Oracle adatbázis-biztonság: a vállalati adatkiszivárgás megakadályozása a forrásnál

 1. ábra: A szivárgás oka belső vagy külső forrás?

A szervezetek nagy többsége számára a legértékesebb eszközöket a tárolt információk, a szellemi tulajdon, az adatbázisokban, fájlkezelő rendszerekben, adatfájlokban és más formátumokban tárolt adatok jelentik, nem a fizikai javak. Az adatokat tároló adatbázis-kiszolgálók kritikus jelentőségűek az üzleti siker szempontjából.

 1. ábra: A szivárgás oka belső vagy külső forrás?

A szervezetek nagy többsége számára a legértékesebb eszközöket a tárolt információk, a szellemi tulajdon, az adatbázisokban, fájlkezelő rendszerekben, adatfájlokban és más formátumokban tárolt adatok jelentik, nem a fizikai javak. Az adatokat tároló adatbázis-kiszolgálók kritikus jelentőségűek az üzleti siker szempontjából.

Az érzékeny információkat védő megoldások iránti keresletet eredetileg az olyan iparágak táplálták, amelyeknek meg kellett felelniük különböző állami és iparági szabályozásoknak (pl. a pénzügyi szolgáltatások, a bankszféra és az egészségügy). Miután azonban 2006-ban és 2007-ben egymás után számos olyan, nagy nyilvánosságot kapott incidens történt, amelyek során ügyféladatok és bizalmas információk szivárogtak ki (vagy elvesztették/ellopták őket), a szigorúan szabályozott iparágakon kívül is robbanásszerűen megnőtt az igény az ilyen megoldások iránt. Az adatvédelmi hibák, sőt, csupán annak a gyanúja, hogy az ügyféladatok védelme elégtelen, bizalomvesztéshez vezethet az ügyfelek részéről, kihathat az ügyfélmegtartásra és jelentős mértékben ronthatja a márka és a vállalat hírnevét.

2.ábra. A belső fenyegetésekA tétek rendkívül magasak az olyan szervezetek esetében, amelyek betegadatokat, társadalombiztosítási számokat, hitelkártyaszámokat vagy egyéb, védett, személyes adatokat kezelnek. Ezeket a cégeket az állami és iparági szabályozások arra kényszerítik, hogy megfelelő megoldásokat vezessenek be a személyes adatok kiszivárgásának megakadályozására. A bizalmas és személyes adatok elvesztése pereket vonhat maga után az ügyfelek/páciensek részéről, lehetőséget ad a személyi azonosítók eltulajdonítására és gyakran jóvátehetetlen kárt okozhat a szervezet hitelességének és jó hírnevének.

Minden olyan szervezet, amely érzékeny személyes vagy pénzügyi adatokat kezel, potenciális célpont. A támadások új irányai az „üzleti ütőeret" veszik célba. A bűnözők a vállalkozáson belülről hajtanak végre célzott támadásokat a pénzügyi eszközök, a jó hírnév vagy az érzékeny, a vállalat tulajdonát képező adatok ellen. Egy szélsőséges esetben az újonnan felvett alkalmazottakat kifejezetten azzal a céllal építették be, hogy ellopják az ügyfelek hitelképességi adatait. Az ilyen új, kreatív támadásokat részben azért nehéz felfedni, mert több, összefüggő biztonsági hiányosságot használnak ki, részben pedig azért, mert a vállalaton belül tevékenykedő, megbízhatónak tekintett személyektől erednek.

3. ábra A legjelentősebb fenyegetések a vállalati biztonsággal szemben

Az IDC 2007-es Vállalatbiztonsági felmérése (Enterprise Security Survey), amelyben 433 észak-amerikai információtechnológiai szakember vett részt, arról tanúskodik, hogy a belső forrásokat veszélyesebb fenyegetésnek tekintik a vállalatokra nézve, mint a külsőket.  Amint az 1. ábrán látható, a belső és külső fenyegetésekkel kapcsolatos aggodalmak mértéke közötti különbség sokkal markánsabb a nagyvállalatok esetében. A belső fenyegetésekkel kapcsolatos aggodalom erősödése nem meglepő, hiszen a vállalatok figyelmüket elsősorban a külvilággal szembeni védekezésre fordították – arra, hogy miként tudják kívül tartani az illetéktelen személyeket -, és eközben lényegesen gyengébb, vagy akár egyáltalán nem létező védelemmel rendelkeznek az olyan információ-tárházak tekintetében, mint az adatbázisok. Ha valaki egyszer bejutott, az már gyakorlatilag korlátlanul hozzáférhet az információhoz. Úgy tűnik, fokozódik az igény az adatok belső fenyegetésekkel szembeni védelmének megerősítése iránt. A 2. ábra a belső fenyegetésekkel kapcsolatos aggodalom növekedését mutatja.

Az IDC-felmérés további megállapításai, amelyek az adatok belső fenyegetésekből adódó veszélyeztetettségét illusztrálják:

–        A nagyon nagy (10 000-nél több alkalmazottat foglalkoztató) szervezetek 80%-a, a nagy (1000-9999 alkalmazottat foglalkoztató) szervezeteknek pedig 52%-a mondott már fel alkalmazottaknak vagy alvállalkozóknak a belső biztonsági szabályok megszegése miatt.

–        A nagyon nagy (10 000-nél több alkalmazottat foglalkoztató) szervezetek 31%-a, a nagy (1000-9999 alkalmazottat foglalkoztató) szervezeteknek pedig 15%-a indított már pert alkalmazott ellen a belső biztonsági szabályok megszegése miatt.

A szervezett támadók elsősorban az illegálisan megszerzett adatok értékesítésére utaznak; ők maguk általában nem követnek el visszaéléseket. A lopott hitelkártyák és más azonosítók kereskedelme mára virágzó üzletággá vált. Az IDC becslése szerint 2006-ban a lopott és feltört személyi azonosítók adásvételének forgalma 900 millió dollár volt. A belső fenyegetések rohamosan egyre feljebb kerülnek a vállalati fenyegetések prioritási listáján; mára a vállalatokkal szembeni 10 legkomolyabb fenyegetés közül három ezekkel kapcsolatos:

1.      2007-ben az alkalmazottak által elkövetett hibákat tekintették a vállalati biztonsággal szembeni legkomolyabb fenyegetésnek. 2006-ban ez még csak a negyedik helyen állt! Az IDC úgy véli, az adatkiszivárgások és szabálysértések legnagyobb része az alkalmazottak által elkövetett hibákra vezethető vissza. A szervezetek számára nagyon komoly fejfájást jelent, hogy az alkalmazottak esetleg puszta gondatlanságból is megsérthetik a vállalat belső előírásait és/vagy az állami vagy iparági szabályokat.

2.      Az alkalmazottak vagy üzlettársak által elkövetett adatlopás az ötödik legkomolyabb fenyegetés a vállalati biztonság terén. Jóllehet a belső szabálysértések többsége gondatlanságból ered, az IDC véleménye szerint a legnagyobb kárral járó eseteket rosszindulatú belső személyek okozzák szándékosan. Az IDC előrejelzése értelmében a megbízhatónak tekintett, a vállalati adatbázisokhoz és hálózati erőforrásokhoz hozzáféréssel rendelkező személyek által elkövetett szándékos károkozás prioritása emelkedni fog a vállalati fenyegetések listáján.

3.      A belső szabotázs a kilencedik helyen áll a vállalati biztonságot fenyegető jelenségek listáján. Akárcsak az alkalmazottak által elkövetett adatlopás, a megbízhatónak tekintett dolgozók által végrehajtott szabotázs is komoly kockázatot jelent a szervezetek számára. Általánosságban elmondható, hogy a szervezetek egyre több esetben kénytelenek szembesülni a bizalmas információk belülről történő kiszivárogtatása, illetve a belső visszaélések következményeivel. A 3. ábra azt mutatja, mely jelenségeket tekintették a vállalati biztonsággal szembeni legkomolyabb fenyegetéseknek 2007-ben.

A biztonság kezelésében alapvető változást jelent, hogy a biztonsággal kapcsolatos intézkedések jelentős részére nem azért kerül sor, hogy megvédjék a hálózatot a támadóktól, hanem azért, hogy a vállalatok megfeleljenek az állami szabályozásoknak és az iparág szabványainak. E szabályozások bevezetésére egy-egy törvénysértés vagy látványos hiba nyomán került sor. Az állami és iparági szabályozások továbbra is kulcsfontosságú motivációs erőt jelentenek az adatvédelmi és ellenőrzési (IPC) megoldások bevezetésében.

Az IDC kutatása azonosította azokat a csapdákat, amelyek megfelelőségi hibákhoz vezetnek.

Ilyenek, egyebek között:

–        A feladatmegosztás megoldatlansága, ami óhatatlanul teljes jogosultsággal rendelkező („superuser") felhasználók létrehozásához vezet.

–        Az éles adatbázisokhoz teljes jogú felhasználási jogosultsággal rendelkező felhasználók számának ellenőrizetlensége.

–        Az adatok nem megfelelő biztonsága az egyedi fejlesztésű alkalmazásokban.

–        A manuális folyamatok nem megfelelő dokumentálása és egyeztetése az alkalmazott informatikai rendszerekkel.

–        Az operációs rendszerekhez és a vállalati pénzügyi alkalmazásokat és tranzakciókat támogató adatbázisokhoz való hozzáférés biztonságának elégtelensége.

–        A különleges jogokkal rendelkező felhasználók által végzett tevékenységek nyomon követésének elmulasztása.

Az adatbázis-biztonság kulcsfontosságú az érzékeny adatok védelme és az előírásoknak való megfelelés szempontjából. Az adatbázis-biztonságnak az alábbi négy területre kell kiterjednie:

1.      Felhasználó-adminisztráció: A központosított felhasználó-adminisztráció és az erős hitelesítés hozzájárul a szabálykövetéssel és a belső fenyegetésekkel kapcsolatos kihívások kezeléséhez, különösen az olyan szervezetek esetében, amelyek nagyméretű adatbázisokkal és nagyszámú felhasználóval rendelkeznek.

2.      Hozzáférés-szabályozás: A szabályzatokban előírt szigorú belső ellenőrzési követelményeknek való megfelelés érdekében az adatbázisokhoz, az alkalmazásokhoz és az adatokhoz való hozzáférést az adatbázison belül kell szabályozni. Annak eldöntésekor, hogy ki, mikor, hol és hogyan fér hozzá az adatbázisokhoz, az alkalmazásokhoz és az adatokhoz, a vállalatoknak a minimális jogosultságok elvét kell követniük. A minimális jogosultságok elvének értelmében a felhasználóknak és az alkalmazásoknak csak azokkal a jogosultságokkal kell rendelkezniük, amelyek minimálisan szükségesek ahhoz, hogy megfelelően működjenek. Adatbázis-környezetben ez jelentheti például azt, hogy egy bizonyos felhasználó vagy alkalmazás egy adott adatbázistábla adatait képes olvasni, azonban nem jogosult azokat módosítani.

3.      Adatvédelem: Amikor az adatvédelemre gondolunk, legtöbbünknek a titkosítás jut eszébe elsőként. A megfelelően végzett titkosítás valóban a legjobb módszer arra, hogy az adatokat megvédjük az illetéktelen hozzáféréstől azután, hogy azok hálózaton keresztül, vagy szalagos tárolón, lemezen illetve exportált állományban elhagyják az adatbázist. Miután az adatok elhagyták az adatbázist, a titkosítás az egyetlen lehetséges védelem. A transzparens, jó teljesítményű és beépített kulcskezelési funkciókkal rendelkező adattitkosítás az adatvédelem elengedhetetlen eleme.

4.      A biztonsági szabályzat nyomon követése és ellenőrzése: A biztonsági szabályzatnak mind stratégiai, mind taktikai – végrehajtási – szinten világosnak és jól meghatározottnak kell lennie. A szabályzatok akkor működnek a legjobban, ha kialakításukra a vállalat sajátos igényeinek és követelményeinek alapján kerül sor. A szabályozásoknak megfelelő iránymutatással kell szolgálniuk az adatbázis-kezelő rendszerek védelmének biztosításához, és gondoskodni kell betarthatóságukról. A leghatékonyabb biztonsági szabályozások azok, amelyek beállítása és érvényesítése közvetlenül az adatbázison belül történik.

KIHÍVÁSOK: A BIZALOM KÉRDÉSE

A kritikus információkhoz való belső hozzáféréssel kapcsolatos növekvő aggodalom miatt a vállalatoknak korlátozniuk kell a belső személyek, különösen az adminisztrátorok hozzáférési jogosultságait. Az Oracle Database Vault olyan mechanizmus, amely megvédi az információt a belső fenyegetésektől. A felhasználói jogok korlátozása miatt azonban a dolgozók úgy érezhetik, hogy a vállalat nem bízik meg bennük. Az Oracle-nek „meg kell nyernie" az ügy számára az adatbázis-adminisztrátorokat, akik adott esetben nem lelkesednek túlságosan az ilyen biztonsági megoldások iránt. Az IDC szerint az adatbázis-adminisztrátorok hajlandók lesznek elfogadni a változásokat, mihelyst megértik, hogy esetleges incidensek esetén éppen ez tisztázza őket a gyanú alól.

Számítástechnikai rendszereikben, különösen pedig adatbázisaikban a vállalatok nagy értékű információt tárolnak. Tekintettel a vonatkozó szabályok és belső előírások elégtelen betartásának nagy kockázatára, a vállalatvezetésnek a lehető legmagasabb fokú adatbiztonságot kell megkövetelnie információs rendszerei számára. Az állami és iparági szabványok és szabályok egyre bővülő listája a legkülönbözőbb méretű és vertikumú vállalatokat kényszeríti arra, hogy IPC-megoldásokat vizsgáljanak meg, telepítsenek és használjanak. Mindazonáltal további, az ügyféladatok, bizalmas információk vagy szellemi tulajdon kiszivárgásával kapcsolatos, nagy jelentőségű incidensekre számítunk. Ezek az esetek tovább táplálják majd a keresletet az IPC-megoldások iránt a tárolt, úton lévő és használatban álló adatok tekintetében egyaránt.

Az IDC véleménye szerint az Oracle átfogó és jól integrált biztonsági termékcsaládot kínál ügyfeleinek, amely egyaránt hatékony a belső fenyegetések visszaszorítása és a törvényi követelmények kielégítése terén. Az Oracle innovatív funkciói – különösen az adatvédelem és a hozzáférés-szabályozás terén – alkalmazkodnak a mai környezethez és az egyik legfejlettebb megoldást képviselik a piacon. Az olyan beépített és transzparens megoldások, mint amilyeneket az Oracle kínál, lehetővé teszik a vállalatok számára, hogy ne kelljen feláldozniuk a teljesítményt a biztonság érdekében, és ne kelljen beérniük a legkisebb közös nevezővel az olyan funkciók esetében, amelyeknek különböző gyártmányú adatbázis-kezelőkkel kell együttműködniük.

Az IDC a jelen tanulmányt 2008 januárjában készítette a rendelkezésre álló piackutatások és a primer kutatásokon alapuló tudásbázisunk alapján. A kutatás magában foglal egy sor mennyiségi felmérést, valamint számítástechnikai vezetőkkel a vállalati biztonsággal kapcsolatban folytatott mélyinterjúkat több különböző iparágban, így az egészségügy, a pénzügyi szolgáltatások, a közszolgáltatások és a gyártás terén. Emellett az IDC találkozott az Oracle termékfejlesztői csapatával is, hogy megismerje az Oracle által kínált adatbázis-biztonsági termékeket.