Основы информационной безопасности

Систем управления базами данных

Системы управления базами данных стали основным инструмен­том, обеспечивающим хранение больших массивов информации. Современные информационные приложени-я опираются, как уже говорилось, в первую очередь на многопользовательские СУБД. В этой связи пристальное внимание в настоящее время уделяется про­блемам обеспечения информационной безопасности, которая опре­деляет степень безопасности организации, учреждения в целом.

Под информационной безопасностью понимают защищенность информации от случайных и преднамеренных воздействий естест­венного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации.

В целях защиты информации в базах данных на практике важ­нейшими являются следующие аспекты информационной безопас­ности (Европейские критерии):

доступность (возможность получить некоторую требуемую ин­формационную услугу);

целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного измене­ния);

конфиденциальность (защита от несанкционированного прочте­ния).

Проблема обеспечения информационной безопасности — ком­плексная, поэтому ее решение должно рассматриваться на разных уровнях: законодательном, административном, процедурном и про­граммно-техническом. К сожалению, в настоящее время особенно остро стоит проблема с соответствующим законодательством, обес­печивающим использование информационных систем.

Рассмотрим основные программно-технические меры, применение которых позволит решить некоторые из вышеперечисленных проблем:

аутентификация и идентичность;

управление доступом;

поддержка целостности;

протоколирование и аудит;

защита коммуникаций между клиентом и сервером;

отражение угроз, специфичных для СУБД.

Аутентификация и идентичность

Проверка подлинности пользователя приложений базы данных чаще всего осуществляется либо через соответствующие механизмы операционной системы, либо через определенный SQL-оператор: пользователь идентифицируется своим именем, а средством аутен­тификации служит пароль. Подобная система создает значительные сложности для повторных проверок и исключает подобные проверки перед каждой транзакцией.