データベース暗号化について教えて下さい。

質問

データベース暗号化について教えて下さい。

データベースの項目暗号化について下記事項等々に付き調査中です。
宜しくお願いします。

現状の暗号化方向(考え方)
　1)個人情報および特定情報項目の暗号化を考えている。
　2)データベースはOracle10ｇ以降で検討中。(予定)
　3)現行DB2からのデータ移行は必要。(予定)
　4)SQL*PLUS、コマンドフロンプト等の開発環境では暗号化なしで使用したい。
　　(ユーザ/パスワードで暗号化ON/OFFなどの設定/利用としたい)
　5)ネットワーク上はSSL通信などを検討中。

現状の懸念事項
　ＤＢをOracle10g。Oracleツールで対応を考えるが次の事項懸念あり。
　1)Oracleツールを利用する事で暗号化として十分か？
　2)Oracleツール利用の場合、インタフェースを二重化し、
　　利用者(AP開発者、)にOracleツールを見せないことを想定するが一般的にそこまでするのか？

確認ポイント
　1)上記、懸念事項について御回答頂き度。
　2)項目暗号化の推奨方法について
　　a.一般的なＤＢ暗号化方式を教えて下さい。(複数方式。比較検討のため)
　　b.項目暗号化の方法について教えて下さい。(複数方法。比較検討のため)
　　c.Oracle社正式ツールあれば教えて下さい。(有償？無償？有償はいくら?)

　　d.その他。暗号化に関する弊害内容、留意事項、事故例等々。

回答No.1

noname#111181 · ベストアンサー

プライバシーコンサルタントをやっている者です。

1)Oracleツールを利用する事で暗号化として十分か？
　2)Oracleツール利用の場合、インタフェースを二重化し、
　　利用者(AP開発者、)にOracleツールを見せないことを想定するが一般的にそこまでするのか？

確認ポイント
1)上記、懸念事項について御回答頂き度。
1)一般論としてセキュリティに「十分条件」というものはありません。ある条件を満たせばセキュリティを突破されるからです。たとえOracleツールを使ったとしても、内部関係者なら簡単にセキュリティを破ることができます。
2)I/Fを二重化することでセキュリティは向上しますが、プログラムが複雑になるためのバグ出現の可能性も増大します。どちらを選択するかは、プロジェクトのポリシーに依存します。

2)項目暗号化の推奨方法について
a.パスワード突合のように復号の必要がないものであればSHA-1などのハッシュが、復号の必要がある場合には3DES、AESなどの共通鍵暗号方式が良く用いられます。
b.aと同じ
c.Standard Edition以上に付属する「データ暗号化ツールキット」（http://www.oracle.com/lang/jp/database/product_editions.html）が標準的だと思います。
d.以上は論理的な暗号化手順を示しましたが、人的・物理的なセキュア対策も必要です。人的で言えば保守やアップデートの技術者認証、物理的で言えばサーバの設置環境・バックアップの保管方式など、言い出せばきりがありません。

参考URL：

http://itpro.nikkeibp.co.jp/article/COLUMN/20060418/235573/

お礼

ありがとうございます。
大変ご親切に回答頂き感謝します。ＲＦＰ→概要設計に活かしていきます。

どちらかでお近付きの際は宜しくお願いします。