Bezpieczeństwo baz danych

1. Wprowadzenie

Bezpieczeństwo baz danych to zbiór środków technicznych, organizacyjnych i proceduralnych, które mają na celu:

ochronę danych przed nieautoryzowanym dostępem,
zapewnienie integralności i spójności danych,
utrzymanie dostępności danych dla uprawnionych użytkowników,
minimalizację ryzyka utraty lub wycieku informacji.

Jest to kluczowy element w systemach informatycznych, szczególnie w kontekście danych wrażliwych (np. dane osobowe, informacje finansowe, dane medyczne).

2. Główne zagrożenia dla baz danych

Bazy danych mogą być narażone na różne rodzaje zagrożeń:

a) Nieautoryzowany dostęp

próby odczytu lub modyfikacji danych przez osoby bez uprawnień,
kradzież loginów i haseł.

b) Ataki zewnętrzne

SQL Injection – wstrzyknięcie złośliwych zapytań SQL, które mogą zmieniać dane lub ujawniać poufne informacje,
DoS/DDoS – przeciążenie systemu i uniemożliwienie dostępu do danych,
Malware i ransomware – złośliwe oprogramowanie szyfrujące dane lub je usuwające.

c) Błędy ludzkie

przypadkowe usunięcie danych,
nieprawidłowa konfiguracja uprawnień,
używanie słabych haseł.

d) Awaria sprzętu lub oprogramowania

uszkodzenie dysków,
błędy w systemie operacyjnym lub DBMS,
utrata danych w wyniku braku kopii zapasowych.

e) Zagrożenia wewnętrzne

pracownicy z pełnym dostępem mogą celowo lub przypadkowo ujawnić dane,
tzw. „insider threat” – celowe działania osób zatrudnionych w organizacji.

3. Podstawowe zasady bezpieczeństwa baz danych

Poufność (Confidentiality) – dane są dostępne tylko dla uprawnionych użytkowników.
Integralność (Integrity) – dane są poprawne, spójne i chronione przed nieautoryzowaną modyfikacją.
Dostępność (Availability) – system zapewnia nieprzerwany dostęp do danych uprawnionym użytkownikom.
Niezaprzeczalność (Non-repudiation) – użytkownicy nie mogą zaprzeczyć swoim działaniom (np. logi audytowe).

4. Mechanizmy ochrony baz danych

a) Kontrola dostępu

uwierzytelnianie (login + hasło, certyfikaty, 2FA),
autoryzacja (nadawanie odpowiednich uprawnień),
zasada najmniejszych uprawnień – każdy użytkownik ma tylko takie prawa, jakie są mu niezbędne.

b) Szyfrowanie

szyfrowanie danych w spoczynku (np. pliki baz danych na dysku),
szyfrowanie danych w transmisji (np. SSL/TLS dla połączeń z bazą),
maskowanie danych wrażliwych (np. wyświetlanie tylko fragmentu numeru karty).

c) Kopie zapasowe (backupy)

regularne wykonywanie kopii danych,
przechowywanie kopii w bezpiecznych lokalizacjach,
testowanie procesu odtwarzania danych.

d) Audyt i monitorowanie

rejestrowanie działań użytkowników (logi),
wykrywanie prób nieautoryzowanego dostępu,
analiza anomalii w ruchu i zapytaniach SQL.

e) Ochrona przed atakami SQL Injection

stosowanie zapytań parametryzowanych,
unikanie dynamicznego składania zapytań z danych użytkownika,
walidacja danych wejściowych.

f) Aktualizacje i łatki bezpieczeństwa

regularne aktualizowanie systemu operacyjnego i DBMS,
instalowanie poprawek zabezpieczeń od producenta.

5. Dobre praktyki w zarządzaniu bezpieczeństwem baz danych

stosowanie silnych haseł i polityki ich cyklicznej zmiany,
wdrożenie uwierzytelniania wieloskładnikowego (MFA),
izolacja baz danych w sieci (firewalle, VPN),
segmentacja danych (podział na strefy o różnym poziomie dostępu),
regularne szkolenie administratorów i użytkowników,
ograniczenie liczby kont z uprawnieniami administratora,
stosowanie mechanizmów redundancji i klastrów w celu zapewnienia wysokiej dostępności (HA).

6. Standardy i regulacje dotyczące bezpieczeństwa danych

RODO (GDPR) – ochrona danych osobowych w UE,
HIPAA – regulacje dotyczące danych medycznych (USA),
PCI-DSS – standard bezpieczeństwa dla danych kart płatniczych,
ISO/IEC 27001 – standard zarządzania bezpieczeństwem informacji.