DB監査ツールを利用したシステム監査

G社は、生活用品の製造・販売業を営んでいる中堅企業である。全国の百貨店、総合スーパーでの店頭販売を主としていたが、数年前にインターネット販売システム（以下、販売システムという）を構築した。

販売システム概要

1. 販売システムのサーバは、Webサーバ、業務サーバ、DB（データベース）サーバで構成される。
2. インターネットを流れるデータは、暗号化されている。サーバ設置ゾーンだけを流れるデータは、暗号化されていない。

販売システム利用内容

1. インターネットを介した顧客からの注文データなどは、まずWebサーバ経由で業務サーバにアクセスしてユーザ認証が行われる。認証できたデータは、業務サーバで処理され、必要に応じてDBサーバ上の業務DBの参照・更新が行われる。
2. 顧客管理業務を行っている業務部の担当者は、各自のアカウントID及びパスワードを用いて、業務PCから業務サーバ、DBサーバにアクセスする。
3. 販売システムへの上位アクセス権限をもつシステム部のDB管理者は、管理PCから業務DBの保守ができる。

監査の背景

内部監査室のW室長は、販売システムの監査を実施するために、内部監査室のX君をリーダとする監査チームを作った。これまでのシステム監査は、内部監査室が主管部署となり、DBMSの機能を利用してログを収集し、監視していた。しかし、W室長は、昨今の"個人情報保護法"や"内部統制制度"（いわゆるJ-SOX）への対応を考慮すると、現在の監視機能だけでは不十分であると考えた。検討の結果、疑わしいアクセスに対する警告機能やレポート機能に優れているDB監査ツールを導入することにした。

DB監査ツール導入に際してシステムスキルが必要になったので、W室長はシステム部のY部長に応援を要請した。Y部長は、販売システムのDB管理者であるシステム部のZ君を、技術担当として監査チームメンバに任命した。W室長は、Z君にこれまでの経緯を伝え、DB監査ツール導入検討を行うように依頼した。またX君は、表に示す販売システム監査計画を立案し、これをW室長に報告し、承認を受けた。

Z君が採用したDB監査ツールの情報取得方式は、図中の破線で示すようにDB監査サーバを設置し、DBサーバに本番環境LAN経由で送られてくるパケットを監視してアクセス情報を記録するものである。この方式は、これまでのDBMSの機能を利用した方式と比較すると、ログ取得の際にaサーバへの負荷が発生せず、稼働中のaサーバに手を加える必要がないので短期間での導入が可能であるという特長がある。

監査の実行

Z君は、監査に備えて特別な行動をされることを回避するために、業務部に事前に申し入れずにDB監査ツールを導入した。その後、監査チームは、表の【監査日程】に従って監査を開始した。まず、業務部における販売システムのアカウントID及びパスワードの取扱いに関して、業務部のアカウント管理者にヒアリングした。

業務部のアカウント管理者へのヒアリング結果（抜粋）

1. 業務部のアカウント管理者は、業務部の担当者のアカウントIDに関する登録、変更及び削除の管理を適切に行っている。
2. 業務部の担当者は、各自のパスワードを3か月ごとに変更するルールになって、それを遵守している。
3. 顧客の個人特定情報へのアクセスは、業務部の中でも特別な権限を付与された担当者だけが行える。この権限の付与は、業務部長の承認を必要とする。