Системы управления ИБ должны ориентироваться на встроенные возможности СУБД

Обеспечение безопасности при работе с базами данных устаревшими методами приводит к «размножению» этих самых баз данных. Сбор всего и вся происходящего в системе ограничивает безопасность. В этих условиях на передний план борьбы выходят новые технологии, использующие, в том числе, и встроенные возможности СУБД.

Арсенал средств, используемых злоумышленниками для доступа к информации корпоративных баз данных чрезвычайно обширен. От банальной небрежности сотрудников компаний до высокотехнологичных методов и приемов. В итоге, практически еженедельно, перечень известных фактов утечек конфиденциальной информации пополняется все новыми и новыми данными. Как организовать эффективную защиту информации в базах данных? Какие средства для этого использовать?

В качестве основных причин, способствующих утечкам информации, специалисты называют низкую эффективность применявшихся технологий. В настоящее время устаревшие системы безопасности, многие из которых внедрялись в конце прошлого века, плохо противостоят современным нарушителям, требуют глубокой модернизации или должны быть попросту заменены новыми.

Устаревшие системы ИБ требуют глубокой модернизации и замены

Одним из применявшихся ранее способов разграничения доступа к информационным ресурсам было, например, разделение данных сообразно их функциональному назначению и уровню конфиденциальности. Подход простой и понятный. Однако, как показал опыт, для корпоративной информационной системы, помимо низкой эффективности,  он неизбежно приводил к увеличению числа баз данных и сопровождался ростом затрат на их сопровождение, обеспечение информационного взаимодействия и техническое обслуживание. В этой связи задача разработки средств, которые бы позволяли надежно разграничивать доступ к информационным ресурсам виртуально, без «размножения» баз данных, стала весьма актуальна.

Появившиеся технологии и опции баз данных (Oracle Label Security, IBM Label-Based Access Control, мандатная защита СУБД «Линтер») реализуют мандатный способ доступа и обеспечивают безопасное хранение информации с различными уровнями конфиденциальности в единой базе данных. Это позволяет применять гибко настраиваемое логическое разделение данных вместо физического их разделения и снизить, собственно, количество БД и стоимость владения информационной системой в целом.

До настоящего времени средства разграничения доступа к данным на уровне строк являлись надежным инструментом при создании защищенных автоматизированных систем.

Однако по данным из разных источников до 85% краж и компрометации информации совершают легальные пользователи информационной системы организации. И, что особенно неприятно, в процесс вовлечены и администраторы баз данных и прикладных систем. Поэтому, для действительно безопасной консолидации информационных ресурсов организации, необходимо обеспечивать защиту и от возможного нежелательного воздействия администраторов одной информационной системы на данные и своей, и других, смежных с ней, систем. Это происходит потому, что в рамках консолидированной базы данных они могут обладать всеми необходимыми для этого правами.

На деле администраторы, в соответствии со своими функциональными обязанностями, должны управлять базами данных, но не данными. И уж тем более, не данными в смежных системах. Кроме того, консолидация должна быть не только безопасной, но и «прозрачной» для используемых приложений -  не требовать их изменения.

Далеко не все мировые и национальные производители программного обеспечения БД корпоративного уровня в настоящий момент могут предложить решения, позволяющие проводить контроль действий привилегированных пользователей и администраторов. А также накладывать необходимые ограничения в соответствии с требованиями корпоративных политик безопасности. Объективно, на настоящий момент единственным решением, полностью отвечающим описанным требованиям является опция базы данных – Oracle Database Vault.

Много говорят и пишут о фактах утечек конфиденциальных данных из-за небрежного обращения с физическими носителями информации. Далеко не самая приятная ситуация в организации, когда кто-то украл ленты с резервной копией базы данных, оставил без присмотра или утратил переносной компьютер с важной информацией, не надлежащим образом подготовил носители информации при передаче их в ремонт или на утилизацию.

Защита информации и удобство использования ПО

Защита информации от такого воровства представляет собой не только хорошую практику. Это одно из основных требований многих нормативно-правовых и нормативно-технических документов. Одно из решений состоит в том, чтобы зашифровать конфиденциальную информацию, и хранить ключи шифрования в другом месте. Без этих ключей, с учетом криптографической стойкости применяемых алгоритмов, украденные данные не будут иметь никакого значения.

Тем не менее, необходимо найти баланс между двумя противоречащими понятиями: удобством доступа приложений к ключам шифрования и защита, требуемая для предотвращения воровства этих ключей. Причем соблюдение корпоративных и государственных нормативных требований предполагает немедленное принятие решения, без использования какого-либо сложного кодирования.

Технология, не требующая внесения изменений в используемые приложения при реализации шифрования важных данных, получила название «прозрачное шифрование». Теперь представляется возможным зашифровывать не только данные простых типов, целых табличных пространств, но и большие двоичные объекты (LOB).

В настоящее время под марками мировых и национальных брендов на рынке предлагаются различные средства «прозрачного» шифрования. Во многом технологии эти похожи, часто совпадают даже названия, что свидетельствует о наличии некоторого общего вектора в развитии, единства в выборе стратегии решения актуальных задач по предотвращению реализации угроз безопасности. Когда выбор стратегического направления лидеров подтверждается и поддерживается ближайшими конкурентами.

Даже краткий обзор средств безопасности баз данных был бы неполным без упоминания о средствах контроля и аудита. Действительно, в условиях отсутствия обратной связи о текущем состоянии информационной системы невозможно проводить выработку управляющих воздействий по обеспечению заданного уровня безопасности.

Естественно, что с увеличением состава средств, входящих в информационную систему, обеспечивать единую политику аудита, консолидацию получаемых данных, их анализ и надежное хранение становится все сложнее. Сбор данных обо всех событиях, происходящих в системе, граничит с полным безумием, и это понятно.

Создаваемые системы управления информационной безопасностью в первую очередь должны быть ориентированы на полное использование возможностей встроенных в СУБД подсистем аудита, выступающих в качестве естественного ограничителя объемов информации. Выбор средств, как всегда, остается за заказчиками.