１． 情報という言葉の定義

(ア)

情報とは”情けに対して報いる行い”を情報と言うのだと思います。コンピュータはデータを処理します。このデータを上手く利用し、データの提供者に報いる事が出来る行為を情報処理と言うのだと思います。つまり、誰でもがデータを見る必要は無いのです。

２． 現在のシステム管理

(ア)

データベース管理、アカウント管理、セキュリティ管理、アプリケーション管理と言うような４つの管理をたった1人の管理者が行っている。と言うのが実態ではないのでしょうか？1人ではなくても行おうと思えば何時でも1人で全ての管理が出来るのではないのでしょうか？データベースシステムの起動停止、新たなテーブル作成、データのバックアップからロード等々、何でも出来るのでは無いのでしょうか？この様な管理の場合のリスクとして考えられるのがデータの不正操作、情報の漏えいです。私が以前（１０年以上前）にＳＥをしていた時納品したシステムでデータが消えると言うトラブルが発生した事があります。原因は会社を辞めた管理者が、”データを自動的に消す”爆弾プログラムを仕掛けていた事が後の調査で判明した事があります。この様な事例は稀かもしれませんが非常に大変な事に成りました。

３． システム管理のあるべき姿

(ア)

データベース管理者の業務は、データベースの起動停止などの業務をこなしていただき事が主たる業務ですので、実際のデータに対するアクセスは不要ですので暗号化されているデータは復号化する必要はありません。

(イ)

アカウント管理者の業務は、データベースユーザの作成や変更ですので、実際のデータに対するアクセスは不要ですので暗号化されているデータは復号化必要はありません。

(ウ)

セキュリティ管理者の業務はアクセス制御ですので、アクセスの経路や範囲などの設定及び管理ですので、実際のデータに対するアクセスは不要ですので暗号化されているデータは復号化必要はありません。

(エ)

アプリケーション管理者の業務は新たに開発したアプリケーション（ＳＰ等々）を登録したりアクセス権をアプリケーションに与えたりする事が主たる業務ですので、実際のデータに対するアクセスは不要ですので暗号化されているデータは復号化する必要はありません。

４． システム開発

(ア)

アプリケーション開発は自社内で行われたりコンピュータメーカーやソフトハウスに発注して作成される事が一般的かと思います。アプリケーション開発の流れは企画、基本設計、詳細設計、プログラム設計、プログラム開発、単体テスト、結合テスト、総合テストといった所が一般的な流れかと思います。この流れの中で本番データをあえて必要とする部分を考えると”総合テスト”になりますが、本番データを組み替えたりすれば十分可能ですし、又自動的にデータを作る事も可能ですので全く必要ないとも言えます。

５． システム利用者

(ア)

ここでは本当の情報しか必要ありません。営業の方はお客様の情報、人事部の方は人事情報が無いと話しに成りません。しかし、全員が情報全てが必要かというと必用はありません。東京の営業マンが大阪の営業マンが担当しているお客様の情報を見る必要がありますか？ほとんどありません。東京の営業は東京のお客様の情報が必要で、大阪の営業マンは大阪のお客様の情報が必要なのです。しかし、全国の営業を束ねていらっしゃる本部長などは全ての情報が必要に成ります。この様に職務分掌により情報のアクセス権を変える必要があります。

(イ)

業務運用に来て初めて情報という言葉を使わせていただいております。感の良い方ならサッシがついているかと思いますが、例えば、お客様から提供されたお客様の情報をお客様の為に使える人はお客様に良い御社の製品を提供する営業の方だけなのです。ですから情に報いる事が可能なのかと思います。

６． 三権分立

(ア)

上記までの説明で、システム運用やアプリケーション開発という業務内容も全く違うシチュエーションに本番データが不要な事がご理解できたかと思いますが、ＳＯＸ法が登場して三権分立が加速する事になります。何故ならば、”ITを誰が何の目的でどのように使うのかをはっきりさせること”つまり”職務分掌”が重要な要素となってきます。ガイドラインには”ＩＴを”と記載されていますが”ＩＴを利用し情報を誰が何の目的でどのように使うのかをはっきりさせること”が正確な文書のような気がいたします。何故ならば、情報を利用する必要のある人が効率的に利用できるようにする事がＩＴの目的だからです。
つまり、システム開発者、システム管理者、システム利用者の職務分掌を考えればシステムの三権分立は必然性だといえます。この事を実現する為にもＤＢセキュリティは重要なインフラ技術と成ってきます。
セキュリティと言うとコストと考える方が多いですが欧米での調査ではＩＴ統制を成功させた企業は株価が平均27.6％上昇しＩＴ統制をしない企業は‐5.7％も下がったと言う調査結果があります。これからはＤＢセキュリティは投資とお考えいただければ幸いです。

あとがき

最後までつたない文章を読んでいただき感謝いたします。　又、本投稿を掲載いただいたSys-Docのスタッフの方々、ありがとうございます。
サーファーゲート社はシステムに関係する方々が安心してシステムの運用が出来る事を望んでDBセキュリティeサイファーゲートを作成してまいりました。皆様のインフラ技術として少しでもお役に立てれば幸いです。