CloudWorld Osaka 2018 ダウンロード資料

Transcription

1 情報漏洩の原因からみる最後にデータを守るための 3 つの対策 - アセスメント事例にみる背景とその効果 Oracle CloudWorld Osaka 日本オラクル株式会社 Cloud Platformビジネス推進本部シニアマネージャー大澤清吾 2018 年 1 月 26 日 Copyright 2018 Oracle and/or its affiliates. All rights reserved.

2 以下の事項は 弊社の一般的な製品の方向性に関する概要を説明するものです また 情報提供を唯一の目的とするものであり いかなる契約にも組み込むことはできません 以下の事項は マテリアルやコード 機能を提供することをコミットメント ( 確約 ) するものではないため 購買決定を行う際の判断材料になさらないで下さい オラクル製品に関して記載されている機能の開発 リリースおよび時期については 弊社の裁量により決定されます Oracle と Java は Oracle Corporation 及びその子会社 関連会社の米国及びその他の国における登録商標です 文中の社名 商品名等は各社の商標または登録商標である場合があります 2

3 昨今のセキュリティトレンド 万件件数 2017 年の全世界の情報漏洩 69% 2018 年 内部からのデータ漏えいが全インシデントに占める割合 EU GDPR PCIDSS でデータ保護対策が必要 出典 :Verizon データ漏えい / 侵害調査報告書 2013 出典 :Forrster Copyright 2018 Oracle and/or its affiliates. All rights reserved. 3

4 SECURITY PART OF OUR DNA 1977 年からビジネス スタート 最初の顧客は CIA マーケットのリーダー 米国政府の要求に応えるセキュリティ技術 Oracle Security Software Assurance による製品としてのセキュリティの確保 Immediate Focus On SECURE DATA 4

5 データベース セキュリティ対策が求められるガイドライン 5

6 データベース セキュリティ対策が求められるガイドライン /25 EU 一般データ保護規則 (GDPR) EU の個人データを収集 処理を行う事業者に対して義務が発生 2018 今日 3/31 PCIDSS 加盟店 ( 非対面 ) 加盟店契約会社, カード発行会社の準拠が必要 /30 8/31 改正個人情報保護法全面施行 個人情報や個人符号番号に対する安全管理措置の準拠が必要 政府機関等の情報セキュリティ対策のための統一基準群 平成 28 年度が公開 データベースに関する項目が新設 6

7 どんな情報を保護するべきか ( 国内 ) 守るべき情報は非常に多岐にわたる 改正個人情報保護 個人を識別できるもの 個人識別符号 具体例 具体例 1. 本人の氏名 生年月日 連絡先 ( 住所 居所 電話番号 メールアドレス ) 2. 特定の個人を識別できるメールアドレス 3. 本人の氏名を組み合わせて 個人が特定できる情報 ( 職位 所属 クレジット番号 社員番号など ) 4. 特定の個人を識別できる音声録音情報 映像情報 1. 公文書に振られた番号マイナンバー パスポート番号 基礎年金番号 運転免許証の番号 健康保険の被保険者証など 2. 生体情報 :DNA や顔 虹彩 歩き方 指紋 掌紋など PCIDSS クレジットカード情報 具体例 1. カード番号 有効期限 会員名 サービスコード 7

8 どんな情報を保護するべきか (EU GDPR) EU 域内で取得した 個人データ を 処理 し 第三国に 移転 を満たすための要件 個人データ 識別された または識別され得る自然人 ( データ主体 ) に関するすべての情報識別子 具体例 1. 識別子 : 氏名 識別番号 位置データ オンライン識別子 (IP アドレスやクッキー RFID 等 ) 2. 当該自然人に関する物理的 生理的 遺伝子的 精神的 経済的 文化的又は社会的アイデンティティに特有の一つまたは複数の要素 処理 個人データ または個人データの集合に対して行われる あらゆる単一の作業 または一連の作業 具体例 1. クレジットカード情報の保存 メールアドレスの収集 顧客の連絡先詳細の変更 顧客の氏名の開示 2. 上司の従業員業務評価の閲覧 全従業員の氏名や社内での職務 事業所の住所 移転 EU 域外の第三国の第三者に対して個人データを閲覧可能にする行為 具体例 1. 個人データを含んだ電子データを EU 域外に送付 8

9 ご参考 :GDPR 対応のポイント 明示的同意取得とデータセキュリティ対策について 9

10 各種ガイドラインにおけるデータ セキュリティ対策の要件の記載 名称セキュリティ強化への取り組み対象 改正個人情報保護法 PCIDSS EU 一般データ保護規則 (GDPR) 政府機関等の情報セキュリティ対策のための統一基準 2015 年 9 月 : 法律が成立 公布 2016 年 11 月 : ガイドラインが公開 保護するべき個人情報が明確化 通則編に アクセス制御 暗号化 監査 検知 マスキングが記載 2004 年 12 月 :PCI DSS 制定 2013 年 11 月 :v3.0にバージョンアップ 暗号化 アクセス制御 監査 マスキング 構成管理が記載 1995 年 10 月 :EUデータ保護条令が採択 2016 年 5 月 :EU GDPRが発布 暗号化 アクセス制御 監査 検知 マスキングの要件が記載 2005 年 9 月 : 政府機関の情報セキュリティ対策のための統一基準公開 2016 年 8 月 : 平成 28 年度版公開 データベースの項目が新たに追加 管理者権限分割 アクセス制御 監査 検知 暗号化が記載 個人情報を保持している事業者 及び業界団体 クレジットカードを取り扱う企業 EU の個人データを収集 処理を行う事業者 政府機関官公庁 独立行政法人等 暗号化 伏字化 アクセス制御 監査 検知 10

11 実際に起きている攻撃手法 11

12 予防的見的利用証跡の取得漏れ 情報不足監査 検知発それぞれのリスクにおける代表的な手法とそのリスク 手法 リスク 対策 物理盗難 Disk 持出 OS 管理者の悪用 OS 管理者権限によるDBのファイルの持出 暗号化 DB 管理者の悪用 管理者権限により全データを参照 改竄 アプリ共有 DBユーザ悪用 アプリが管理する全データを参照 改竄 アクセス制御 アプリユーザ悪用 アプリのユーザーによるデータの参照 リスク 対策 12

13 Oracle Database セキュリティ リスク アセスメント 13

14 Oracle Database セキュリティ リスク アセスメントスクリプトとヒアリングを元にリスクを可視化し 推奨する対策と優先対策事項をご提案 1 対象システムを選定し スクリプトとヒアリングで 現在の状況を確認 2 発見したリスクをリストし 可視化 1 現在の状況をスクリプトとヒアリングで確認 2 ロールや特権の設定状況 暗号化 アクセス制御状況 DB の初期パラメータの設定 アカウントの設定 運用状況 監査の設定状況 ネットワーク構成スクリプト ヒアリング 発見したリスクの一覧 3 リスクの大きさと対策実施のコストから実施優先順位をご提案 4 優先対策事項のご提案 3 対策実施の優先順位のご提案 4 優先対策事項のご提案と推奨対策実施による効果の可視化 14

15 リスク軽減のための施策と各種ガイドライン記載事項 技術的施策 1 暗号化 伏字化 2 アクセス制御 ( 権限分掌 ) 3 監査 検知 運用面施策 4 セキュアな構成 運用 5 アカウント管理 名称 PCIDSS 政府機関等の情報セキュリティ対策のための統一基準 改正個人情報保護法 EU 一般データ保護規則 (GDPR) セキュリティ強化への取り組み 2013 年 11 月 :v3.0にバージョンアップ 暗号化 (1) アクセス制御(2) 監査(3) マスキング (1) 構成管理(4) が記載 2005 年 9 月 : 政府機関の情報セキュリティ対策のための統一基準公開 2016 年 8 月 : 平成 28 年度版公開 データベースの項目が新たに追加 管理者権限分割 (2,5) アクセス制御(2) 監査 検知 (3) 暗号化(1) が記載 2015 年 9 月 : 法律が成立 公布 2016 年 11 月 : ガイドラインが公開 保護するべき個人情報が明確化 通則編にアクセス制御 (2,5) 暗号化(1) 監査 検知 (3) 伏字化(1) が記載 1995 年 10 月 :EUデータ保護条令が採択 2016 年 5 月 :EU GDPRが発布 暗号化 (1) アクセス制御(2) 監査 検知 (3) 匿名化 仮名化(1) の要件が記載 15

16 オラクルセキュリティソリューション 16

17 1. 暗号化 :Oracle Advanced Security Transparent Data Encryption(TDE) データベースの暗号化 アプリケーションからは透過的 高 1. アプリケーションの改修なく実装可能 暗号化処理量 (MB/ 秒 ) 10 倍のスループット 8 倍のスループット 2. CPU 内でデータの暗号化 / 復号処理を実行 (*) => パフォーマンス劣化を防止 3. 既存の表領域をそのまま暗号化する新機能提供 (11gR2,12cR1/R2 で利用可 ) 低 AES-NI 無し Xeon 5570 IPP 無し 暗号化 AES-NI 有り Xeon 5570 AES-NI 無し Xeon 5570 IPP 有り IPP 無し 復号 AES-NI 有り Xeon 5570 IPP 有り AES-NI の使用有無による暗号化処理データ量 (MB/ 秒 ) の比較 * Intel Xeon 5600 番代以降 SPARC M6 以降の CPU で対応 17

18 事例 : ベリトランス様 PCIDSS 対応の課金決済プラットフォームを構築 暗号化 強固なセキュリティと高速な処理機能を実現 PCI DSS に対応した課金決済プラットフォームをリニューアル 従来 データベース暗号化技術 Oracle Advanced Security を導入済 今回のリニューアルでは Oracle Exadata と Oracle Advanced Security の組み合わせにより 強固なセキュリティと高速な処理機能を併せもった より高性能なプラットフォームを実現 AMERICAN EXPRESS VISA DISCOVER PCI Security Standards Council MasterCard JCB 18

19 2. アクセス制御 : Oracle Database Vault 重要情報保護のために必要なシステム管理者の職務分掌 機密情報取扱事務実施者 一般利用者 それ以外 ルールセット 時刻 = 8:00~19:00 DB 機密 個人情報 DB 管理者であっても 管理業務に必要ないデータへのアクセスを禁止する DB 管理者 セキュリティ管理者 サーバ管理者 それ以外それ以外それ以外すべて 曜日 = 月 ~ 金 IP アドレス = xxxxx 業務データ DB 運用管理情報 ユーザ アカウント 必要に応じてルールを適用し 時間帯や IP アドレスでアクセスを制限する DB 管理者またはその成りすましによる不正閲覧 改竄 監査証跡削除を抑止し 情報漏洩リスクを最小化します Database Vault はアプリケーションからは透過的であり アプリーケーションの改修は必須ではありません 19

20 2. アクセス制御 : Oracle Database Vault 特権ユーザー管理の強化対策事例 : ヤフー様 アクセス制御 個人情報を扱うデータベースについては 重要データを暗号化し 物理的にも隔離された専用のセキュアルームからしかアクセスできないようになっています 当然ながら 24 時間 365 日しっかりと監視も行われています と語るのは システム統括本部インフラ技術本部インフラ技術 2 部 DBMS 技術リーダーの尾崎弘宗氏 セキュアルームからのみのアクセスで さらには 24 時間の厳重な監視がなされていても データベース管理をする立場のエンジニアであれば データベースにアクセス可能なユーザー権限を持っている 管理者であれば管理者権限という 特権 を持っているので 機密情報にもアクセスできるのは当たり前だろう しかしながら しっかりとした監視体制を敷きながら 管理者はアクセスできる という事実そのものが Yahoo!JAPAN では問題だというのだ 記事抜粋 20

21 3. 監査 検知 : 標準監査機能, Oracle Audit Vault and Database Firewall 網羅的なログ取得と取得したログの集約 一元管理 オラクルデータベースが提供する監査機能 各 DB が取得したログを集約 一元管理 一般ユーザに対する監査 標準監査 対象をより詳細に絞った監査 ファイングレイン監査 監査ログ アラート レポート DBA の行動監査 DBA 監査 ポリシー 統合的な新しい監査 (12c~) Unified Auditing Oracle Audit Vault and Database Firewall ファイングレイン監査 特定の行 列 レコード単位で監査条件を絞り込み 定義した操作 ( 参照 更新 削除 追加 ) でログ取得 実行した SQL 文も記録される 漏洩範囲の特定に使える 利用者を特定した監査取得が可能 Oracle Audit Vault and Database Firewall オラクルほか他社のデータベース製品および OS などのログを一括収集 管理 収集したログをレポート アラートし 不正な操作の早期検知 暗号化 特権管理により証跡を改竄 削除されないよう保全 21

22 顧客事例 : 楽天証券様 暗号化 マイナンバー対応を機に顧客情報管理基盤を多層防御のアプローチで構築 利便性 と セキュリティ強化 を両立することで新規顧客の獲得が増加 アクセス制御 監査 検知 DB アクセス制御 暗号化 監査で高セキュアな個人情報管理を 6 カ月で実現 Oracle Advanced Security により マイナンバーや個人情報関連をすべて暗号化 Oracle Database Vault により 特権ユーザーのアクセス制御 / 職務分掌により外部からの脅威に対応 また 相互監視による牽制効果により内部不正への対策をより強化 Oracle Audit Vault and Database Firewall により データベース内での不正アクセスおよび暗号鍵など OS が管理するファイルの監査 監視を実現 Oracle Consulting から提供された知見とノウハウを活用することで最小限の開発期間で高度なセキュリティ基盤を構築 22

23 データ保護対策事例 : バンダイ様 EC サイト プレミアムバンダイ を Oracle Exadata で刷新し 会員の個人情報を高度なセキュリティで保護 グローバル展開も見据えた処理性能向上を実現 DB サーバ性能 個人情報保護強化の課題を Oracle Exadata とデータベースセキュリティ製品で解決大幅な性能向上 - バッチ処理 : 21 分 2 分 39 秒 ( 会員情報洗い替え処理 ) 57 分 38 秒 8 分 29 秒 ( 会員受注集計処理 ) - 平均処理性能 10 倍以上に向上 (45.4[TPS] 488[TPS]) 個人情報保護強化 - Oracle Advanced Security によるデータの暗号化 - Oracle Database Vault による管理者によるアクセスを厳密にコントロールを実現 - Oracle Audit Vault and Database Firewall で監査 監視し Oracle Data Masking and Subsetting でテスト環境を保護 暗号化 アクセス制御 監査 検知 23

24 データベースを中心にセキュリティ対策を実装することのメリット アプリケーション側での実装 データベース側の実装 コスト アプリの改修 H/W 増強 アプリの改修 コスト 将来的には大きなコストメリット H/W 増強 アプリの改修 対象追加 対象追加 対象追加 アプリの改修 データベースに実装 保護すべきデータ 個人情報マイナンバー個人符号番号制御情報 保護するデータの種類 対象システム数 個人情報マイナンバー個人符号番号制御情報 保護するデータの種類 対象システム数 今後保護するべきデータはますます増加する事が予想される データベース側で実装する事で 最小限の変更箇所で対応する事が出来るため 将来のセキュリティ要件の追加時に迅速かつ低コストで行える 24

25 防的発見的 Oracle, 他社 DB, OSの監査ログも一括収集予それぞれのリスクにおける代表的な手法とそのリスク 手法リスク対策製品特長 物理盗難 OS 管理者の悪用 DB 管理者の悪用アプリ共有 DB ユーザ悪用アプリユーザ悪用 Disk 持出 OS 管理者権限による DBのファイルの持出管理者権限によりDB 上の全データを参照 改竄アプリが管理する全データを参照 改竄アプリのユーザーによるデータの参照 暗号化 アクセス制御 Advanced Security アプリケーションの改修なく設定で実装可能 パフォーマンス劣化を極小化 Database Vault Identity Management DB 管理者でも 機密情報へのアクセス禁止 時間帯や IP アドレスで不正アクセスを制限 多要素認証による不正アクセスの防止 不要ユーザ削除によるリスク軽減 リスク対策製品特長 DBへの問合せ内容の一括収集/ 管理 / 分析利用証跡の取得漏れ Audit Vault and 監査 検知 取得したログの保全情報不足 Database Firewall オラクルであれば 既存のシステムへの影響を極小化して実装可能 短期間での実装 対策コストの削減が可能 25

26 ご参考 : データベースセキュリティ対策の関連情報 データベースセキュリティ ブログ ( データベース セキュリティナビ ) 本日ご紹介した内容のより詳細な情報をご紹介 基本的な考え方 テーマ毎の解説 アセスメントツール等 データベースセキュリティ で検索 今さら? 今こそ! データベースセキュリティ (@IT) それぞれのトピック毎にわかりやすく解説 1. なぜ 今 データベースセキュリティ なのか 安全なデータベースに必要な 5つ の基本 2. なぜ データベースセキュリティが必要か 企業の対策率 たった20% の現状 3. 講じなければならない ならば話は別データベースセキュリティが 各種ガイドライン に記載され始めている事実 4. データベースセキュリティに求められる 3つの軸 とコストの最小化 5. データベース暗号化が必要な 理由 と 3 大方式 を理解する 6. データベースの暗号化 まず 何を どのように 実施すべきか 7. Oracle Databaseの 透過的データ暗号化機能 とは何か 8. Oracle Databaseのさまざまなデータ 通信暗号化機能をマスターする 9. 安全なデータベース運用 設定は具体的にどうすればいいのか ( セキュリティ関連の初期化パラメーター一覧付き ) URL: 26

27 Oracle Management and Security Solution 統合セキュリティ分析 統合 IT 運用分析 クラウド利用監視 (CASB) ID アクセス管理 ログ収集 分析 アプリケーション インフラ運用監視 Amazon クラウド Azure O365 box Slack Oracle G Suite FW PC AP サーバー DB オンプレミス データベースセキュリティ Copyright 2018, Oracle and/or its affiliates. All rights reserved

28 Oracle Management and Security Solution データベースセキュリティ Advanced Security Key Vault Database Vault Data Masking and Subsetting Audit Vault and Database Firewall 透過的なデータベースの暗号化暗号鍵の安全かつ確実な管理データベースの特権ユーザ (DBA) の権限分離開発 検証環境における機密情報の伏字化 DB OSなど 網羅的な監査証跡の取得 管理 ID アクセス管理 Identity Management 様々なアプリケーションへの ID 管理 アクセス管理の統合 Identity Cloud Service クラウド型の ID 管理 (IDaaS) による ID 管理 認証統合 クラウド利用監視 CASB Cloud Service クラウド上のユーザー行動の可視化とポリシー違反の検知 統合セキュリティ分析 Security Monitoring and Analytics Cloud Service あらゆる運用データの相関分析とセキュリティ脅威の可視化 Configuration and Compliance Cloud Service IT アセスメント自動化によるシステム脆弱化の防止 ログ収集 分析 Log Analytics Cloud Service あらゆる IT 環境のログ収集 分析と問題点の可視化 アプリケーション インフラ運用監視 Application Performance Monitoring Cloud Service アプリケーション性能とユーザー体験を可視化し問題点の発見 Infrastructure Monitoring Cloud Service IT インフラストラクチャ全体の稼働状況監視 Orchestration Cloud Service オンプレ クラウドのタスク実行とアクションの自動化 統合 IT 運用分析 IT Analytics Cloud Service IT リソース状況を横断的に分析しリソースの最適配置を支援 Copyright 2018, Oracle and/or its affiliates. All rights reserved. 28

29 ご参考 : 新しい 4 つのカタログ GDPR 対応のポイント 明示的同意取得とデータセキュリティ対策について 技術 人 プロセスの連携で高度なセキュリティを実現する Oracle Cloud Platform Oracle Security Solution クラウドセキュリティに必須のソリューション Cloud Access Security Broker(CASB) 導入のポイント クラウド時代の運用管理とセキュリティ対策の最適解 ( カタログ ) 29

30 技術 人 プロセスの連携で高度なセキュリティを実現する Oracle Cloud Platform 30

31 クラウドセキュリティに必須のソリューション Cloud Access Security Broker(CASB) 導入のポイント 31

32 クラウド時代の運用管理とセキュリティ対策の最適解 ( カタログ ) 32

33 Oracle Digital は オラクル製品の導入をご検討いただく際の総合窓口 電話とインターネットによるダイレクトなコニュニケーションで どんなお問い合わせにもすばやく対応します もちろん 無償 どんなことでも ご相談ください 33

34 34

35