Co administrator danych wie o bezpieczeństwie

Ostatnio opublikowane studium pokazuje, że administratorzy baz danych nie do końca rozumieją o co chodzi w zarządzaniu bezpieczeństwem.  Sami przyznają, że ich wiedza w tym obszarze jest dość ograniczona. Kwestie takie jak kontrola zmian, zarządzanie aktualizacjami czy audyt bezpieczeństwa nie są im znane. Całe studium zostało oparte o badanie pośród 214 administratorów Sybase, którzy należą do International Sybase User Group.

“A majority of respondents admit that there are multiple copies of their production data, but many do not have direct control over the security of this information,” the survey report stated. “Only one out of five take proactive measures to mask or shield this data from prying eyes.”

Analityk Unisphere Research, Joe McKendrick, który jest autorem badania ISUG, zaznacza, że to tylko jedno z takich badań, które są prowadzone wśród użytkowników różnych typów baz danych, także tych, działających na konkurencyjnych platformach, takich jak SQL Server czy Oracle.

“This [ISUG survey] pretty much follows the same script [as the survey responses in the other database environments,” pisze McKendrick. “It’s very consistent — with a very common theme across all of these different user groups and technology bases — that there is a disconnect between management and security.”

Ciekawe jest to, że 50% respondentów nie uważa, że w najbliższym roku staną się ofiarą wycieku danych. Według Richa Mugulla, założyciela firmy analitycznej Securosis, nie ma w tym nic niespodziewanego.

“We still see very much a split between the database and security worlds — and not nearly the level of communication between the two of them that we’d like,” mówi Mogull.

Eksperci od bezpieczeństwa radzą instytucjom, żeby bardziej przyłożyły się do udostępniania baz danych nie tylko dla ich administratowrów, ale także specjalistów IT.

“We need to ask ourselves, ‘Where are these pieces of classified information and bank account numbers and sensitive organizational data being stored in the databases? Can we identify all the databases they’re in?’”  Wyjaśnia Hutton. “And then we can figure out how to create a control structure that prevents, detects, and responds to incidents against that database.”

Eksperci wskazują też, że wiele organizacji nie potrafi efektywnie przeprowadzić audytu danych, co sprawia, że polityki bezpieczeństwa i ich kontrola naprawdę działają. McKendrick wskazuje, że jego badanie wykryło, ze 16% instytucji prowadzi comiesięczny audyt danych. Kolejne 32% nawet nie potrafi powiedzieć, kiedy są przeprowadzane takie audyty, bądź po prostu ich nie przeprowadza.

IDC: większość wewnętrzynych wycieków danych to przypadek

Wypadki wycieku lub utraty danych o wiele częściej są powodowane przez „swoich”, a wyrządzona szkoda często dzieje się przez przypadek. Mimo to, takie wypadki mają bardzo duże konsekwencje. Tak przynajmniej mówi ostatnie badanie IDC – firmy zajujacej się badaniem przemysłu, sponsorowane przez RSA.

Jak mówi raport z badania, 52 % respondentów stwierdziło, że zecydowana większość wypadków utraty danych ma charakter przypadkowy, a 19% uważa, że były zamierzone.  Kolejne 26 % twierdzi, że ich problemy były kombinajcą umyslnego działania i nieszczęsliwych wypadków.

“Jedna z rzeczy, która nas zaskoczyła, to to, jak duża liczba takich incydentów jest nieumyślna”, mówi Chris Young, członek zarządu RSA, cytowany przez Dark Reading. “Mimo, ze pracownicy starają się rzetelnie wykonać swoją pracę, często nie wiedzą, że mogą narażać swojego pracodawcę na straty.” Zobacz więcej