最新のテクノロジーを、金融の分野に。よりニーズに適したサービスをより低いコストで

ソニー銀行株式会社はインターネットを活用した個人のための資産運用銀行として、2001年4月に設立され、同年6月より営業を開始しました。サービスサイトを通じて多彩なオンラインバンキングサービスを展開しています。
最新のテクノロジーを金融の分野に活かすことによって、お客様の金融に関する自由度を高め、新しいライフスタイルを創造することに貢献していくというポリシーのもと、よりニーズに適したサービスをより低いコストで提供します。従来、人手に多くを依存していたために、一部のお客様に限らざるを得なかった高度な金融サービスをより多くのお客様に享受していただけることを目指しています。

多彩な機能、コスト削減、セキュリティが重要ポイント

金融業界において創造的なビジネスを追求していくために、その根幹となる技術動向を定常的にチェックしていくなかで、早くからクラウドに着目していました。2011年より調査を重ね、クラウドの中でも AWS がもっとも多彩な機能を有し、また、コスト削減につながることがわかりました。
そして、2013年には、自社の「既存リスク評価スキーム」に加え、「FISC安全対策基準の適合性調査結果」や「外部ベンダーによるノウハウ」も活用し、セキュリティ面およびシステムリスク面を評価したうえで採用するにいたりました。

その中で、データベースとして Amazon RDS についても検討し、使用可能であると判断しました。
もちろんチューニング作業等は必要とはなりますが、Amazon RDS は簡易にデータベースを利用する状態まで構築することができるという、圧倒的な導入スピードが大きなメリットです。 一方で、Amazon RDS の場合、RDB の機能が限定されてしまうところがあり、その点は留意する必要があります。導入するソフトウェアによっては、Amazon RDS に対応できないものもあり、事前の動作検証を行うことはもちろん、場合によっては代替方法を確認しておかなければなりません。

RDB の機能が限定されることで、インフラレベルでの対策の見直しが必要

クラウドを採用するにあたり、重要視したポイントとして、コンプライアンスとセキュリティがあります。AWS では、責任共有モデルにおいて、仮想レイヤ、ハードウェア、ネットワークインフラ、ファシリティといった部分は AWS がセキュリティを担保し、ユーザーはその部分での対策は不要となりますが、Amazon RDS では、データベース部分はユーザーが対策を行う必要があります。
ハードウェアやネットワークレベルの制御、セキュリティグループでの制御など、アクセス制御の面では、AWS は機能やサービスが充実しており、低コストかつ安全に利用することが可能となっていています。
ただし、オンプレミス環境でのように、アプリケーションやエージェントをインストールする、アプライアンス製品を導入する、といったインフラレベルでの対策は自由にできなくなります。 データベースの操作履歴を取得しモニタリングを行うデータベース監査対応のため、従来はネットワーク上でのパケットキャプチャ方式をとっていましたが、Amazon RDS に対応するための代替策の検討が必要となりました。

データベースのログ機能を使う、リモート型のデータベース監査ツール AUDIT MASTER

Amazon RDS にも対応できるデータベース監査ツールを調査、検討した結果、データベースのログ機能を使い、リモートでログ取得、管理、監査を実現するソフトウェア、AUDIT MASTER を採用しました。AUDIT MASTER は、Amazon RDS も含めデータベースの場所や環境に関わらずログ監査を行うことができるので、Amazon EC2 に構築した AUDIT MASTER から、Amazon RDS とオンプレミス環境のデータベースすべてを一元的に対応する構成としました。

コストは半分以下に、取得すべき監査ログは100%取得に

オンプレミスで利用していた既存のデータベース監査ツールは高コストな上、データベース管理者の操作やデータベースへ直接アクセスする操作のログが取得できないという問題がありました。また、監査ログレポートはその都度手作業でコマンドから作成するなど、データベース監査の運用業務が煩雑になっていました。
AUDIT MASTER によって、データベース監査システム導入の初期費用とランニングコストは、従来の半分以下に削減された上、その強力なレポーティング機能により、レポート作成が自動化され、データベース監査の運用業務を効率化することができました。 また、AUDIT MASTER でデータベースへの直接アクセスや管理者ユーザー操作も含めて、取得すべき監査ログを100%取得し、クエリ、SQLレベルまで監視、分析を行うことができるようになったことで、より完全性を高めることにもなりました。