Sicherheit ist ein komplexes Thema. Einer meiner Kollegen veranschaulicht das gerne in Form einer Schranke auf einem Feldweg: Fahrspuren links und rechts des Schlagbaums erlauben es, das Hindernis zu umfahren. Dieses Bild trifft auf viele Sicherheitskonzepte zu: Punktlösungen lassen sich leicht umgehen – das gilt auch für die Datenbanksicherheit.
Trotz einer steigenden Zahl und Popularität von Lösungen für die Datenbank-Sicherheit sind viele Datenbanken immer noch eher schlecht als recht geschützt. Sicherheit bei den Anwendungen – zum Beispiel beim SAP-System – hilft aber alleine nicht, wenn die darunter liegende Datenbank nicht auch adäquat geschützt ist.
Datenbank-Sicherheit alleine reicht wiederum nicht aus, wenn die Anwendungen mit Zugriffsrechten nicht sicher sind. Ebenso problematisch wird es, wenn die darunter liegenden Schichten, also insbesondere das Betriebssystem, nicht ausreichend geschützt sind.
Gehen wir einmal von einem administrativen Benutzer aus, also beispielsweise jemand mit Root-Berechtigungen auf einem UNIX- oder Linux-System. Kann dieser direkt auf die Dateien zugreifen und sie beispielsweise für eine „Offline-Analyse“ mit aller Zeit der Welt einfach kopieren, so ist das Konzept nun einmal weiterhin löchrig.
Die grundlegende Aufgabe besteht also darin, alle Ebenen konsequent zu schützen: das Betriebssystem, die Datenbanken und die Anwendungen. Es geht aber auch darum, Daten in allen Situationen zu schützen – also nicht nur in der Datenbank, sondern auch bei der Verarbeitung und beim Transport respektive nach dem Export.
Das erfordert nicht nur technologische Lösungen. Man benötigt einen Gesamtrahmen für die „Database/Data Governance“, mit der Richtlinien für den Umgang mit Daten vorgegeben, Controls implementiert und die erforderlichen Prozesse und organisatorischen Strukturen umgesetzt werden. Genau dieses Thema habe ich in einer neu veröffentlichten KuppingerCole Research Note behandelt.
Einheitliches Konzept statt Punktlösungen
In diesem Gesamtkonzept ist die Datenbank-Sicherheit schon deshalb eines der Kernthemen, weil in Datenbanken eben die meisten sensitiven Informationen liegen. Finanzielle Daten, personenbezogene Daten und viele weitere schützenswerte Informationen finden sich dort.
Deshalb gilt es auch, die Sicherheitskonzepte für Datenbanken zu überprüfen und organisatorische wie technische Maßnahmen umzusetzen, um die Sicherheitsrisiken von Daten in Datenbanken zu reduzieren. Gerade im technischen Bereich hat sich dabei viel getan. Einige der großen Datenbankanbieter wie Oracle und IBM haben inzwischen eigene spezielle Lösungen für die Datenbank-Sicherheit im Programm. Außerdem gibt es eine wachsende Zahl an Spezialisten wie Sentrigo (vermutlich bald ein Teil von McAfee), Imperva oder Bitkoo, die hier Lösungen anbieten.
Bei allen Lösungen ist aber die Frage zu betrachten, welche Rolle sie in einem Gesamtkonzept der Sicherheit einnehmen. Denn letztlich sind es alles Punktlösungen, die alleine nicht ausreichen, sondern nur die Schranke auf der Wiese darstellen. Deshalb gilt es auch, vor Investitionen eine Gesamtsicht zu schaffen.
Das spart übrigens auch Geld. Es ist immer wieder beeindruckend zu sehen, wie in Unternehmen unkoordiniert in Punktlösungen investiert wird – immer mit dem guten Willen eines Bereichs, bestimmte Sicherheitsprobleme zu lösen. Oft schadet das aber mehr als es nutzt, weil man einerseits viel Geld ausgibt, andererseits aber weiterhin Sicherheitslücken bestehen und oft Werkzeuge ins Haus kommen, die im strategischen Gesamtrahmen wenig Sinn machen.
Daher gilt auch für die Datenbank-Sicherheit: Erst das Gesamtbild betrachten und dann gezielt handeln, um die häufig bestehende Sicherheitslücke in diesem Bereich zu schließen – und zwar so, dass man das Risiko wirklich reduziert hat und nicht nur vermeintlich mehr Sicherheit erreicht hat.