データセンターのセキュリティ対策｜評価基準と具体的な対策項目を解説

企業の重要なデータを保管・処理するデータセンターでは高度なセキュリティ対策が不可欠です。情報の漏洩・データの改ざんが発覚すれば企業の信用失墜や事業継続に深刻な影響を及ぼします。本記事ではデータセンターにおけるセキュリティの重要性、評価基準、具体的なセキュリティ対策について解説します。

データセンターにおけるセキュリティの重要性

データセンターは、顧客の個人情報、業務データ、基幹システムなど、企業の重要な情報資産を集約して保管・処理する施設です。

万が一セキュリティ事故が発生した場合、企業の社会的信用が大きく損なわれ、顧客や取引先からの信頼喪失や取引の停止、企業のブランドイメージに長期的なダメージを与えかねません。

また、重要なシステムの停止やデータの改ざんが発生すれば、業務が継続できなくなり企業活動そのものが停止してしまう恐れがあります。特に金融機関やEC事業者など24時間365日稼働が前提のビジネスでは、数時間の停止でも莫大な機会損失につながることは過去の事例からも明白です。

さらに、無許可でのデータ持ち出しにより情報漏洩が発生した場合、行政処分や損害賠償請求を受けるリスクもあります。こうしたリスクを回避するために、データセンターを選ぶ際には厳格なセキュリティ対策が施されている設備かどうかを確認することが不可欠です。

関連記事：データセンターとは？利用するメリットや主な設備を解説

データセンターの評価基準

データセンターのセキュリティレベルを確認する評価基準の1つに、日本データセンター協会（JDCC）による「データセンターファシリティスタンダード」があります。

「データセンターファシリティスタンダード」は、「建物の堅牢性」「セキュリティ」「災害対策」「電気設備」「空調設備」などの項目で評価され、ティア1からティア4の4段階で示されます。

データセンターに必要なセキュリティ対策

データセンターでは不正侵入やデータの物理的な持ち出しを防ぐため、建物やサーバールームへのアクセスを厳格に制御する必要があります。ここではティア4クラスのデータセンターで採用されている代表的なセキュリティ対策について解説します。

入退館時の本人確認

データセンターには24時間365日体制でセキュリティアテンダント（守衛）が常駐し、顔写真付きの身分証明書や社員証などで本人確認を実施します。また、訪問前に事前予約を求めるデータセンターも増えています。

近年、配送業者や作業員を装った不正侵入の手口が各種セキュリティレポートやインシデント事例で報告されており、より厳格な管理が必要となっています。

入退室管理

入館後もデータセンター内の各エリアへのアクセスは厳重に管理されています。「いつ」「どこで」「誰が」入室したかを記録しているため、トラブル発生時には迅速な原因究明が可能となります。

入退室で使用する認証方法にはICカード認証、生体認証（指紋認証、静脈認証、虹彩認証、顔認証）、パスワード認証などがあり、重要なエリアではこれらを組み合わせた多要素認証を採用することで、セキュリティレベルをさらに高めることが可能です。

認証されていない人が同伴で入室してしまうことを「共連れ」といいますが、これを防止する仕組みも導入されています。たとえば認証なしに入室すると退室できなくなる機能や、重量測定・人感センサーで共連れを検知するシステムがあります。

館内のセキュリティ監視

建物内には監視カメラが多数設置され、リアルタイムで監視されています。カメラは施設の外周やエントランス、各出入口や通路、サーバールームなど、全てのエリアにおいて死角がないよう設置されています。

セキュリティ監視は、人間の目視確認や警備員の定期的に巡視を掛け合わせることで、より効果的に機能します。

建物やエリアによるアクセス制御

データセンターでは施設全体を複数のセキュリティゾーンに分割し、各ゾーンへのアクセスを段階的に制御する「セキュリティゾーニング」が採用されています。入館エリア、オフィスエリア、サーバールームエリアなど機密性に応じてエリアを分類し、それぞれに異なるアクセス権限の設定を行っています。

重要なエリアほど厳格な認証を求めることで、外部からの侵入があった場合でも、最重要エリアへの到達を防ぐ多層防御を実現しています。多層防御の考え方はデータセンターセキュリティの基本原則となっています。

持ち込み制限

セキュリティインシデントの中には、社員や委託業者が機密データを不正に持ち出す内部不正の事例も報告されています。そのためデータセンターではサーバールーム内への持ち込み物を厳格に制限しています。

一般的にパソコンやスマートフォン、カメラ、USBメモリなどの外部記憶媒体の持ち込みに申請を求める他、飲食物の持ち込み制限や、入館時の荷物検査が実施されるケースもあります。

入退館時の体重測定により、機器や記憶媒体の不正な持ち出しを物理的に検知するシステムを導入しているデータセンターもあります。

サーバーラックに対するセキュリティ

データセンターには多くのサーバーラックが設置されています。サーバーラックとはサーバーやネットワーク機器を収容する専用の棚のことで、標準的には19インチラック（EIA規格）が使用されています。

サーバーラックは常時施錠されており、作業時には対象のラックのみ開錠権限を与えられます。施錠方法には物理鍵、電子錠、パスワードなど様々な種類があります。

近年では電子錠を採用したサーバーラックも増えており、システムでアクセス権限が管理可能になっています。たとえば、ICカードごとに開錠可能なラックを設定できる仕組みや、ICカード認証による無人での鍵の授受が可能なセキュリティキーボックスを導入しているケースもあります。

電子錠を導入することで、ラック扉の開閉状態をリアルタイムで監視し、閉め忘れの検知が可能です。また施錠・開錠のログが自動的に記録されるため、誰がいつどのラックにアクセスしたかを正確に追跡できます。入退室管理システムと連携させることで、鍵を返却もしくはラックの施錠をしなければ退室できないよう制限することも可能です。

まとめ

データセンターのセキュリティは企業の情報資産を守るために不可欠な要素です。入退館時の本人確認、入退室管理、セキュリティ監視、セキュリティゾーニング、持ち込み制限、ラックセキュリティなど多層防御に基づいた包括的な対策が実施されています。

AGSが提供する「さいたまiDC」では、24時間365日の有人監視体制、ICカードと生体認証を組み合わせた厳格な入退室管理、監視カメラシステムなど多層防御によって重要なデータを保護しています。さいたまiDCではデータセンターファシリティスタンダードのティア4クラスの高い信頼性を備えており、BCP対策としても有効です。データセンターのハウジングサービスをご検討の際はぜひAGSのさいたまiDC担当窓口までご相談ください。