先般、2010年2月16日（火）、ベルサール神保町にて「第5回データベース・セキュリティ・コンソーシアム(DBSC)セミナー」を開催いたしました。

会場には約180名のお客様がお集まりくださり、基調講演やWG活動報告に熱心に耳を傾けている姿が多く見られ、盛況のうち閉会いたしました。

---

【開会挨拶】

DBSC会長を務めていただいている、東京電機大学未来科学部情報メディア学科　教授工学博士 　安田先生による開会のご挨拶から始まりました。

安田会長からは「教育クラウド」という観点で、これからの教育におけるICT環境について語っていただきました。クラウド化していくうえで様々な課題があるが、情報が保管されるのはデータベースであることから、DBセキュリティ対策は非常に重要であると考えられているそうです。

【基調講演１】

総務省の情報セキュリティ政策を担当している中野様から、インシデント情報共有・分析の「Telecom-ISAC Japan」、CCC（サイバークリーンセンター）を中心としたボット対策プロジェクト、情報基盤強化税制などの政策を非常にわかりやすく説明していただきました。

中でもクラウドに関してはまだ、ITが未発達の分野である医療、農業、教育などへの活用や標準化施策、国際協調などを交え、ますます、扱うデータとそれらを格納するDBの重要性についても言及し、本コンソーシアムへの期待がうかがえました。

【基調講演２】

国際マネジメントシステム認証機構の上野様から、「オンサイト監査から見えるPCI DSS」というテーマでご講演をいただきました。

オンサイト監査の実情として、PCI DSS監査を実施するには監査対象範囲の決定が重要であるが、対象システム環境によっては広範囲になり対策に莫大なコストがかかってしまうため、対象範囲を明確にすることが重要であり、そのキーワードとして「カードデータを保存・処理・伝送している箇所の特定」「ネットワークセグメンテーションによる境界分離」「第三者、アウトソーシング先の取り扱い」があるということです。

また、PCI DSSのすべてに対応することは現実的に難しいという認識もあり、現実的な解としていくつかの例を上げながら「代替コントロール策をうまく利用すること」だと強調されていました。

【WG活動報告1：統合ログWG】

S&Jコンサルティングの三輪様から、統合ログWGの目的と計画について説明していただきました。

ログで何ができるかを理解せずに、収集しているだけのケースが目立つそうです。

WGでは最も守るべき情報に近いデータベースのログを中心に、「ログで何を見つけるのか、そのためにはどのようなログが必要か」を明確にした「統合ログマネジメントサービス」のガイドラインを2010年6月に公開する予定とのことです。

【WG活動報告2：DBセキュリティガイドライン英語版レビュー&プロモーションWG】

NRIセキュアの矢野様から、現行のデータベースセキュリティガイドラインの翻訳とそのプロモーション案について説明していただきました。

これまでのDBSCは国内向けの成果物のみでしたが、今後は反応によっては他の成果物についても翻訳、グローバル発信を目指すという非常に活力のあるプレゼンテーションでした。

【WG活動報告3：DBセキュリティ安全度セルフチェックWG】

ラックの須田様から、セミナーに合わせて公開した「DBセキュリティ安全度セルフチェック統計レポート第２版」が紹介されました。

DBセキュリティの対策が不十分なサイトが75%以上を占めている中、今回は、特に「アカウント管理」の実施率の低さに注目して、レポーティングされています。

詳細はhttp://www.db-security.org/report/dbsc_selfck_ver2.1.pdfを参照。

【WG活動報告4：DBセキュリティ監視ガイドラインWG】

ラックの吉岡様から、「DBセキュリティ監視運用ガイドラインWG」が紹介されました。

「第2次情報セキュリティ基本計画」の重要メッセージのひとつである「事故前提社会」を考えると、早期にインシデントを発見するためのセキュリティ監視が重要であるという。ガイドライン作成にあたっては、申請ベースのデータベースアクセス運用を前提に、必要な監視体制を構築し運用することが重要で、データベース監視特有のものを取り上げたいとのことでした。

【閉会挨拶】

DBSCは、世界でも類を見ないデータベースセキュリティに特化したコンソーシアムという特徴を持っています。
今後も一層活動内容を深めていき、データベースセキュリティに関する情報発信、普及・啓発活動に注力してまいります。

---

来年もセミナーの開催を予定しておりますので、まだご参加されていない皆様も是非一度、足を運んでくださいましたら幸いに存じます。

今後ともデータベース・セキュリティ・コンソーシアム（DBSC）を、よろしくお願い申し上げます。