En DBMS säkerhetsfunktion omfattar de mekanismer, policyer och kontroller som skyddar databasens konfidentialitet, integritet och tillgänglighet (CIA-triad).
Kärnsäkerhetskomponenter
1. Autentisering
- Verifierar användaridentitet: lösenord, MFA, biometri, certifikat, Kerberos, SSO-integration.
- Kontolåsning, lösenordskomplexitet, rotationspolicys.
2. Auktorisering
- Ger behörigheter efter autentisering: GRANT/REVOKE på objekt (tabeller, vyer, procs).
- Rollbaserad åtkomstkontroll (RBAC): roller = jobb funktioner; användare tilldelas roller.
- Behörighetsnivåer: SELECT, INSERT, UPDATE, DELETE, EXECUTE, ALTER, ADMIN.
3. Åtkomstkontrollmodeller
- DAC (Discretionary): Ägare ger åtkomst (standard SQL).
- MAC (Mandatory): Säkerhetsetiketter (Top Secret, etc.) – militärt/statligt.
- RBAC (Role-Based): Mest vanlig företagsmodell.
- ABAC (Attribute-Based): Dynamiska policys (tid, plats, datakänslighet).
4. Kryptering
- At rest: TDE (Transparent Data Encryption), kolumnnivå, tablespace.
- In transit: TLS 1.2+ för klient-server, replikering, backup.
- Nyckelhantering: HSM, KMS, rotation, separation of duties.
5. Revision och övervakning
- Revisionsloggar: inloggningar, DDL/DML, misslyckade försök, privilegieförändringar.
- Finjusterad revision (FGA) för känsliga kolumner.
- SIEM-integration (Splunk, QRadar, Sentinel) för realtidsvarningar.
6. Backup och återställning
- Automatiserade fullständiga/differentiella/loggbackuper.
- Point-in-time recovery (PITR).
- Offsite/omöjliglagring (ransomware-skydd).
- Regelbunden återställningstestning.
7. Nätverkssäkerhet
- Privata undernät, VPC, säkerhetsgrupper, NACL.
- Databasbrandväggar / SQL-injection prevention (WAF, parametriserade frågor).
- Privata slutpunkter, ingen publik IP.
8. Sårbarhetshantering
- Patch-hantering (CPU/PSU för Oracle, CU för SQL Server, etc.)
- Konfigurationshårdning (CIS Benchmarks, STIGs).
- Penetrationstestning, sårbarhetsskanning.
9. Datamaskering / Redaktion
- Dynamisk (frågetid) eller statisk (kopia) maskering för icke-prod, dev, analys.
- Formatbevarande kryptering, tokenisering.
10. Efterlevnadsanpassning
- PCI DSS (Krav 3, 7, 8, 10), HIPAA (164.312), GDPR (Art 32), SOX.
- Revisionsrapporter, attestationer, certifieringar.
Ett defense-in-depth tillvägagångssätt som kombinerar dessa lager är avgörande för modern dataskydd.
