Page 31 - การบริหารความมั่นคงปลอดภัยสารสนเทศ
P. 31
ความมั่นคงปลอดภัยข องร ะบบฐ านข้อมูล 8-21
มาตรการก ารต รวจส อบแ ละส อบท านก ารเขา้ ใชง้ านร ะบบจ ดั การฐ านข อ้ มลู จะท �ำ ใหม้ ัน่ ใจไดว้ า่ เมือ่ ใชง้ านร ะบบ
ฐานข้อมูลไปแล้วการใช้งานจะเป็นไปตามที่กำ�หนดไว้ในนโยบายการรักษาความมั่นคงปลอดภัย โดยการวิเคราะห์
ออดิท ล็อ ก (audit log)1 ของร ะบบจ ัดการฐ านข ้อมูล การป ฏิบัติต ามม าตรการต รวจส อบแ ละส อบท านจ ะท ำ�ให้ม ั่นใจได้
ว่า ข้อมูลท ี่ถ ูกจ ัดเก็บในร ะบบจ ัดการฐ านข ้อมูลจ ะถ ูกเข้าถ ึงอ ย่างเหมาะส ม ยกต ัวอย่างก ารอ นุญาตให้ผ ู้ใช้ง านส ามารถ
เข้าถึงกลุ่มรีเลชันที่จัดเก็บข้อมูลที่มีความละเอียดอ่อนสูง เช่น ข้อมูลการวินิจฉัยโรคของผู้ป่วยในฐานข้อมูลระบบ
บริหารจัดการโรงพยาบาล ซึ่งอนุญาตให้เข้าถึงได้จากแพทย์เจ้าของไข้เท่านั้น จะเห็นว่าข้อมูลนี้จะต้องไม่สามารถ
เข้าถึงได้จากบุคคลอื่น ๆ ไม่ว่าจ ะเป็นผู้ดูแลระบบฐานข้อมูล การตรวจสอบ ออดิท ล็อกจะทำ�ให้ทราบว่ามีการล ะเมิด
นโยบายน ี้ห รือไม่
แนวทางการกำ�หนดนโยบายการรักษาความมั่นคงปลอดภัยของข้อมูล และระบบจัดการฐานข้อมูลจะต้อง
จำ�แนกร ายล ะเอียด ผูใ้ชง้ าน สิทธิใ์นก ารเข้าถ ึงข ้อมูลต ่าง ๆ อย่างช ัดเจน เพื่อท ีจ่ ะไดก้ ำ�หนดม าตรการค วบคุมก ารเข้าถ ึง
ข้อมูลนั้น ๆ ได้อย่างเหมาะสมและมีประสิทธิภาพ ขั้นตอนการกำ�หนดนโยบายการรักษาความมั่นคงปลอดภัย
ฐ านข ้อมูลมีด ังต่อไปน ี้
1. การก ำ�หนดข้อมูลทสี่ ำ�คญั
เป็นขั้นตอนที่ผู้มีส่วนรับผิดชอบจะต้องร่วมกันกำ�หนดข้อมูลต่าง ๆ ที่ต้องการรักษาความมั่นคงปลอดภัย
เช่น การกำ�หนดประเภทของข ้อมูลม ีช ั้นค วามลับ การจ ำ�แนกข ้อมูลท ี่ถ ูกบ ริหารจ ัดการโดยระบบจ ัดการฐานข ้อมูล และ
ข้อมูลที่ไม่ได้ถูกบริหารจัดการโดยระบบจัดการฐานข้อมูลเนื่องจากข้อมูลทั้งสองลักษณะย่อมมีวิธีการในการรักษา
ความมั่นคงป ลอดภัยท ี่ต่างกัน เช่น ข้อมูลท ี่ไม่ได้ถ ูกบริหารจ ัดการโดยระบบจัดการฐานข ้อมูลจะต้องมีก ารก ำ�หนดให้
มีก ารเข้ารหัสล ับ หรือข ้อมูลที่ถูกบริหารจัดการโดยระบบฐ านข ้อมูลจะถูกควบคุมก ารเข้าถึงหรือเข้ารหัสล ับโดยร ะบบ
จัดการฐานข้อมูล เป็นต้น
2. การจดั การค วามเส่ียง
มีวัตถุประสงค์เพื่อกำ�หนดความเสี่ยงที่อาจทำ�ให้ข้อมูล หรือระบบฐานข้อมูลไม่มั่นคงปลอดภัย เพื่อจะได้
กำ�หนดมาตรการควบคุมที่เหมาะสม ในขั้นตอนนี้ผู้รับผิดชอบจะต้องกำ�หนดภัยคุกคามต่าง ๆ รวมไปถึงมาตรการ
จัดการต่อภ ัยคุกคามเหล่าน ั้น
3. ก�ำ หนดผ ใู้ ชง้ านแ ละส ิทธ์ใินก ารเขา้ ถ งึ ฐ านขอ้ มูล
โดยกำ�หนดบัญชีผู้ใช้และสิทธิ์ในการเข้าถึงรีเลชัน คอลัมน์ต่าง ๆ และกำ�หนดบัญชีผู้ดูแลระบบฐานข้อมูล
และการให้สิทธิ์ในการบ ริหารจัดการผู้ใช้ง านระบบฐานข้อมูล เป็นต้น
4. ตรวจสอบก ารจดั การบญั ชีผ ใู้ชง้ านก ับรา่ งนโยบายฯ
เพื่อทำ�ให้มั่นใจได้ว่าบัญชีผู้ใช้งานและสิทธิ์ต่าง ๆ มีความสอดคล้องกันกับนโยบายการรักษาความมั่นคง
ปลอดภัย
1 ออดิท ล็อ ก (audit log) หมายถึงล ็อกไฟล์ต ่าง ๆ ที่เกี่ยวข้องกับก ารว ิเคราะห์ความม ั่นคงปลอดภัยของร ะบบ โดยจะต ้องจ ัดเก็บข ้อมูล
ที่ร ะบุได้ว ่า ใคร ทำ�อะไร ที่ไหน เมื่อไร ในก รณีข องร ะบบจ ัดการฐ านข ้อม ูลอ อดิท ลอ็ กท ี่ส ำ�คัญ เช่น ล็อกก ารพ ิสูจนต์ ัวจ ริงต ่อร ะบบจ ัดการฐ านข ้อมูล
ล็อกท ี่เกี่ยวข้องก ับการเพิ่มห รือแ ก้ไขบ ัญชีผู้ใช้ เป็นต้น
