるとき、暗号化の仕組みを独自実装する方法を真っ先に検討する企業も少なくない。“暗号化機能を提供するライブラリやAPIをプログラムから呼び出せば、手っ取り早く暗号化機能を実装できるのではないか?”と多くの開発者が考えるが、実際には相当な時間やコストを要してしまい、費用対効果やセキュリティの担保の観点から断念するケースが多い。

 また、時間やコストを覚悟の上で断行し、独自実装に踏み切った結果、被害が出たケースも報告されている。2023年1月、韓国の大手通信キャリアにおいてサイバー攻撃による大規模な情報流失事案が発生した。何がまずかったのか。実は、被害にあった企業では法律に基づいて暗号化機能を内製して実装していたものの、現実には破られてしまって情報流失につながったという。

 そこで内製以外の手段として考えられるのが、データベースソフトウェアが備える暗号化機能を利用する方法だ。たとえばOracle Databaseには「TDE(Transparent Data Encryption)」と呼ばれる暗号化機能があり、これを使えば比較的容易にデータベースの暗号化を実装することはできる。しかし、TDEを利用するためには特定のエディション等の利用条件が障壁となる例も多く、また機密性の意味ではサーバー基盤のデータファイルの保護に留まる。

 そこで多くの企業がたどり着くのが、データベースの暗号化機能に特化したサードパーティー製品を利用する方法だ。既存のデータベースにアドオンする形で導入することを前提とし、システムの変更やアプリケーション開発にかかる手間や追加コストを最小限に抑えられる。一見すると都合の良い要件に見えるが、実際には現在日本で入手できるデータベース暗号化製品は極めて数が少ない上、現場レベルの導入方法や技術サポート情報が少ないサードパーティー製品の導入は、データベース管理者にとって様々な不安が付きまとう。

 「データベースシステムの暗号化とは、ファイルシステムやDBインスタンス、アプリケーションに実装する場合等、一連のシステムのどこで暗号化・復号するか等の選択肢があり、それぞれデータ保護範囲の差異もあります」と美濃部氏は語る。

 そのため、どのような選択をしてもメリット・デメリットはあるため、それらをよく理解した上で、導入コストとセキュリティの観点からシステム用途に応じた実現性のある選択をすることが重要だという。

 「多くのデータベース管理者が特に懸念するのが、パフォーマンスの低下です。データベースに詳しい人ほど、データの暗号化・復号処理による負荷増加で、既存データベースの性能が大きく低下してしまうのではないかと考えるでしょう」(美濃部氏)

次のページ
大手企業で導入相次ぐ「D'Amo」とは?

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
関連リンク
Security Online Press連載記事一覧

もっと読む

この記事の著者

吉村 哲樹(ヨシムラ テツキ)

早稲田大学政治経済学部卒業後、メーカー系システムインテグレーターにてソフトウェア開発に従事。その後、外資系ソフトウェアベンダーでコンサルタント、IT系Webメディアで編集者を務めた後、現在はフリーライターとして活動中。

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

提供:ペンタセキュリティシステムズ株式会社

【AD】本記事の内容は記事掲載開始時点のものです 企画・制作 株式会社翔泳社

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/18101 2023/08/08 10:00

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2024年3月13日(水)10:00~17:10

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング