一個指導(dǎo)因素是他們意識到他們需要控制內(nèi)部人員——例如系統(tǒng)管理員——可以做什么和不能做什么。直到最近，這些人一直具有系統(tǒng)級的特權(quán)，可以看到所有數(shù)據(jù)，這主要是為了方便起見。今天，聯(lián)邦監(jiān)管機(jī)構(gòu)要求上市公司約束特權(quán)用戶可以看到什么，例如總分類賬中的金融數(shù)據(jù)。公司顯然可以通過使用細(xì)粒度授權(quán)、訪問控制或加密，還有在操作之后采取數(shù)據(jù)庫審計和監(jiān)控工具來做到這一點(diǎn)。

　　在訪問控制背后的指導(dǎo)原則是什么?

　　重要的事情是確保信任雇員遵守管理他們各自角色的政策，因?yàn)楸O(jiān)管機(jī)構(gòu)和審計人員將提問難以回答的問題，關(guān)于公司是怎樣謹(jǐn)慎的控制這些職員操作——無論你是否信任他們。數(shù)據(jù)庫管理員可能不喜歡這些適當(dāng)?shù)目刂疲呛芏鄷r候這些控制是在響應(yīng)外部要求。

　　建立這些控制有多困難?

　　在小型公司，職責(zé)分離可能很難做到，因?yàn)槟憧梢灾挥幸粋€管理員。這時候?qū)徲嫼捅O(jiān)控就很有用了。在Burton Group公司，我們提倡采用分層方法進(jìn)行保護(hù)。它從數(shù)據(jù)庫的訪問控制開始。例如，Oracle數(shù)據(jù)庫11g使你可以分離數(shù)據(jù)庫的某部分或在數(shù)據(jù)庫周圍實(shí)施周邊控制。在那之上，Oracle審計保險庫( Oracle Audit Vault)可以用于確保你的分層保護(hù)按你期望的那樣在操作。

　　除了這些，公司還可以做什么以保護(hù)數(shù)據(jù)免被那些不該訪問到的人進(jìn)行操作?

　　標(biāo)簽安全使你將數(shù)據(jù)描述為具有特定屬性或標(biāo)簽。它可以用在很廣泛的情況中——從分類雇員記錄到保護(hù)國家安全信息的任何事情。公司以某種方式分類數(shù)據(jù)并采用適當(dāng)?shù)臉?biāo)簽來加以辨別。在這之后，總是以相同的方式根據(jù)誰可以看到這個數(shù)據(jù)或什么時候人們可以看到這個數(shù)據(jù)對數(shù)據(jù)進(jìn)行處理。數(shù)據(jù)庫對基于這個標(biāo)簽的信息明確的加以控制。

　　加密怎樣融入這個訪問控制的畫面中?

　　加密用于防止人們看到某些數(shù)據(jù)，它可以應(yīng)用在數(shù)據(jù)庫的一個子集、整個數(shù)據(jù)庫、甚至是存放數(shù)據(jù)庫的磁盤(有時叫做介質(zhì)級加密)。加密可以發(fā)生在數(shù)據(jù)庫之外，應(yīng)用層之內(nèi)。不同的加密級別防止不同類型的威脅。介質(zhì)加密阻止未授權(quán)用戶訪問一個丟失或被盜的磁盤，但是不會阻止內(nèi)部用戶查看數(shù)據(jù)。防止內(nèi)部人員需要一個不同的加密級別。例如，你可能對存儲在一個客戶數(shù)據(jù)庫中的社會保險號碼進(jìn)行加密，但仍然允許支持人員查看電話號碼和地址。你可以使用Oracle透明數(shù)據(jù)加密(Oracle Transparent Data Encryption)做到這一點(diǎn)，它可以提供在數(shù)據(jù)庫內(nèi)進(jìn)行柱狀加密。這個工具不需要第三方工具，所以從配置和管理的角度看，它很容易使用。

　　這些策略也對外部用戶起作用嗎?

　　加密在一個企業(yè)范圍內(nèi)運(yùn)行的很好。然而，如果要通過一個網(wǎng)絡(luò)門戶網(wǎng)站來查看信息，那么它可能需要解密。所以在這一級別你可能需要與網(wǎng)絡(luò)訪問控制相關(guān)聯(lián)的某種應(yīng)用級別的加密類型。

　　加密與身份管理？

　　它和身份管理緊密聯(lián)系，但是對于網(wǎng)絡(luò)訪問控制的一個挑戰(zhàn)就是你可能正在討論的是更多的用戶而不僅僅是內(nèi)部雇員。例如，對于外網(wǎng)門戶網(wǎng)站或電子商務(wù)門戶網(wǎng)站，不只是幾千名員工，而可能是有數(shù)百萬的用戶。所以要考慮一個規(guī)模問題。另外還有一個認(rèn)證人的類型問題，它部署起來很方便。在企業(yè)中，你可能使用一次性的密碼令牌或智能卡來驗(yàn)證用戶，但如果要加強(qiáng)對消費(fèi)者的驗(yàn)證，那這個成本就太驚人了。