In vielen Unternehmen ist die Datenbank mehr schlecht als recht gesichert. Nicht selten besteht die Sicherheit nur aus der Eingabe von Name und Passwort, ob es der berechtigte User ist, der auf die Datenbank zugreift, wird nicht erkannt. In anderen Fällen sind Systeme im Einsatz, die zwar Zugriffsberechtigungen durch ein Rollenkonzept einschränken, aber wenn diese nicht sauber gepflegt werden, etwa wenn Mitarbeiter das Unternehmen verlassen oder eine andere Aufgabe übernehmen und der User nicht gelöscht wird oder die Berechtigung angepasst wird, ist das auch keine Sicherheit.
Die Gefahr droht häufig von innen
Compliance-Richtlinien erfordern, dass der Zugriff auf sensible Daten fälschungssicher protokolliert wird. Missbrauch, Datendiebstahl und Attacken können nicht nur von außen über das Internet, sondern auch von eigenen Mitarbeiterinnen und Mitarbeitern aus dem Unternehmen kommen. Die Gründe sind unterschiedlicher Natur: unzufriedene Mitarbeiter, mangelndes Sicherheitsbewusstsein, menschliche Schwächen wie Unkenntnis und Geltungssucht, keine Sensibilisierung, keine Informationen und fehlende Einbindung der Mitarbeiter zum Know-how-Schutz (Awareness). Eingeschleppte Trojaner über einen USB-Stick sind keine Seltenheit. Deshalb ist es ebenso wichtig, die Security Awareness bei den Mitarbeitern bewusst zu machen. Dienstleister bieten dazu entsprechende Workshops an.
Ein ganzheitlicher Schutz ist unabdingbar
Um kritische Unternehmensdaten wie Personaldaten, Finanz- und ERP-Informationen, Konstruktionspläne, Forschungsergebnisse, Patente oder Rezepturen besser absichern zu können, ist eine ganzheitliche, zentrale Lösung für den Schutz aller Datenbankenumgebungen unabdingbar. Es sind Systeme erforderlich, die nur eine einmalige Anmeldung des Anwenders erfordern (Single Sign-on) und automatisch die Zugriffe auf hochsensible Daten prüfen und überwachen. Diese Systeme lösen bei nicht autorisierten Zugriffen Alarme aus und blockieren sie in Echtzeit, entdecken Schwachstellen (Vulnerabilities) und patchen diese virtuell, spüren unplausible Benutzerberechtigungen auf und entdecken Benutzer, die nicht mehr aktiv sind.
Damit wird eine umfassende Übersicht erzeugt, um ein straffes Berechtigungsprofil gestalten und überwachen zu können. Es gilt, unbekannte Datenlecks zu entdecken und nicht autorisierte SQL-Transaktionen, sogenannte SQL Injections, aufzuspüren, zu melden und zu blockieren. Es ist unerheblich, ob diese von einem User oder durch eine Batch-Applikation ausgelöst wurden.
Echtzeit-Monitoring ist ein Muss
Transaktionen sind in Echtzeit zu monitoren, da dies die Voraussetzung dafür ist, Eindringversuche oder Missbrauch sofort zu erkennen und entsprechend zu handeln. Datenbankaktivitäten müssen in Echtzeit fälschungssicher protokolliert werden. Die Informationen zu durchgeführten Transaktionen (wer, was, wann, wo und wie) sind dem Unternehmen für ein Audit sicher zur Verfügung zu stellen.
Ein entsprechendes Reporting wird dem Auditor in Echtzeit auf Knopfdruck zur Verfügung gestellt. Eine TLS- (Transport-Layer-Security-) Verschlüsselung macht sensible Daten auf dem Transport wie im Speicher unlesbar. Ein sicheres Überwachungssystem ist allemal wirtschaftlicher als der Ausfall einer Datenbank nach einem Hackerangriff.
Wolfgang Heinhaus, Experton Group, www.experton-group.de
Hier folgt eine Auswahl an Fachbeiträgen, Studien, Stories und Statistiken die zu diesem Thema passen. Geben Sie in der »Artikelsuche…« rechts oben Ihre Suchbegriffe ein und lassen sich überraschen, welche weiteren Treffer Sie auf unserer Webseite finden. Diese Auswahl wurde von Menschen getroffen und nicht von Algorithmen.
Einmal Datensee und zurück: relationale Datenbank und polystrukturierte Daten
Interview zu aktiven Wissensdatenbanken – Kontext-Wissen entlang der Service-Prozesse
Automatisiertes Housekeeping lässt Datenbank um 25 Prozent schrumpfen
EU-DSGVO: Datenschutz-Grundverordnung der EU verunsichert Unternehmen
EU-Datenschutz-Grundverordnung – Fünf-Punkte-Plan für die Datensicherung