マイナンバーこそデータベースで守る
マイナンバーのような重要情報を守りながら、業務に支障が出ない使い勝手を提供する。そのためには、データベースをうまく活用すべきだ。データベースであれば個々のデータ単位できめ細かなアクセス制御ができる。必要な人にはストレスなく情報を提供し、権限のない人にはアクセスさせない。これができるのが、データベースの大きなメリットだ。
またデータベースであれば、データ処理の詳細をログに残せる。この機能を使えば、何らかの事故が発生しても原因やその過程を素早く解明できるだろう。それで、被害を最小限に抑えることも可能だ。もしファイル単位でデータを管理していたなら、きめ細かいアクセスコントロールは難しく、どの情報がどうやって漏洩したかを把握するのにも時間がかかる。このようにデータベースのセキュリティ機能を使いこなすことは、企業において重要情報を適切に扱うためには必須となる。
もちろん、データベースの基本的な機能だけでもそれなりの制御は可能だ。しかし、マイナンバーのような極めて重要な情報を適切に管理するには、さらに一歩進めたデータベースのセキュリティ管理が必要となる。 たとえば、収集するログがきちんと監査に耐えられるものかどうかは重要なポイントだ。誰がいつどんな操作をしたかを詳細に記録し、その上でログの改竄ができない仕組みがいる。賢い犯罪者であれば、自分が不正アクセスしたログを改竄し痕跡を消してしまうからだ。
▲参考：機密データへのアクセス制御［クリックすると図が拡大します］
データベースにおける管理者権限の問題点
もう1つ重要なポイントが、データベースやOSの管理者と、セキュリティ管理者を分けることだ。さらには、たとえばマイナンバーデータへのアクセス権限を、データベース管理者であっても与えない制御ができればなおいい。これができないと、ルート権限を乗っ取られると重要情報にも自由にアクセスでき、ログの改竄も可能となりかねない。ログはデータベースとは別の専用サーバーで管理し、そこへのアクセスはセキュリティ管理者などの特別な権限を持った人だけにできるといいだろう。
また、データベースでアクセスコントロールを行い、詳細にログを収集していても、それだけで漏洩を防げるわけではない。実際にそのデータベースの利用状況を日常的に監視し、適切なタイミングで監査ができなければならない。データベースのアクセスコントロール機能は、権限のない人がマイナンバーにアクセスすることを阻止できるが、権限がある人の行為は止められないためだ。
権限を与えている人は信用度も高く、その人が悪さを働くことまで考えられないかもしれない。とはいえ、たとえば家族を人質に取られ不正アクセスを強要されたら、信用できる人物も犯罪を起こす。大事なのは重要な情報にアクセスする権限があっても、それが不正なアクセスであれば素早く発見し阻止できるようにすることだ。
ホワイトペーパー資料『マイナンバーはデータベースで守れ！企業の重要データを守るための最新DBセキュリティの勘所』（全10ページ、無料PDF）公開中！！
マイナンバーにおける企業システム対応の注意点と、DBセキュリティの重要性や選定ポイントなどを詳しく解説しています。
本ホワイトペーパー資料は、EnterpriseZine/DB Online編集部が制作（協賛：日本アイ・ビー・エム社）した解説資料です。ぜひ、本資料をダウンロードいただき、適切な企業のマイナンバー対応とセキュリティ対策に関する参考資料としてお役立てください。
