隨著新版個資法三讀通過，企業對於資料保護工作已不能等閒視之。根據統計，機關行號有超過9成以上的機密資料都是存在於資料庫當中，要如何妥善保護資料「金庫」，也成為重要課題。

因應法規即將實施，各家資料庫系統紛紛強化其安全機制，坊間還有許多專業的資料庫安全產品。面對眾多解決方案，企業應該如何選擇呢？

國內某醫院一名醫生，因一起醫療糾紛發生之後，為避免責任歸屬，自行至資料庫當中竄改病人的病歷，目前這項官司仍然在繼續當中…。

令人好奇的是，該名醫生為何能夠到資料庫中修改任何資料而系統管理員卻不知？該醫院的資料庫安全管理出現了哪些漏洞呢？

Sybase技術部經理翁志宏表示，由於資料庫大都被佈建於內部網路，並非是直接對外的媒介，且多數企業在內部網路之外皆已建置防火牆等多層次的資安設備進行防護工作，因此由外而內的攻擊較少；而根據統計，有61%的資料安全漏洞是由內部人員所造成的，特別是DBA、程式開發人員、合作廠商等，換句話說，資料庫的資料外洩，主要是來自於有內部人員的資料偷竊行為。正如前文所述，醫生可以自行至資料庫竄改病歷資料一般。

對於要防範內部人員將資料庫的機密資料竊取出去，資料庫系統無不強化其安全機制，其中之一就是要先做好身份權限的管控。

資料庫內建的安全機制
目前主流的資料庫系統， 包括O r a c l e 、S Q LServer、DB2、Sybase等皆內建詳細的身分權限控管的功能，主要是透過密碼認證的方式，確保讓有權限者可以登入資料庫；換句話說，提供企業做好並定義使用者的帳號、密碼管理。

另外，這些資料庫系統也皆內建了存取控制(AccessControl)功能，讓資料庫中的每個物件(Object)都可做到不同的權限控管。翁志宏表示，例如，一般可透過「Grant」與「Revoke」指令（授權與刪除授權）讓管理者可以設定每一個Table的存取權限。

除此之外，Sybase的Adaptive Server提供了角色區分的功能，可以讓管理者定義不同的系統角色，例如系統管理者(System Administrator, SA)，或是系統安全管理者(System Security Officer)，並允許系統安全管理者可以再定義額外的角色，每一種不同的角色可以對應有不同的存取權限。

為了要防範資料庫管理員(Database Administrator,DBA)以及具備超級權限使用者可能會利用過高的資料庫權限來修改資料庫資料，Oracle推出了可另外選購的Oracle Database Vault，提供了進一步職責劃分控制功能，可防止擅自更改資料庫，例如，如果一個使用者具備「Create User」許可權，但不具備正確的用戶管理許可權，則Oracle Database Vault將可阻止該DBA建立新用戶帳號。

看完這篇文章，簡言之，資料庫查核有滿大的因素乃為了防止內部人員的竊取，因目前的防火牆都能滿有效地阻擋外來的侵入，但卻沒辦法應付區網內的不符權限的使用，故在資料庫系統加入這些權限安全的處理機制，或更近一步地建置資料庫的稽核工具，更可確保資料庫的安全性。

2