Безопасность баз данных

Замечание для руководителя отдела ИС

Защита корпоративных информационных систем - непростая задача, и в особенности это относится к защите данных. Технологии безопасности всегда отставали от других областей, таких как сетевые и коммуникационные средства. Многие модели, предложенные еще в середине - конце 80-х годов (например, поддержка различных уровней защиты данных, хранящихся в одной базе данных), только сейчас начинают внедряться в коммерческие продукты. Если в течение долгого времени развитием большинства аспектов безопасности баз данных двигали интересы правительственных - в частности оборонных - учреждений, то теперь в игру все активнее вступают интересы коммерческих структур. Результаты многих проведенных к настоящему времени исследований, скорее всего, найдут применение и в сфере безопасности коммерческой информации, хотя реальную значимость некоторых из них (например, схем многоуровневой защиты) еще предстоит оценить. Важно понимать, что коммерческие продукты, проходящие сертификацию в Национальном центре компьютерной безопасности (NCSC - National Computer Security Center), фактически проверяются на соответствие требованиям, возникшим в ответ на запросы оборонного сектора; причем в соответствующие технологии уже вложены астрономические средства. Поэтому весьма вероятно, что схемы безопасности, разрабатываемые для коммерческих систем, будут аналогичны моделям, выдвинутым в оборонной сфере. Поэтому, даже если ваша организация не имеет ничего общего с компьютерными системами оборонного назначения, описанные в этой главе модели безопасности, могут, тем не менее, сыграть важную роль и в выработке вашей программы защиты баз данных.

1.1. Введение

Можно начать с двух абсолютно справедливых утверждений о безопасности баз данных: во-первых, это задача непростая, во-вторых, это обходится недешево.

Несмотря на весьма интенсивную деятельность в этой сфере начиная уже с начала 80-х средства безопасности начали внедряться в коммерческих продуктах СУБД не ранее начала 90-х. При этом то, что мы сегодня реально имеем, еще очень далеко от наших представлений о том, какой должна быть действительно безопасная среда баз данных будущего.

Безопасность вообще и безопасность баз данных в частности - это дорогое удовольствие, всегда связанное с определенными неудобствами. Почти любая мыслимая мера безопасности вступает в конфликт с теми или иными преимуществам в других сферах, таких как связность, межоперабельность, простота использования, производительность.

Безопасность баз данных в течение долгого времени находилась как бы на втором плане в сравнении с такими областями, как безопасность сетей и коммуникаций (что в особенности относится к коммерческим организациям), но некоторые нашумевшие происшествия, например вирус "Микеланджело" или червь "Интернет", привлекли внимание к проблеме защиты баз данных и информационных активов. Благодаря этим событиям, продвижения в сфере безопасности баз данных могут, пожалуй, пойти более быстрыми темпами, чем если бы ничего такого не произошло.