2012年11月18日 星期日

把關資料庫存取 DAM行情看俏


個資法驅動應用商機 金融電信醫療市場起步
把關資料庫存取 DAM行情看俏

由於具有從代理商、經銷商再到企業用戶的多層IT銷售生態,資料庫稽核管理(Database Activity Monitoring,DAM)產品早在個資法修訂前便已進入台灣市場。

Chalet Tech(玄力科技)業務副總顏良修表示,台灣資料庫稽核市場起步的相當早,其原因在於本土企業對IT的投資觀念還是偏重硬體設備,而硬體設備的攤提年限一買就是五年,使得經銷商們傾向不斷透過引進其他新的產品,來說服客戶購買導入,也因此資料庫稽核解決方案其實在台灣已有幾年的發展。

當然,2008年開始新版個資法的修訂,數位個資不外乎以檔案或資料庫的方式加以儲存,更是帶動了資料庫稽核的另一波需求高峰。而除了個資保護之外,代理iMperva的亞利安科技資安技術支援部經理王添龍也提到,DAM也可用於內部稽核工作,以更了解企業資料庫的使用與運作情形。

資料庫稽核的D-Day

目前的用戶採購現況,顏良修根據Chalet Tech所做的調查,將資料庫稽核市場分為認知(Awareness)、調查測試(Survey)、導入(Deployment)三個階段來看。

金融和電信業在個資防護的認知上在這兩年內達到最高,甚至有100 %。然而,認知不代表行動,以金融業來說,已對產品進行研究測試的比例也高達90%,但實際部署導入的比例卻不到25%,為何會出現如此大的落差?「銀行因為部署規模大,投資也大,但導入失敗的比率相對也高,所以Survey後較保守不敢導入」,顏良修的觀察。但是她也認為,待個資法真正開始實施後,只要有第一家大動作導入,其他觀望的企業就會馬上跟進,將使資料庫稽核的後勢看漲,而出現明顯的成長曲線。

至於醫院,雖然持有的皆屬於特種個資,但因為醫院經營管理階層還是以醫療背景為主,對資訊的關注程度較低,因此只有大型的署立或教學醫院,在個資防護上較有意識,而其他一些區域院所甚至是地方診所,則較無警覺。但其優勢在於醫療單位是集中型的資料庫,所以在架構上較為簡單,單一院區可能就只一個醫療資訊系統進行部署即可,加上醫療院所的經費較充裕,所以雖然整個產業對個資防護的意識相較其他產業為低,但進行測試到實際導入的比例反而不差。

DAM的三種部署架構

顏良修強調,資料庫稽核管理的重點,就是要由第三方來監控所有資料庫的活動,而非以資料庫系統本身內建工具來執行。主要考量是因為透過資料庫內建工具,資料庫管理者仍握有存取權限,會引發球員兼裁判的疑慮,而失去稽核報告的獨立性與完整性。

就目前資料庫管理稽核工具可提供的部署方式,主要有網路(Network)、主機代理程式(Agent)、結合網路和代理程式(Network + Agent)三種架構。顏良修指出,可運用網路側錄產品透過最靠近資料庫交換器的Mirror Port,將所有通往資料庫的網路封包複製到DAM設備進行分析。

三種資料庫稽核部署架構



而王添龍則補充,除了側錄外,還有In-Line的架構,也就是將設備接在交換器之前,讓所有進出資料庫的封包都先經過此設備,所以也能夠透過政策(Policy)的設定,即時阻擋違反政策的存取行為。不過他也提醒,採用In-Line模式部署,除了要考慮設備的網路承載流量,以免造成效能瓶頸外,還要具備by-pass的機制,確保稽核設備出現異常時還能傳遞封包,不影響資料庫的運作。

顏良修進一步說明,網路式產品在收集封包後,需要根據不同資料庫的封裝格式進行拆解以獲取封包內的訊息,使得網路型產品的技術門檻較高;而代理型產品則要因應像Linux、Windows、Solaris等作業平台,再加上不同資料庫來推出對應的軟體,使其版本的維護更新工作上較為複雜。而Chalet Tech一開始也是採用網路式架構,但因應客戶對本機資料庫的稽核需求,才又推出代理解決方案。但她也指出,目前代理程式方案主要是定位為網路解決方案的輔助之用,在代理程式這方面不若IBM Guardium產品功能的多樣。

而iMperva也是同時提供網路與代理程式兩種架構,代理程式也著重在監看本機的存取作業並直接送出,以減少對主機本身的負擔。不過王添龍建議,最好能只針對像資料庫管理者的操作,或個資所在的欄位等重點來進行側錄,否則所有行為都記錄的話,當真有事件發生需要查詢調閱時,就會像大海撈針般,難以找出所需的關鍵資訊。

加密簽章 強化不可否認性 

在資料的不可否認性方面,顏良修表示只要能儲存在電子媒體內的資料都可做為數位證據。在法律訴訟上,證據可分為證據資格與證據力兩個部分來看,而所謂的不可否認性,指的就是證據力的部分,能讓法官形成堅定的心證。

透過第三方DAM設備,將原始稽核記錄經過壓縮、加密與數位簽章後隨即予以封存,即使在製作稽核報表時,也是在不破壞原始記錄的狀態下,由機器直接解讀而不經人工介入編輯整理,來確保證據的不可否認性。

對此王添龍亦提到,要讓資料庫稽核解決方案能真正因應個資法的要求以做為舉證之用,需要能具備證據的不可否認性,確保資料的安全公正與不被篡改。因此資料在收集後,如果需要再外接儲存設備來增加其備份容量時,這些資料都會經過加密與數位簽章的保護,強化其不可否認性的證明。

轉載自《網管人;作者:洪羿漣》

沒有留言:

張貼留言