信息系统项目管理师教程第3版：数据库系统安全

4．数据库系统安全

数据库系统是存储、管理、使用和维护数据的平台。数据库安全主要指数据库管理系统安全，其安全问题可以认为是用于存储而非传输的数据的安全问题。不过，普通的存储数据加密是不足以解决数据库的安全问题的。数据库系统的数据文件结构与一般文件有很大差异，对数据库系统的访问也不同于对一般文件的访问，其安全问题不同于一般用于存储的文件系统的安全。

一般而言，数据库安全涉及以下这些问题：

(1)物理数据库的完整性。保证数据库系统中的数据不因各种自然或者物理因素而被破坏，这些因素如地震、水灾、火灾、盗窃、电力问题或设备故障等。

(2)逻辑数据库的完整性。对数据库的结构化特征提供保证，确保数据库系统结构、数据库模式和数据库数据不被非法修改，事物处理及操作符合数据库各种完整性约束。

(3)元素安全性。确保教据库各种存储元素满足机密性、完整性、可用性等限制。

(4)可审计性。记录数据库中所有事物和操作，保留详细的审计和日志记录，提供事后追查、分析和取证工具。

(5)访问控制。确保只有授权用户或授权程序可以访问那些允许它们访问的数据元素，同时保证对不同用户限制使用不同的控制策略并允许灵活设置。

(6)身份认证。不允许一个未经授权的用户对数据库进行操作。

(7)可用性。数据库系统能够随时对授权用户提供高质量数据访问服务，让用户能够最大限度地访问允许他访问的数据。

(8)推理控制。推理控制机制必须保证用户不能从被公开发布的、授权可被访问的信息以及统计信息中，推导出秘密的、未被授权访问的信息以及统计信息。

(9)多级保护。根据应用的要求，可以将数据划分为不同密级的集合，也可以同一记录中的不同字段划分为不同的保密等级，还可以将同一字段的不同值划分为不同的安全等级，从而实现数据的等级划分以及用户依据相应等级安全策略要求的等级访问。

为了解决以上的安全目标，数据库安全在技术上采取了一系列的方法，具体包括：数据库访问控制技术、数据库加密技术、多级安全数据库技术、数据库的推理控制问题和数据库的备份与恢复等。