DBA実態調査WGによる“2017年度版 DBA1000人に聞きました” （中間報告）（※本ワーキンググループ名は「DBA意識調査WG」から「DBA実態調査WG」に途中で改名した）

2018年10月30日

調査の目的① 国内のデータベースはどの程度、暗号化やアクセスコントロールといった技術的なセキュリティ対策の実装が進んでいるのか
最新の実態を調査する
2013年に実施した前回調査から、約4年の間における進捗の有無を推し量る② DBAが、所属組織における情報セキュリティマネジメントやCSIRT活動に対して、どのような関わりを持っているか高度化する攻撃に対する組織単位の防衛のため、企業におけるCSIRT構築が進んでいる点を踏まえ、DBAと全社セキュリティの関係を調査する
 平時のシステム開発プロセスを考えると、脆弱なシステムを作らないためには設計段階からセキュリティを考慮する必要がある。従って、DBA等のデータベースをよく知っている人材が関与して要件定義から実施するべきである。
開発の実態はどうなのか？
 インシデント発生時にデータベースに被害が及んだ場合、被害内容や深刻度、暫定対応や発防止策を検討する
場合、データベースの専門的知見が必要になるが、通常のCSIRTメンバーにそういう人はいるのだろうか？

（※本ワーキンググループ名も上記調査内容を踏まえて、「DBA実態調査WG」に改名した）
2“2017年度版 DBA1000人に聞きました” （中間報告）

調査の概要実施日 ：2017年12月23（土）～24日（日）
調査方法：Webによるアンケート
調査対象：全国対象・最終サンプル数1,000人（事前のスクリーニングにより、データベースに関連した仕事をしている回答者のみに限定）
 質問概要① DBAから見て 「データベースに対してどの程度セキュリティ対策が行われているか」の観点において、経年変化を確認すべく前回と同じ観点で質問した② DBAが「所属組織のセキュリティ・ポリシー策定やインシデント対応にどのように関わっているか」について質問した
 回答方法 セキュリティ対策の実施状況（一部項目は除く）
1（はい）、2（一部だけ「はい」）、3（いいえ）、4（わからない）の4つから選択とした
 DBAが所属組織のセキュリティ・ポリシー策定やインシデント対応にどのように関わっているか（一部項目は除く）
1（はい）、2（一部だけ「はい」）、3（いいえ）、4（わからない）の4つから選択とした
 質問内容、質問数① 「データベースに対してどの程度セキュリティ対策が行われているか」 DBAが特に関心を持っているセキュリティ問題 (9問)
 データベースにおけるセキュリティ対策の実施状況 (33問)② 「所属組織のセキュリティ・ポリシー策定やインシデント対応にどのように関わっているか」 全社セキュリティ施策とDBAの関わり
(55問)

3

“2017年度版 DBA1000人に聞きました” （中間報告）

調査の概要 調査対象の内訳
DBA歴
単位：人

社内のDBA人数

1年未
満

1名のみ

166
3年以

486

203

上

304

3名以上

1－3年2名

631

210
1年未満

1－3年3年以上

1名のみ

2名

役職

データベースに関わる立場
その他専門職・特アプリ開発者とDB関連業務をDB管理者

兼業

420

別職等

部長相当

188

194

294

一般社員相
DB運用者

当467

251
DB開発者

課長相当
168

係長・主任相当199

179

43名以上DB管理者

DB開発者

部長相当

課長相当

DB運用者

アプリ開発者とDB関連業務を兼業

一般社員相当その他専門職・特別職等“2017年度版 DBA1000人に聞きました” （中間報告）

係長・主任相当

① 「データベースに対してどの程度セキュリティ対策が行われているか」 ウェブ・アプリケーションからの攻撃への対策状況

 権限、ID管理の対策状況

1000
162

164

157

296

246

800
218136
182

600

800

132131

239

225

620

540

597

682

629
200

0

0

いいえ

わからない

 アクセス制御（DBセグメントへのアクセス制御」は、全体の21％が未実施

 IPS/IDS、NGFW、サンドボックス、ネットワーク分析といった広義の侵入検知については、導入状況は54% パッチの適用状況を管理できている割合は59.7％“2017年度版 DBA1000人に聞きました” （中間報告）

134
173

400

200

はい140141

417

693

644

615
447443

はいいいえ

136

244

417

600

400

5

1000

わからない 不要なIDを管理できていないと回答した割合が23.9%
 共有IDを使用していると回答した割合が44.3%
 強固なパスワードポリシーを強制していると回答した割合が61.5%

①「データベースに対してどの程度セキュリティ対策が行われているか」（経年変化）（1/2）

関心を持っているセキュリティ上の脅威の推移
アプリケーションの脆弱性を突いたＳＱＬインジェクションによる情報漏えい
管理者あるいは悪意を持った内部者による不正操作

内部セグメントにおけるＤＢ通信パケットの盗聴
ＤＢＭＳ関連ファイルの改ざんによる情報の改ざん、破壊アプリケーションの脆弱性を突いたＳＱＬインジェクションによる情報改ざん
ＤＢアカウントに対するパスワード辞書攻撃による不正ログイン
ＤＢＭＳの脆弱性や設定ミスを悪用した攻撃
ＤＢＭＳ内またはＤＢサーバに対するバックドアの作成
バックアップメディアの盗難・紛失
0

100
200
2013年結果

300

400
2017年結果

500600 前回の回答数が多く関心を集めていた項目は回答数を減らし、回答数が比較的少なかったものは回答数が増えたものが多く、より様々なセキュリティ上の脅威に対して関心が分散している 前回関心を集めていたSQLインジェクション、内部不正、バックアップメディアの盗難・紛失という上位に順位の変化はなく、強い関心を集めている項目には変化がない

6“2017年度版 DBA1000人に聞きました” （中間報告）

①「データベースに対してどの程度セキュリティ対策が行われているか」（経年変化）（2/2）
アカウント管理に関するセキュリティ対策状況の変化
1000
800

600
4002000
2013年

2017年

2013年

2017年

2013年

パスワードポリシーの有無 パスワードポリシーの強制

2017年

多要素認証の導入

2013年

2017年

2013年

2017年

2013年

2017年

2013年

2017年

不要なIDの削除ポリシー 不要なIDの削除の強制 開発者・運用者の個人ID 管理者アカウントのパスの有無はいいいえの利用

ワードの共有わからない

アクセス制御に関するセキュリティ対策状況の変化
1000
800
600
4002000
2013年

2017年

2013年

2017年

2013年

2017年

2013年

2017年

2013年

2017年

2013年

2017年

2013年

2017年

表やビューに対するアクセス 列や行レベルのアクセス制 運用アカウントへのアクセス 管理者でないのにDBA権 権限の付与状況の把握 DBサーバー上のファイルへ DBサーバーへのネットワー制御

御制御

限を持っているはい

いいえのアクセス制御

クレベルのアクセス制御

わからない パスワードポリシーや不要なシステムでの強制、多要素認証の導入など高度なシステム化が進んでいる状況がみられる一方で、開発者・運用者の個人IDの利用が減り、管理者アカウントのパスワードの共有が増えている。また管理者でないのにDBA権限を持っているという回答が増え、権限の付与状況を把握しているという回答が減っている 今まではないと思っていたアカウントの共有が実は行われていることがセキュリティ意識の向上によって見える化した結果も含まれている可能性がある7“2017年度版 DBA1000人に聞きました” （中間報告）

②「所属組織のセキュリティ・ポリシー策定やインシデント対応にどのように関わっているか」
組織の情報セキュリティポリシー遵守を目的として、あなたが執筆した設計書や手順書がレビューを受けたことがあるか担当システムのセキュリティ要件を作成する過程でDBAは参加しているか
わからない

13.8
わからない
11.8
はい
49.9

いいえ

38.3

はいいいえ
はい

27.6

58.6

いいえ

わからない組織の情報セキュリティポリシー遵守を目的として、意識向上のための教育および訓練を受けたことがあるかわからない

はい

いいえ

システムにセキュリティ上の問題、異常を検知した際に、DBAはトリアージ作業（実際に問題が発生したかどうかの切り分け作業）に参加することになっているかわからない

11.5

17.6%

いいえ
はい28.1

はい8

いいえ

わからない

はい
28.7%

わからない

はい

“2017年度版 DBA1000人に聞きました” （中間報告）

53.7%

いいえ

60.4

いいえ

わからない

まとめ（1/2）

 関心のあるセキュリティ問題としてウェブ・アプリケーションからの攻撃をあげたDBAが最も多かったにも関わらず、対策の導入状況はそれほど高いとは言えない状況であることが確認された
 運用上IDを使いまわしており、特権ユーザ以外にも同等の権限を付与しているという回答も多いことから、ID管理について課題が残っていると推察される
 利便性とセキュリティのトレードオフ（特にIDや権限管理）においては、やや利便性を優先している状況と推察できる。このような状況は、DBAにとっても業務遂行上の制約が少なくなることで作業負荷が軽減される。その反面、情報漏えい等何らかのセキュリティインシデントが発生した際に、被害拡大やシステムの復旧遅延を招いたり、DBA自身が内部不正行為の疑いをかけられる等の問題が発生する可能性がある 過去よりも「できていない」という回答が増加した項目は、「できている」と思っていたが、実際には「できていなかった」という事実を把握した結果、「実施できていない」という回答につながった項目があるとも考えられる。
そうであるならば一概に悪材料とは言えず、リテラシーや問題意識の向上の結果、多くのDBAが「管理するシステムに問題がある」という危機意識を持つようになったと考えることもできる（類似の例として携帯端末の紛失事故の報告を徹底させると、一時的に報告件数が急増したように見える事例がある）

9“2017年度版 DBA1000人に聞きました” （中間報告）

まとめ（2/2）

 全社セキュリティポリシーとの関わりについては、DBAもある程度関与していることが確認できた
 ポリシー類の存在を認識しており、それらに則って業務を遂行しているという回答が多数を占めた
 DBAが作成した文書をセキュリティポリシーの観点でレビューを受けたことがあるという回答は半数程度であり、上流工程からセキュリティ観点を持って設計を行う、「セキュリティ・バイ・デザイン」の本格的な普及は道半ばと言える状況が推察された
 システム導入に際して、半数程度のDBAがシステムの要件定義に参加していることが確認できた
 非常事態の発生に際して、半数程度のDBAが、組織横断のセキュリティ施策を行う体制、仕組み、トリアージ時点における役割を認識しており、非常事態発生への事前の備え、発生後のレスポンスの両方に対して関与している状況が推察された

今回の調査を通じて、DBAの中でも組織的なセキュリティ対策に関与するDBAと、関与していないDBAが同数で二分され、二極化している傾向が確認できた
DBAが関心のあるセキュリティ分野に対して、ソリューション導入が進んでいないという状況が示すように、DBAが相応のセキュリティ上の懸念を持っているにもかかわらず、セキュリティ施策に結びついていない状況がうかがわれる。
全社セキュリティともっと距離を縮め、お互いの発信する情報を受け止めあうことができれば、DBAの持つ知見がセキュリティに今まで以上に活かされ、組織単位の防衛により貢献できるのではないだろうか。
10“2017年度版 DBA1000人に聞きました” （中間報告）

「DBA実態調査」ワーキンググループ 参加者

データベース・セキュリティ・コンソーシアム（DBSC）「DBA実態調査」ワーキンググループ
メンバー：（敬称略・五十音順）• 浅田 祐介（NTTデータ先端技術株式会社）• 安澤 弘子（株式会社アクアシステムズ）• 北野 晴人（データベースセキュリティコンソーシアム運営委員）• 武田 治（日本ウェアバレー株式会社）• 羽田 久美子（NTTデータ先端技術株式会社）• 原田 健太郎（デロイト トーマツ リスクサービス株式会社）• 福田 知彦（日本オラクル株式会社）• 藤屋 佑馬（株式会社ワールドスカイ）

11“2017年度版 DBA1000人に聞きました” （中間報告）