日本オラクル主催　情報漏洩追跡セミナー

　9/1にウェスティンホテル東京にて開催された日本オラクル主催　情報漏洩追跡セミナーを見てきましたのでレポートします。
　プログラムは以下。

コーポレートガバナンスとセキュリティへの取り組み	日本オラクル 代表取締役社長　新宅正明
個人情報保護・情報セキュリティを企業評価に結びつけるには	弁護士/ISMS主任審査員　稲垣隆一
データベース・フォレンジックとセキュリティ監視のポイント	ラック　取締役JSOC事業本部長　西本 逸郎
データベース・フォレンジックを実現するOracle 10g	日本オラクル　北野 晴人

○コーポレートガバナンスとセキュリティへの取り組み　新宅正明

　最初に登壇したのは日本オラクルの社長で、今日のプログラムの概要についてざっと話しました。若い社長で３０代ぐらいに見えました。
　データーベース・フォレンジック(forensic)という聞き慣れない単語を強調していました。フォレンジックというのは警察用語?で、科学捜査という意味だそうです。データーベース・フォレンジックというのはデータベースに不正アクセスした人をつきとめることを指しています。作今、個人情報の流出や不正アクセスなどがよくマスコミで取り上げられますが”オラクルのDBをお使いいただければフォレンジック機能がついてますので、犯罪者を捕まえることができます。”ということなのです。2004年の12月にフォレンジックのコンソーシアムを設立し、2005年以降政府にはたらきかけていく、なんて言っていたのでかなり気合が入っています。政府にはたらきかけるというのは、フォレンジック機能の義務化でしょうかね？それともフォレンジック機能を政府調達要件にしてもらうということでしょうかね。まあ、一般ユーザーには見えない部分なのですが、パフォーマンスや値段には影響してくることでしょう。

　マスコミは個人情報の流出の話題でしょっちゅう騒いでいますが、実際のところはどうなのでしょう。個人情報の流出にも様々なレベルがありますが、一緒くたに扱っているように見えます。これらを3つに切り分けてみましょう。１）物理的に盗まれたもの。２）管理者の設定ミスのため、容易にアクセスできる状態になっていたもの。３）盗む意志をもってシステムに侵入し、情報を持ち去ったもの。一般人はこれら見てもを切り分けることはできません。いたずらに恐怖心だけがつのっていくのです。
　1)についてはコンピュータはほとんど関係ありません。太古の昔からある泥棒です。２）は泥棒が悪いというより管理者のミスですから、問題が違います。従って”個人情報の流出対策”と言った場合３）を指すことになります。こういう具合にマスコミの出す情報はしっかりフィルタリングしないと、どうでもいい情報に惑わされてしまいます。

○日本オラクル
http://www.oracle.co.jp/


○個人情報保護・情報セキュリティを企業評価に結びつけるには　稲垣隆一

　お次は弁護士の先生のお話です。最近どこ行っても”個人情報保護法”と大騒ぎしていますが、前にも書いた通り2005年4月からこの法律が施行されるからに、他なりません。法律が審議されているとき、マスコミは騒いでいましたが情報業界はおとなしいものだったんですがね。この法律の問題点についてここでは書きませんが、私はこの法は悪法だと思っています。また法律名も内容からすれば”個人情報規制法”と呼ぶのが妥当です。保護ではなく、個人情報の取扱いにさまざまな制約をつけ、さらに罰則もありますが、なぜかお役所とマスコミには甘いという困った法律です。
　とりあえずそれは置いといて稲垣氏が語った内容は、まずは法律の概要についてざっと。うちの会社はきちんと個人情報保護法対策やってますよ、とアピールするにはどうしたらよいか。そして実務的にプリバシーポリシーの策定の仕方やＰマーク、ISMSの取得についてなど話していました。
　きちんとやってること見せる一番わかりやすい方法はやはり、お役所のお墨付きをもらうこと。つまり、各種情報系の資格をとることなんでしょう。私は資格は資格でしかないと思うのですが。

　私は知らなかったのですが、この法律に曖昧な部分が多いので、この４月に”個人情報保護に関する基本方針”というのを閣議決定し政府は提示していました。読んでみましたが、長くて要領得ない文章です。
　つまりは企業に対しては次の３つをせよ。と言っています。１）プライバシーポリシーの策定、２）個人情報保護の責任者の明確化、３）社員へのプライバシーポリシー教育。
　この法律には刑事罰がありますが、果たして逮捕者１号って出るのでしょうか。現状あてはめたら逮捕者続出だと思いますが(^^;

　弁護士さんの話は少々退屈でした。どっちかと言えば稲垣さんは企業より政府よりのスタンスで、きちんとやらないと捕まりますよ！と脅している感じがしました。しかし、悪法も成立してしまえば守らないと捕まってしまうかもしれない。法律の審議過程でもっと騒いどいた方が良かったですね。
　稲垣さんは”個人情報保護法と企業対応”という本を出したばかりだそうですので、その本へのリンクをはっておきます。

○個人情報保護に関する基本方針が閣議決定、民間事業者には3つの要請
http://www.itmedia.co.jp/enterprise/0404/02/epn05.html

○個人情報保護に関する基本方針
http://www5.cao.go.jp/seikatsu/kojin/kihonhoushin-kakugikettei.pdf

○個人情報保護法と企業対応
http://www.amazon.co.jp/exec/obidos/ASIN/4433248746/


○データベース・フォレンジックとセキュリティ監視のポイント　西本 逸郎

　ラックという会社は知りませんでしたが、次はその社長の話。まずはセキュリティをとりまく概況の話。退屈(^^;　次はネット犯罪の状況の話。これも退屈(^^;　そして、これをどうやって防ぎ、もし被害にあった場合はいかに犯人を追跡特定するかという話でした。必要なインフラを整え、パッシブなセキュリティ対策をし、有事の際のためのアクティブなセキュリティ対策もするのが良いそうだ。つまりこれもテロとの戦いってことですね(^^;;

○ラック
http://www.lac.co.jp/


○データベース・フォレンジックを実現するOracle 10g　北野 晴人

　最後に登壇したのはオラクルの人。あたりまえですが、今までの前ふりを全部うけて、オラクルのＤＢがいかに優れているかという話です。
　今回のセミナーのキーワードとなっているフォレンジックの機能がオラクルは非常に優れている。どれだけ優れているかといえば、アメリカ軍のセキュリティ基準をクリアしたはじめてのデーターベースなのだそうだ。ISO/IEC 15408(Common Criteria)EAL4　FIPS-140 という基準がそれ。今までこれをクリアしていたのはオラクルだけだったが、やっと富士通もクリアした、と自慢していました。アメリカ軍に認められるとうれしいんでしょうね(^^; 前もどっかで書きましたが情報業界も着実にアメリカの軍事産業と結びついていっています。軍というのは採算度外視の組織ですから、ここに食い込むこと大きいのでしょうが、あまり大きな声で自慢できたものではないと思うんですがね。
　講演者の北野さんは”ひとごとではないデータベース情報の漏洩防止”という本を最近出版したそうで、この本を今回のセミナー参加者全員に配っていました。私ももらったのですが、あんまり読む気がしない(^^;　もう一つついでオラクルは太っ腹なことに”Oracle10gの衝撃”という本も全員に配っていました。こっちも私は興味ないね(^^;　というわけで読まずにオークションに出しちゃいましたが売れるかな？欲しい人いれば無料であげてもいいです(^^;
　最後に今回のセミナーの資料がweb上に公開されていますので、リンクをのせておきます。

○ひとごとではないデータベース情報の漏洩防止
http://www.amazon.co.jp/exec/obidos/ASIN/4774121274/

○Oracle10gの衝撃
http://www.amazon.co.jp/exec/obidos/ASIN/482222967X/

■情報漏洩追跡セミナー(9/1) 当日資料ダウンロードサイト
http://www.oracle.co.jp/mp/EL/ml?p=5251-45F9A7DBDD6E7F2E

14 SEP 2004 wrote