管理員需要深入了解內(nèi)部威脅

申請免費(fèi)試用、咨詢電話：400-8352-114

安全防護(hù)提供商們有230萬的例子說明要與所謂的“內(nèi)部威脅”做斗爭，保護(hù)信息安全的必要性。他們的用戶相信他們的信息被國家情報服務(wù)的數(shù)據(jù)庫管理員盜取或者出售過。

目前的情況下，公司越來越需要在看待數(shù)據(jù)庫管理員這個角色上找到一個平衡的定位，是把數(shù)據(jù)庫管理員看作是一名安全守護(hù)者，還是看作一名安全威脅分子。

Forrester研究中心的分析家Noel Yuhanna說：“首先，數(shù)據(jù)庫管理員是一名需要值得信任的角色--如果你不相信你的數(shù)據(jù)庫管理員，那么你就解雇他或者讓另外一個數(shù)據(jù)庫管理員取代他，特別是當(dāng)你處理敏感企業(yè)數(shù)據(jù)庫的時候。”

Eric Ogren，Ogren小組的主要分析家說：“數(shù)據(jù)庫管理員在企業(yè)信息安全方面扮演了一個重要的角色?！备鶕?jù)Ogren小組的觀點(diǎn)，在談及到安全的問題上，數(shù)據(jù)庫管理員受到了不公正的待遇。

他說：“我的感覺數(shù)據(jù)管理就應(yīng)該是一種解決方案，目前正在構(gòu)建這種解決方案，我還不確定這種方案機(jī)制是否健康的發(fā)展?！狈浅Ｇ珊系氖牵贔idelity事件上了新聞媒體兩天后，GAO（美國國會總審計局）發(fā)布了一個報告，這個報告檢查了在2001年1月到2005年6月之間的24個大的報告資料數(shù)據(jù)。發(fā)現(xiàn)只有3例是通過現(xiàn)存的的帳戶進(jìn)行欺騙，只有1例是通過使用折中的數(shù)據(jù)來新建一個帳戶 。通過報告，非常困難的確定具體欺騙報告中的數(shù)據(jù)源。

Ron Ben-Natan，Guardium的CTO說商業(yè)應(yīng)該應(yīng)該以冷戰(zhàn)時期的格言所描述的方式運(yùn)營：“信任和監(jiān)督并存”
他說：“我們都想雇到一個值得信任的職員，但是我們必須同時為安全和管理需求指定一個策略，信任不能是策略，希望也不能是政策。在我們?nèi)粘５木W(wǎng)絡(luò)和數(shù)據(jù)庫工作中集成像政府機(jī)關(guān)間相互制約的策略時，我們就能提前獲得信號，發(fā)現(xiàn)一些惡意行為如數(shù)據(jù)破壞，并且阻止他們發(fā)生?！?

一些開發(fā)商在銷售他們的產(chǎn)品的時候，注意到數(shù)據(jù)庫管理員和安全專家之間的脫節(jié)。Dan Sarel，數(shù)據(jù)庫安全提供商Sentrigo產(chǎn)品管理前主席說：“許多傳統(tǒng)的安全專家只是注重安全問題，而數(shù)據(jù)庫管理員只是注重數(shù)據(jù)庫的性能。”
他說：“不過還好，現(xiàn)在他們不需要互相兼顧了?！?

以前一個數(shù)據(jù)庫管理員的職責(zé)就是訪問數(shù)據(jù)庫，因此將數(shù)據(jù)暴露在他們面前。但是，整個數(shù)據(jù)庫行業(yè)在發(fā)展，最終會發(fā)展到將數(shù)據(jù)庫中的數(shù)據(jù)封裝化，即使對管理員也是如此。

Yuhanna說：“數(shù)據(jù)庫管理系統(tǒng)的開發(fā)上如Oracle、 IBM 、Microsoft正在擴(kuò)展他們的產(chǎn)品在監(jiān)控特權(quán)用戶功能的解決方案，提供給數(shù)據(jù)庫管理員更少的權(quán)限來訪問數(shù)據(jù)，最終的目標(biāo)就是讓數(shù)據(jù)庫管理員管理數(shù)據(jù)庫，而不是管理數(shù)據(jù)……我們正在朝這個方向前進(jìn)，但是至少需要2-3年的時間來完成這個目標(biāo)。至于目前，我們需要監(jiān)視數(shù)據(jù)庫管理員的行為--就像用一個照相機(jī)來監(jiān)視你的保姆。”

如果沒有人受到傷害的話，但是照相機(jī)不會將保姆的行為公之與眾。GAO報告也許會對數(shù)據(jù)違反通告案造成一定的影響，要求所有的數(shù)據(jù)違反都要被通告于眾。這些額外的通告將會導(dǎo)致人們一起忽略所有的通告，這樣的一個通告法律會給企業(yè)和報告狀態(tài)強(qiáng)加了成本負(fù)擔(dān)。

Ben-Natan說：“通告的最終目的不是驚恐用戶，當(dāng)然，是為了保證他們受保護(hù)，最終，強(qiáng)迫企業(yè)組織投資預(yù)防--這比在數(shù)據(jù)違反發(fā)生后在清除要便宜的多。另外一個問題就是公司不知道數(shù)據(jù)是如何訪問的，他們很少知道那些用戶處于危險之中，因此他們就不得不通知每一個處于潛在危險之中的人?！?

他接著說：“但是，公司不應(yīng)該不合法的使用數(shù)據(jù)，任何折中的一次做法就足以流失客戶，導(dǎo)致他們頭疼和經(jīng)濟(jì)負(fù)債?！?
Mark Kraynak，Imperva市場營銷經(jīng)理說在加里福利亞開始強(qiáng)制執(zhí)行數(shù)據(jù)違反法律的時，許多的公司都掩蓋數(shù)據(jù)安全違反，三緘其口，導(dǎo)致用戶沒有任何的警告和沒有辦法進(jìn)行自身的防護(hù)。

他說：“公開是非常明智的，因?yàn)槟銜?qiáng)制公司來處理這些問題，而不是保持沉默。因此隨著時間的推移，私人數(shù)據(jù)的安全性就會提升到一個新的水平。” (itpub)