9 Защита баз данных
9.1 Потенциальные опасности
Данные являются ценным ресурсом, доступ к которому необходимо строго контролировать и регламентировать, так же как к любым другим корпоративным ресурсам. Часть или все корпоративные данные могут иметь стратегическое значение для организации и поэтому должны храниться в секрете, под надежной охраной.
Защита баз данных – обеспечение защищенности БД против любых (предумышленных или непредумышленных) угроз с помощью различных средств.
Потенциальные опасности:
похищение и фальсификация данных;
утрата конфиденциальности (нарушение тайны);
нарушение неприкосновенности личных данных;
утрата целостности;
потеря доступности.
Похищение и фальсификация данных могут происходить не только в среде БД – вся организация так или иначе подвержена этому риску. Однако действия по хищению или фальсификации информации всегда совершаются людьми, поэтому основное внимание должно быть сосредоточено на сокращение общего количества удобных ситуаций для выполнения подобных действий. Похищение и фальсификация не обязательно связаны с изменением каких-либо данных, что справедливо и в отношении потери конфиденциальности или нарушения неприкосновенности личных данных.
Понятие конфиденциальности означает необходимость сохранения данных в тайне. Конфиденциальными считаются только те данные, которые являются важными для всей организации, а понятие неприкосновенности данных касается требований защиты информации об отдельных сотрудниках. Следствием нарушения в системе защиты, вызвавшего потерю конфиденциальности данных, может быть утрата надежных позиций в конкурентной борьбе, тогда как следствием нарушения неприкосновенности личных данных могут стать судебные действия, предпринятые в отношении организации.
Утрата целостности данных приводит к искажению или нарушению данных, что может иметь самые серьезные последствия для дальнейшей работы организации. В настоящее время многие организации предоставляют свои услуги круглосуточно и без выходных дней. Потеря доступности в таких случаях может расшатать финансовое положение организации.
Указанные ситуации отмечают основные направления, в которых руководство должно принять меры, снижающие степень риска, т.е. потенциальную возможность потери или повреждение данных. Очень часто действия, направленные на нарушение защищенности системы в одном направлении, часто приводят к снижению ее защищенности во всех остальных.
Цель защиты БД – минимизировать потери, вызванные заранее предусмотренными событиями. Принимаемые решения должны обеспечивать эффективное использование понесенных затрат и исключить излишнее ограничение предоставляемых пользователем возможностей.
9.2 Основные типы угроз
Угроза – любая ситуация или событие, вызванная намеренно или непреднамеренно, которая способна неблагоприятно повлиять на систему, а следовательно, и на работу всей организации. Угроза может быть вызвана ситуацией или событием, способной принести вред организации, причиной которой может служить человек, происшествие или стечение обстоятельств. Ущерб может быть материальным (например, потеря оборудования, программного обеспечения или данных) или нематериальным (например, потеря доверия клиентов и партнеров). Перед каждой организацией стоит непростая проблема выяснения всех возможных опасностей.
Примеры возможных угроз:
использование прав доступа другого лица;
несанкционированное изменение или копирование данных;
изменение программ;
непродуманные методики и процедуры, смешивающие конфиденциальные и обычные данные в одном документе;
подключение к кабельным сетям;
ввод взломщиками некорректных данных;
шантаж;
похищение данных, программ оборудования;
отказ системы защиты, вызванный превышением допустимого уровня доступа;
нехватка персонала и забастовки;
недостаточная обученность персонала;
просмотр и раскрытие засекреченных данных;
электронные помехи и радиация;
разрушение данных в результате отключения или перенапряжения в сети электропитания;
пожары, наводнения, диверсия;
физическое повреждение оборудования;
обрыв или отсоединение кабеля;
внедрение компьютерных вирусов и т.д.
Уровень потерь, понесенных организацией в результате реализации некоторой угрозы, зависит от многих факторов, включая наличие заранее продуманных контрмер и планов преодоления непредвиденных обстоятельств.
Рисунок 22 - Примеры возможных угроз