ヤフー株式会社 様

Yahoo! JAPANが国内初の商用検索サイトをオープンしたのは1996年4月。以来、一貫してポータルサイトの歴史をリードしてきた。2000年7月には1日あたりのアクセス数が1億ページビューを突破、2004年10月には10億ページビュー、2008年4月現在では1日16億ページビューのアクセスを誇る。
提供するサービスも検索エンジンからはじまり、Yahoo!オークション、Yahoo!路線情報、Yahoo!ファイナンス、My Yahoo!、Yahoo!メール、Yahoo!掲示板、Yahoo!知恵袋、Yahoo!ジオシティーズ、Yahoo!ブログ・・・など100以上を数える。

これらサービスの多くはYahoo! JAPAN IDの取得が必要で、これによりYahoo! JAPANは、膨大な個人情報を管理することになり、その数は、一般企業はもちろん同業他社と比較しても桁違いに膨れあがっている。個人情報の増加につれて、同社ではそれら情報の漏洩防止策を適宜構築してきた。「外部からの不正アクセスであれば、ほぼ完全にシャットアウトする仕組みができあがりました。残されたのは内部犯行の防止策でした」と、ヤフー株式会社 システム統括部 開発1部部長 津留 雅文 氏は振り返る。
情報漏洩を防止する手段は多岐にわたるが、最も確実なのはデータベースへのアクセスをリアルタイムに監視することである。

個人情報保護法が施行された2005年、Yahoo! JAPANではデータベースが排出するログを収集して監視するパッケージソフトを導入する。だが、使いはじめてすぐに、期待するパフォーマンスが得られないことがわかった。
「何しろ膨大な量の個人情報が蓄積された大容量データベースです。それらが数十個ある上、月末や期末になると大量にトランザクションが発生します。監視が追いつかず、不正アクセスへのアラートがひどく遅れるようになりました」（津留氏）。同社は監視システム再構築を迫られることになる。データベースベンダーにも問い合わせをし、対応可能なパッケージ製品を探したが、Yahoo! JAPANの高度な要求を満たすソフトはどこにもなかった。
さまざまな協議の末、Yahoo! JAPANは、パッケージ製品を捨て、オリジナルの監視システムを開発する道を選んだ。要件定義を開始したのは2006年1月、基本設計は5月から着手した。
開発のパートナーとして選ばれたのがCTCであった。「CTCはYahoo! JAPANのシステム構築で実績があり、Yahoo! JAPANのシステムに精通していました。さらに、データベース技術にも詳しいので、迷わずCTCを選びました」（津留氏）。
この期待に応え、スケジュールどおり2007年10月には新システム「情報漏洩監視システム」（以下、iTres）が稼働する。

構築した個人情報の漏洩防止対策が自社開発システムという理由で、利用者に不安を与えるようでは意味がない。そこで、Yahoo! JAPANが目指したのがISO15408認証の取得だ。第三者機関にお墨付きをもらい、自社システムの堅牢なセキュリティレベルを実証するのである。
2007年11月、「iTres」はデータベースへのアクセス監視を行うシステム分野で公開されている製品としては、国内初のISO15408認証取得となった。

運用または開発者が監視対象データベースへアクセスする場合、時間や端末をあらかじめ申請し登録しなければならない。この申請なしにアクセスすると、アラートの対象となるし、端末や時間が異なってもアラートが発せられる。

従来のシステムでは申請から、承認、許可、登録まで手作業で行っていた。また、申請内容を監視ポリシーデータベースに登録しないとアラートとなるため、これら一連の作業が繁雑で、大きな負荷となっていた。 そこで「iTres」は一連の運用をワークフロー化し、手作業を最大限に排除している。

「社内でも、全アクセスログをリアルタイムで監視しているということが周知されていますし、情報漏えい事故の抑止効果を実感しています」と、津留氏は新システムの効果を語る。従来のシステムではパフォーマンスが足りず、監視できるデータベースの数が限られていた。だが、「iTres」では監視が必要とされる全データベースを、十分に監視できるようになっている。
ワークフロー化による効果も大きい。限られた人数で、多くのデータベースを監視でき、人的コストの増加を抑制できる。登録などの操作も自動化することで、精度の高い監視も可能となっている。

「今回はISO15408認証取得の業務もパラレルに走っており、関与するベンダーの数が多かったのですが、そんな中で柔軟な体制で取り組んでいただきました。知恵も汗もかいてもらって、大変感謝しております。特にCTCのプロジェクトマネジメント能力はすばらしいと思います」と、津留氏はCTCを高く評価する。
CTCは、Yahoo! JAPANからライセンス供与を受け、「iTres」の外販を開始する。大容量・大量トランザクションのデータベースシステムだけではなく、中小規模のデータベースシステムの監視システムにも柔軟に対応できるライセンス体系を準備し、構築から運用サポートまでトータルサービスを展開する予定だ。
今後の抱負として津留氏は、まだ水面下にあるセキュリティの脅威に備えたいという。「攻撃の傾向などを掴むことで、未知の脅威に対応したい。先手を打ちたいのです」と語る。通常、攻撃と対策はイタチごっこ、対策が後手に回るのが常であった。しかし、Yahoo! JAPANはこの立場を逆転して、先制して防御したいという。常に時代の先を読み、業界をリードしてきたYahoo! JAPANの躍進の秘密が、このようなところにあるのかもしれない。