it-swarm.com.de

Direkter Zugriff auf Datenbanken

Einige der Nicht-DBA-Mitarbeiter wie Entwickler (zur Krisenbewältigung), Betrugsanalysten (nur mit Leseberechtigungen), Analysten (nur mit Leseberechtigungen) und einige andere, die direkten Zugriff auf Datenbanken benötigen, um ihre eigenen Abfragen zu schreiben. Ich kann die Berechtigungen nicht reduzieren und sie werden vom Management genehmigt. Jedes Mal, wenn sie eine andere Abfrage benötigen, kann ich sie nicht auf vorgefertigte programmatische Methoden beschränken.

PCI DSS Anforderung 8.7.b Statistik "Nur Datenbankadministratoren können direkt auf Datenbanken zugreifen oder diese abfragen."

Wie kann ich diese Anforderung noch erfüllen? Gibt es relevante Ausgleichskontrollen, die Sie vorschlagen können?

22
BokerTov

Einige der Nicht-DBA-Mitarbeiter (DEV, Fraud, Analysten ...) in meiner Organisation benötigen direkten Zugriff auf Datenbanken, um ihre eigenen Abfragen zu schreiben.

...

PCI DSS Anforderung 8.7 Statistiken "Nur Datenbankadministratoren können direkt auf Datenbanken zugreifen oder diese abfragen."

Die übliche Vorgehensweise besteht darin, eine bereinigte Version der Datenbank zu erstellen, wobei PAN Daten und andere vertrauliche Daten entfernt oder ersetzt werden). Diese bereinigte Datenbank befindet sich dann außerhalb des PCI-Bereichs und kann es sein direkt von den Personen abgefragt, die Sie beschreiben.

(Die Betrüger benötigen möglicherweise Zugriff auf PAN Daten für ihre Jobs ... aber sie können dafür keine Freiformabfragen verwenden. Sie schreiben eine Anwendung, die Zugriff auf die Daten bietet in der realen Datenbank benötigen sie durch vorgeformte Abfragen).

Für Entwickler und Analysten sollte die gesäuberte Version ihren Anforderungen entsprechen.

Möglicherweise möchten Sie auch die Frage der personenbezogenen Daten berücksichtigen. Data Science-Analysten benötigen Zugriff auf diese Detailebene. Entwickler dürfen nicht. Das liegt jedoch außerhalb der Anforderungen von DSS).

Diese Methode weist einige Nachteile auf:

  1. Abhängig von der Größe der Quellendatenbank kann das Scrubben zeit- und ressourcenintensiv sein.
  2. Die Tabellenindizes, die sich aus der Kardinalität der Daten ergeben, werden geändert, wenn Sie indizierte Spalten (z. B. PAN) entfernen oder ersetzen. Dies bedeutet, dass Leistungsmessungen für die "bereinigte" Datenbank nicht 1: 1 der "realen" entsprechen "Datenbank.
33
gowenfawr

AFAIK, das kannst du nicht. Wenn Sie mit dem PCI-DSS konform sein möchten, sollten weder Entwickler noch Analysten direkt auf die Produktionsdatenbank zugreifen.

Sobald dies gesagt wurde, sollten Sie sich fragen, warum sie direkten Zugriff auf die Datenbank Produktion benötigen. Entwickler sollten normalerweise mit einer Entwicklungsdatenbank zufrieden sein, die gefälschte Daten enthält, vorausgesetzt, die Größe ist für Leistungstests kohärent. Ein Analyst sollte Auszüge aus der Produktdatenbank in einer privaten Basis haben, um seine Abfragen durchzuführen. Sie könnten sich sogar fragen, ob eine BI-Lösung hier nicht möglich wäre: Produktdatenbank -> ETL -> BI-Datenbank

Es ist in der Tat komplexer als das Zulassen von direkten Zugriffen, aber Sicherheit (und Zertifizierungen ...) sind nur mit Kosten verbunden

9
Serge Ballesta