ทำไมต้องมีความปลอดภัยฐานข้อมูลในความปลอดภัยข้อมูล?

ความปลอดภัยฐานข้อมูล (Database Security) หมายถึงการปกป้องฐานข้อมูลจากการเข้าถึง การเปลี่ยนแปลง หรือการลบข้อมูลโดยไม่ได้รับอนุญาต เนื่องจากฐานข้อมูลเป็นทรัพยากรองค์กรที่สำคัญที่สุด ความปลอดภัยฐานข้อมูลจึงเป็นส่วนย่อยที่จำเป็นของแผนความปลอดภัยระบบสารสนเทศโดยรวมขององค์กรทุกแห่ง

นอกจากความจำเป็นในการเก็บรักษาและปกป้องข้อมูลเพื่อการดำเนินงานที่ราบรื่นขององค์กรแล้ว นักออกแบบฐานข้อมูลยังมีหน้าที่ปกป้องความเป็นส่วนตัวของบุคคลที่ข้อมูลเกี่ยวกับเขาๆ ถูกเก็บรักษาไว้

ความเป็นส่วนตัวและกฎหมาย

ความเป็นส่วนตัวคือสิทธิของบุคคลที่จะมีการควบคุมข้อมูลเกี่ยวกับตนเอง บางประเทศมีกฎหมายที่ออกแบบมาเพื่อปกป้องความเป็นส่วนตัว และองค์กรทุกแห่งที่รวบรวมและจัดเก็บข้อมูลเกี่ยวกับบุคคลถูกผูกมัดโดยกฎหมายให้採用นโยบายที่สอดคล้องกับกฎหมายความเป็นส่วนตัวในท้องถิ่น

ปัจจัยทั่วไปในเศรษฐกิจโลกที่ธุรกิจดำเนินการผ่านทางอิเล็กทรอนิกส์ ไม่ว่าจะเป็น B2B (Business to Business) หรือ B2C (Business to Consumer) หรือวิธีดั้งเดิม คือการถ่ายโอนและจัดเก็บข้อมูลแบบอิเล็กทรอนิกส์ ข้อมูลอิเล็กทรอนิกส์นี้คือทรัพย์สินข้อมูลหลักขององค์กร การรั่วไหลของข้อมูลนี้สามารถทำลายธุรกิจได้ หรือความล่าช้าในการประมวลผลข้อมูลนี้อาจนำไปสู่ปัญหาความพึงพอใจของลูกค้าและการสูญเสียส่วนแบ่งตลาด

ในสหรัฐอเมริกา กฎหมาย Gramm-Leach-Bliley Act กำหนดให้บริษัทแจ้งนโยบายความเป็นส่วนตัวให้ลูกค้าทราบ และให้ตัวเลือก Opt-out สำหรับลูกค้าที่ไม่ต้องการข้อมูลส่วนตัวถูกเผยแพร่ไปนอกบริษัท

ข้อมูลที่รวมอยู่บนคอมพิวเตอร์ที่มีความเป็นไปได้แม้แต่เล็กน้อยว่าจะบรรจุข้อมูล เช่น เลขประจำตัวประชาชน, เลขบัตรเครดิตและบัญชีการเงิน, ยอดคงเหลือบัญชี, และข้อมูลพอร์ตโฟลิโอการลงทุน ควรถูกจำกัดการเข้าถึง การใช้และการเปิดเผยข้อมูลทางการแพทย์ของผู้ป่วย เดิมถูกจำกัดโดยกฎหมายระดับรัฐของสหรัฐที่เป็นชุดกฎที่ไม่สมบูรณ์ ทำให้มีช่องว่างในการปกป้องความเป็นส่วนตัวและความลับของผู้ป่วย

ช่องโหว่ที่มักถูกมองข้าม

องค์กรขนาดใหม่หลายแห่งติดตั้งซอฟต์แวร์ป้องกันไวรัส ไฟร์วอลล์ และแม้แต่ระบบตรวจจับการบุกรุก (IDS) เพื่อปกป้องเครือข่ายและระบบปฏิบัติการโฮสต์ แต่ล้มเหลวในการให้ความสนใจที่เหมาะสมกับเซิร์ฟเวอร์ฐานข้อมูลระดับองค์กร (Enterprise Database Servers) โดยอ้างว่ามันอยู่ภายหลังไฟร์วอลล์และมาตรการป้องกันที่ขอบเขตเครือข่าย

ฐานข้อมูลเหล่านี้คือเหตุผลหลักที่บริษัทลงทุนใน IT และข้อมูลที่มันบรรจุมักเป็นทรัพย์สินที่มีค่าที่สุดของบริษัท แน่นอนว่าองค์กรที่ไม่มีการปกป้องฐานข้อมูล เหมือนธนาคารที่มีล็อกประตูและยามมุ่งมั่นที่ทุกทางเข้า แต่ไม่มีตู้เซฟ

เหตุผลที่แฮกเกอร์โจมตีเซิร์ฟเวอร์ฐานข้อมูล

• หากมองใกล้ชิดจะเห็นว่าทำไมแฮกเกอร์ถึงชอบแฮกเซิร์ฟเวอร์ฐานข้อมูล
• บางเซิร์ฟเวอร์ฐานข้อมูลถูกตั้งค่าด้วยชื่อผู้ใช้และรหัสผ่านเริ่มต้น (Default) เช่น ผู้ใช้ Scott รหัส Tiger หรือผู้ใช้ System รหัส Manager
• บางเซิร์ฟเวอร์ฐานข้อมูลใช้การตั้งค่าเริ่มต้นจากผู้ผลิต โดยค่าเริ่มต้น Public มีโอกาสรันได้
• เซิร์ฟเวอร์ฐานข้อมูลไม่ได้รับการแก้ไขช่องโหว่ (Patch) อย่างถูกต้อง