一個指導因素是他們意識到他們需要控制內部人員——例如系統管理員——可以做什么和不能做什么。直到最近，這些人一直具有系統級的特權，可以看到所有數據，這主要是為了方便起見。今天，聯邦監管機構要求上市公司約束特權用戶可以看到什么，例如總分類賬中的金融數據。公司顯然可以通過使用細粒度授權、訪問控制或加密，還有在操作之后采取數據庫審計和監控工具來做到這一點。

　　在訪問控制背后的指導原則是什么?

　　重要的事情是確保信任雇員遵守管理他們各自角色的政策，因為監管機構和審計人員將提問難以回答的問題，關于公司是怎樣謹慎的控制這些職員操作——無論你是否信任他們。數據庫管理員可能不喜歡這些適當的控制，但是很多時候這些控制是在響應外部要求。

　　建立這些控制有多困難?

　　在小型公司，職責分離可能很難做到，因為你可以只有一個管理員。這時候審計和監控就很有用了。在Burton Group公司，我們提倡采用分層方法進行保護。它從數據庫的訪問控制開始。例如，Oracle數據庫11g使你可以分離數據庫的某部分或在數據庫周圍實施周邊控制。在那之上，Oracle審計保險庫( Oracle Audit Vault)可以用于確保你的分層保護按你期望的那樣在操作。

　　除了這些，公司還可以做什么以保護數據免被那些不該訪問到的人進行操作?

　　標簽安全使你將數據描述為具有特定屬性或標簽。它可以用在很廣泛的情況中——從分類雇員記錄到保護國家安全信息的任何事情。公司以某種方式分類數據并采用適當的標簽來加以辨別。在這之后，總是以相同的方式根據誰可以看到這個數據或什么時候人們可以看到這個數據對數據進行處理。數據庫對基于這個標簽的信息明確的加以控制。

　　加密怎樣融入這個訪問控制的畫面中?

　　加密用于防止人們看到某些數據，它可以應用在數據庫的一個子集、整個數據庫、甚至是存放數據庫的磁盤(有時叫做介質級加密)。加密可以發生在數據庫之外，應用層之內。不同的加密級別防止不同類型的威脅。介質加密阻止未授權用戶訪問一個丟失或被盜的磁盤，但是不會阻止內部用戶查看數據。防止內部人員需要一個不同的加密級別。例如，你可能對存儲在一個客戶數據庫中的社會保險號碼進行加密，但仍然允許支持人員查看電話號碼和地址。你可以使用Oracle透明數據加密(Oracle Transparent Data Encryption)做到這一點，它可以提供在數據庫內進行柱狀加密。這個工具不需要第三方工具，所以從配置和管理的角度看，它很容易使用。

　　這些策略也對外部用戶起作用嗎?

　　加密在一個企業范圍內運行的很好。然而，如果要通過一個網絡門戶網站來查看信息，那么它可能需要解密。所以在這一級別你可能需要與網絡訪問控制相關聯的某種應用級別的加密類型。

　　加密與身份管理？

　　它和身份管理緊密聯系，但是對于網絡訪問控制的一個挑戰就是你可能正在討論的是更多的用戶而不僅僅是內部雇員。例如，對于外網門戶網站或電子商務門戶網站，不只是幾千名員工，而可能是有數百萬的用戶。所以要考慮一個規模問題。另外還有一個認證人的類型問題，它部署起來很方便。在企業中，你可能使用一次性的密碼令牌或智能卡來驗證用戶，但如果要加強對消費者的驗證，那這個成本就太驚人了。