データ管理規制から何を学ぶか？ (2022/11/01)

https://blogs.oracle.com/infrastructure/post/what-can-be-learned-from-data-management-regulations

投稿者： Donna Cooksey | Solution Specialist

規制に準拠したデータ管理戦略を構築するのに最適な時期は、規制が課される前、あるいは要求される前です。  金融や公益産業のような厳しいコンプライアンス要件が課されることはないかもしれませんが、規制を理解し、自社の指針として活用することは良いことです。

データ管理戦略の強化は、最初の作成（本番）からテスト/開発用のクローン、そしてバックアップに至るまで、ライフサイクル全体にわたって行われます。 バックアップは短期・長期の保存データの大部分を占めるため、このブログではOracleのZero Data Loss Recovery Applianceを使ったバックアップデータの法規制順守に焦点を当てます。

Oracle Databaseと共同開発されたRecovery Applianceは、Maximum Availability Architecture（MAA）を使用して一から構築され、単なるバックアップ作業ではなく、特にデータリカバリに焦点を合わせています。  Recovery Applianceは、リアルタイムでデータを自動的に保護し、データベースを意識したプロセスですべてのバックアップを検証し、管理下にあるすべてのデータベースの現在のリカバリステータスを提供します。  

規制上の要件として、バックアップはデータの種類に応じて特定の期間保持することが義務付けられています（例えば、多くの財務記録は7年間）。 ファイルを保存することは明らかに要件の一部に過ぎず、コンプライアンスに準拠するためには、バックアップは復元可能でなければなりません。 これは当然のことのように思えるかもしれませんが、バックアップを管理したことのある人なら誰でも、ファイルが破損していたり、見つからないために復元操作が失敗することがあることを理解しています。 

データ規制は、新しい脅威や進化する脅威を取り込むために、時とともに進化しています。 金融サービス業界などの規制の厳しい業界では、サードパーティのコンプライアンス専門家がデータ保護ソリューションの機能を検証することがますます求められています。

Recovery Appliance については、Cohasset Associates に製品の機能に関する包括的なレビューを依頼し、その結果を公表しました。 Cohassetは、Recovery ApplianceがSEC規則17a-4(f))およびコンプライアンス評価で説明されたその他の項目を満たすか、上回ることを確認しました。  報告書の主なハイライトは、最近のブログで紹介されています。

規制の法律用語を乗り越えても、主な内容は理にかなっており、ほとんどの企業や公共機関のデータ管理計画に適用できるものです。  コハセットのコンプライアンス評価で、Recovery Applianceに関する主なポイントをまとめてみました。

• バックアップデータは、次のようなものでなければならない。

•     正確で、元のソースデータから変更されていないこと（例：不変）。
•     リストア可能であり、後でデータを見るためにリカバリ可能であること
•     作成時および保存中に定期的に検証され、有効性が保証されていること。
•     オリジナルと複製をシリアル化するための連続した指標（例：データ時間、一意の識別子など）を持つ受領順に保存され、それにより特定の記録を容易に見つけ、保存を認証することができる。

• バックアップの保持は以下の通りでなければならない。
•     保存の開始と終了の期間にギャップがなく、連続的であること。
•     リーガルホールドの必要に応じて、オリジナルの保存期間から延長することが可能であること。

• バックアップストレージは以下の通りでなければならない。
•     プライマリソースが危険にさらされた場合（例えば、紛失または破損、オフサイトストレージを考える）、記録にアクセスするための代替ソースを含むこと。
•     アクセス可能、ダウンロード可能、または規制当局や監査人に提供可能なフォーマットやメディアで提供されていること。

重要な要件は、必要な保存期間内のすべてのバックアップが有効で、リストア可能で、将来的にデータを表示または使用できるようにすることであるようです。  複雑な規制を単純化しすぎたかもしれないが、データリストアはビジネス/規制上の要件であり、バックアップ管理はそこに至るプロセスである。

このことを念頭に置いて、すべてのバックアップが有効でリストア可能であることにどの程度自信がありますか？  Oracle Database オンライン バックアップの場合、データベースを正常に復旧するためには、すべての RMAN バックアップが利用可能で有効である必要があります。 これらのバックアップを検証するために、RMANの「VALIDATE」コマンドを使用する必要があります。 ストレージ チェックサムは、保存されたファイルが受信したとおりであることを検証できますが、転送中にビットが反転した場合、またはバックアップにファイルがない場合、ストレージ チェックサムはそれを検出できません。  したがって、RMANを使用して各バックアップを検証しない限り、バックアップが有効であると事実上仮定しているようなものです。

幸いなことに、もっと簡単な方法があります。 Recovery Applianceは、データベースサーバーにオーバーヘッドをかけることなく、RMANテクノロジを使用して、取り込み中および静止中に定期的にすべてのバックアップを自動的に検証します。 さらに、保護されたデータベースごとにリカバリ可能なステータスをリアルタイムで確認できるため、バックアップをリストアしてリカバリできることを前提にする必要はありません。 コハセットのコンプライアンスアセスメントでは、厳しいデータコンプライアンス規制を満たすことができる他の機能とともに、このプロセスについて詳しく説明しています。

データ保護戦略を見直す際には、たとえバックアップに多くの時間を費やしたとしても、常にデータリカバリを最優先にしてください。