数据库安全实践方案的改善以满足依从性

　　无论你公司的治理层是否已经注重到了，信息的安全依从性已经摆在了那里。似乎各种类型的公司和各个行业都以这样或者那样的方式包括在内。　　你需要遵循无数的信息安全规则，其中包括：　　· 几乎有30多个州违反了通知法律　　· HIPAA安全规则强制对个人保健记录进行保护　　· Gramm-Leach-Bliley Act涵盖了个人财务信息　　· PCI数据安全标准要求商户对信用卡信息保密　　实际上每个企业都有更高的信息安全标准 　　对于数据库治理员或者网络治理员来说，这关系到数据库的安全，因为数据库即使不是必然的，也是最有可能的，那些法律法规所关心的敏感信息的存储地。数据库是金库，所以它也是你必须要集中精力来进行增强的地方。你有这个能力为它带来正面的改变——无论是你的企业还是你的职业生涯。　　以下是你要保护你的数据库所必需的根基：　　遵循要点 　　假如你像其它很多人一样，依从性也许看起来令人畏惧。这一点当你刚开始踏上这条路的时候尤其真实。与常见的误解相反，数据库领域内的依从性不仅仅防火墙，字段加密，或者强有力的密码。　　我们要说的是，数据库安全上下文环境的基本的依从性需求在你看来没有什么新东西：　　风险评估会判定哪些数据轻易受到攻击，需要保护。　　· 数据库登录的认证控制　　· 数据库访问控制权限和治理员角色　　· 审计用来追踪谁做了什么，什么时候，在哪里，以及如何的日志信息　　· 实际的安全控制，保护你的服务器和数据免受实际的侵犯　　· 安全软件开发实践方案可以防止大多数数据库和应用程序的弱点成为黑客的入口点——在代码级别上　　· 从黑客攻击尝试中恢复过来的意外响应处理，例如密码破解或者SQL 注入，还有你的数据库服务器上恶意软件的发作。　　· 快速响应的业务连续性处理和到备份系统的错误恢复;最低程度，也要有程序来让你的数据库保持独立运行状态，以便信息仍然是可以访问的，它的完整性不会在灾难期间受损。　　· 正在进行的测试和评估找出新的内容，并了解你的数据库的弱点;这些测试和评估也同样适合支持应用程序和底层的操作系统，并且从你的角度给出整体的信息风险。　　所有这些都是信息安全最佳实践方案。你可以查看HIPAA, GLBA, PCI——你选择哪个都行——找到同样的基础要求。没有窍门，没有魔法，只是应该存在的支持业务的常识。依从性将这些良好的安全实践方案放到一起来规范化你的IT业务，非凡是关心政策文件和手续的地方。　　开始安全性遵循：一寸一寸，一行一行 　　首先，不要尝试用大面积的修改来让大洋沸腾。不要期望数据库安全措施尽善尽美。你会让自己精疲力尽，并且得罪很多你的用户——这还不包括你发现预算不够的时候出现的各种麻烦。　　一点一点的来。对数据库安全的长时间的小小的改善最终将会让你的企业慢慢达到它想要到达的地点，而这个达到依从性的过程比你想象的要快得多。从一个领域入手，例如系统的稳定(数据库和操作系统级别)，或者审计日志，并且在接下来的几个月里面将注重力集中在上面。一旦你在一个领域内完成得很好，那么就转到下一个领域，这样逐个解决需求列表中需要满足最广泛范围的法律法规的领域。假如你把注重力集中在最高级别上，那么你有可能会满足所有的基本依从性需求，你所付出的时间和金钱将会得到最大程度的回报。　　一种推动你的依从性尝试的非常好的方法就是将你的安全实践方案与一个被广泛接受的标准，例如ITIL, COBIT 和 ISO/IEC 17799:2005对齐。　　我通常推荐的是ISO/IEC标准，因为我用它工作的时间最长，我喜欢它清楚列出所有安全领域重要信息的方式。它不局限于数据库、应用程序，或者操作系统的，它也不需要这样。然而，它是你在数据库方面技术能力的良好实现。　　17799个组件，与其他大多数一样，都可以以同一种方式，或者其它的方式捆绑在数据库安全上。好事就是没有一条法律法规需要你使用某个特定的信息安全标准;你可以根据你的公司的特定需求选择使用哪个标准。你甚至可以将来自不同标准的组建互相混合和匹配起来，构成客户信息安全框架。　　以正确的方式执行 　　在进一步执行之前，你需要决定什么才是对你公司最好的。你的公司内部可能已经有了依从规则，或者IT监管委员会。假如是这样的话，那就最好了——你就走在了前沿。与他们一起协商采用标准，保证你的数据库安全在线。
　　我知道，虽然如此，安全和依从性的责任通常还是会落在数据库治理员或者/和网络治理员的身上，所以你也可能是你自己。假如真是这样的话，至少也要继续你正在做的事情，让他们的采购由用处，并且祈祷你可以在以后需要的时候得到他们的支持。究竟，他们是最终对依从性负责的人。　　无论你是否有安全委员会，都绝对没有必要重新发明一次轮子，开发你自己的数据库安全标准。好的一方面就是假如你将你的工作与类似17799的框架结合在一起，那么你就不需要这么做了。这不仅会让你和你的公司看起来采取了认真的安全措施，它还大幅度缩减了建立良好的信息安全框架所需要的努力。它还可以帮助你满足最广泛的依从性需求，而不需要单独的解决每个法律法规的非凡细节。　　总之，简单化应该是你的最高目标之一。假如你让它保持简单，并且英明地向着更好的安全方向前进，而不是没有预备的即兴操作，以及假设所有东西都会自动朝着好的方向发展，你不会后悔的。