Oracle Data Safe Security Assessment vám pomáhá vyhodnocovat a monitorovat změny bezpečnostních rizik vaší databáze tím, že identifikuje nesprávnou konfiguraci zabezpečení, chybějící zásady, uživatele a oprávnění. Po prvotní identifikaci rizik zákazníci obvykle vyhodnotí rizika jejich validací a jejich úrovněmi rizik, než je napraví. Někdy nelze identifikované riziko použít, protože může existovat nějaká jiná zmírňující kontrola nebo to nemusí být důležité pro vaši firmu nebo auditory. Zákazníci by chtěli, aby Data Safe upravila zjištění tak, aby odpovídala konkrétním potřebám jejich organizace a pomohla zefektivnit proces hodnocení.
S potěšením oznamujeme, že nyní můžete „odložit riziko“ nebo „změnit úroveň rizika“, aby odpovídala vašemu konkrétnímu prostředí a nasazení. „Odložit riziko“ vám umožňuje uvést, že jste nález zkontrolovali a budete na něm pracovat později (nebo případně nikdy), aby se znovu neobjevil jako nález v následujících zprávách. „Změna rizika“ vám umožňuje zvýšit nebo snížit závažnost nálezu tak, aby vyhovovala vašim požadavkům.
Případy užití
V níže uvedeném příkladu se organizace rozhodla „odložit“ riziko pro uživatele s hesly s prošlou platností, dokud nebudou moci prostudovat, kdo jsou tito uživatelé
Obrázek 1. Posouzení bezpečnosti dat – Odložení nebo změna úrovně rizika nálezu.
Případ použití 1
Posouzení bezpečnosti dat zjistilo, že databáze nemá nedávnou zálohu (žádné záznamy za posledních 90 dní), a označilo ji jako vysoce rizikovou. Zde však byla databáze za posledních 80 dní zálohována, ale jako studená záloha s technologií třetí strany. Rozhodli jste se, že neexistuje žádné riziko, a nyní to můžete označit jako „Prošlo“. Hodnotící zpráva by to tedy již neukazovala jako „zjištění“.
Případ použití 2
Hodnocení zabezpečení zjistilo, že máte pět uživatelů s rolí DBA, a označilo to jako „Vyhodnotit“. Po pečlivém prozkoumání jste si všimli, že všech pět uživatelů má schválené účty pro správce databází vaší společnosti. Navzdory přečtení poznámek o tom, proč je lepší nepoužívat předpřipravenou roli DBA, jste se vědomě rozhodli označit ji jako „nízké riziko“. Správci databáze stále používají výchozí roli DBA, ale mají v plánu zkontrolovat jejich oprávnění pomocí analýzy oprávnění a vytvořit přizpůsobenou roli DBA pouze s nezbytnými oprávněními. Sféry Database Vault navíc chrání aplikační schémata a dále snižují riziko zneužití nebo kompromitace.
Obrázek 2. Odložení rizik pro pozdější přehodnocení
Případ použití 3
Hodnocení zabezpečení zjistilo, že existuje účet aplikační služby, který umožňuje neomezené neúspěšné přihlášení. Vyšetřování odhalilo, že po poslední změně hesla několik dávkových procesů nadále používalo staré heslo, zablokovalo účet aplikace a způsobilo výpadek. Na problému se pracuje a plánuje se implementace postupného převádění hesel pro všechny profily účtů aplikací. Mezitím se auditují neúspěšné pokusy o přihlášení a Audit Vault je nakonfigurován tak, aby upozornil, kdykoli dojde k novému neúspěšnému pokusu o přihlášení. Nastavení tohoto rizika na odloženo, dokud nebudou implementovány profily obnovení hesla.
Zpráva o změně rizika
Uživatel měnící úroveň rizika bude muset tuto změnu zdůvodnit. Uživatel může také nastavit datum vypršení platnosti. Nastavení data vypršení platnosti vymaže přepsanou úroveň v daném okamžiku a znovu nechá hodnocení ukázat skutečnou úroveň nálezu.
Upravené úrovně rizika jsou sledovány a dostupné v části „Zpráva o úpravě rizik“. V této zprávě uvidíte původně identifikovanou úroveň rizika, upravenou úroveň rizika nebo zda bylo riziko odloženo, spolu s odůvodněním a datem vypršení platnosti. Sleduje se také uživatel, který provedl změnu, a čas poslední aktualizace.
Obrázek 3. Posouzení bezpečnosti dat – zpráva o úpravě rizika.
Závěr
Díky tomuto doplňku vám Data Safe pomůže zefektivnit a upravit zprávu o hodnocení tak, aby vyhovovala vašim firemním a regulačním potřebám. Nyní můžete kromě posuzování databáze podle standardních postupů také přizpůsobovat úrovně rizik, ručně předávat nálezy a sledovat svůj pokrok směrem k dodržování předpisů.
Zdroj: Oracle
