ข้อบกพร่องของความปลอดภัยฐานข้อมูลมีอะไรบ้าง?

ความปลอดภัยฐานข้อมูล (Database Security) หมายถึงมาตรการร่วมกันที่ใช้เพื่อปกป้องและรักษาความปลอดภัยฐานข้อมูลหรือซอฟต์แวร์จัดการฐานข้อมูล (DBMS) จากการใช้งานที่ไม่ได้รับอนุญาตและภัยคุกคามทางไซเบอร์ที่เป็นอันตราย ความปลอดภัยฐานข้อมูลเป็นชั้นหนึ่งของความปลอดภัยข้อมูล เกี่ยวข้องหลักกับการปกป้องทางกายภาพของข้อมูล การเข้ารหัสข้อมูลในที่จัดเก็บ และปัญหาการคงเหลือของข้อมูล (Data Remanence)

การรักษาความปลอดภัยฐานข้อมูลเป็นหลักการพื้นฐานสำหรับผู้ปฏิบัติงานความปลอดภัยขณะวางแผนความปลอดภัย ฐานข้อมูลเป็นการรวบรวมข้อมูลที่มีประโยชน์ และสามารถถือว่าเป็นองค์ประกอบสำคัญที่สุดขององค์กรและการเติบโตทางเศรษฐกิจ

ดังนั้น ความพยายามด้านความปลอดภัยทุกอย่างควรจำไว้ว่าต้องให้ระดับการควบคุมที่แข็งแกร่งที่สุดสำหรับฐานข้อมูล ตามที่เป็นจริงกับเทคโนโลยีอื่นๆ ความปลอดภัยของระบบจัดการฐานข้อมูล (DBMS) ขึ้นอยู่กับระบบอื่นๆ อีกด้วย รวมถึงระบบปฏิบัติการ แอปพลิเคชันที่ต้องการ DBMS บริการที่มีปฏิสัมพันธ์กับ DBMS เซิร์ฟเวอร์เว็บที่ทำให้แอปพลิเคชันเข้าถึงได้สำหรับผู้ใช้ปลายทาง ฯล฿

ข้อบกพร่องหลักของความปลอดภัยฐานข้อมูล

• การตั้งค่าบัญชีผู้ใช้ที่อ่อนแอ (Weak User Account Settings) — บางบัญชีผู้ใช้ฐานข้อมูลไม่มีการตั้งค่าผู้ใช้ที่พบในสภาพแวดล้อมระบบปฏิบัติการ ชื่อบัญชีและรหัสผ่านที่เป็นที่รู้จักกันดี ไม่ได้ถูกปิดใช้งานหรือปรับแต่งเพื่อป้องกันการเข้าถึง การตั้งค่าบัญชีผู้ใช้อนุญาตความสามารถด้านความปลอดภัยที่จำกัด โดยไม่มีการควบคุมรหัสผ่านเช่น ตรวจสอบพจนานุกรมหรือการควบคุมบัญชีช่วยให้บัญชีผู้ใช้หมดอายุ

• การแยกหน้าที่ที่ไม่เพียงพอ (Insufficient Segregation of Duties) — ไม่มีบทบาทผู้ดูแลความปลอดภัยที่กำหนดไว้ชัดเจนในการจัดการฐานข้อมูลขององค์กร ส่งผลให้ผู้ดูแลฐานข้อมูล (DBA) ปฏิบัติหน้าที่ทั้งผู้จัดการ (สำหรับบัญชีผู้ใช้) และผู้เชี่ยวชาญด้านประสิทธิภาพและการดำเนินงาน สามารถนำไปสู่ความไม่สามารถในการจัดการได้

• แอดิตทريل (Audit Trails) ที่ไม่เพียงพอ — ความสามารถในการตรวจสอบ (Auditing) ของฐานข้อมูล เนื่องจากต้องติดตามหลายอย่าง มักถูกมองข้ามเพื่อประสิทธิภาพหรือพื้นที่ดิสก์ การตรวจสอบที่ไม่เพียงพอทำให้ความรับผิดชอบลดลง และลดประสิทธิภาพการวิเคราะห์ประวัติข้อมูล แอดิตทريلบันทึกข้อมูลเกี่ยวกับการกระทำที่ทำกับข้อมูลสำคัญขององค์กร บันทึกเหตุการณ์ที่เชื่อมโยงโดยตรงกับข้อมูล จึงเป็นสิ่งจำเป็นสำหรับการตรวจสอบการเข้าถึงและการกระทำบนระบบฐานข้อมูล

• คุณสมบัติความปลอดภัย DBMS ที่ไม่ได้ใช้งาน (Unused DBMS Security Features) — ความปลอดภัยของแอปพลิเคชันแต่ละตัวมักเป็นอิสระจากความปลอดภัยของ DBMS สำคัญที่คุณสมบัติความปลอดภัยที่สร้างขึ้นในแอปพลิเคชันเกี่ยวข้องกับผู้ใช้ซอฟต์แวร์ไคลเอ็นต์เท่านั้น DBMS เองและเครื่องมือหรือยูทิลิตี้ที่สามารถเชื่อมต่อฐานข้อมูลโดยตรงผ่าน ODBC หรือโปรโตคอลอื่นๆ สามารถข้ามความปลอดภัยระดับแอปพลิเคชันได้ทั้งหมด ดังนั้น ควรพยายามใช้ข้อจำกัดความปลอดภัยที่มั่นคง