Yoksa siz, uygulama tablolarının yedeğini kendi şema’sı altına alıp da oradan çalışanlardan mısınız?

Kurumlarda uygulama objelerine, müşteri verilerine erişmek maliyetlidir:

  • Servis/Talep Yönetimi uygulamaları varsa talep girmeniz gerekir. Uygulama yoksa bir yerlerde bu talebinizin kaydının olması gerekir. Yöneticilerinizin bu talebi onaylaması gerekir.
  • Kritik verilere/tablolara erişimler anlık ya da düzenli olarak takip edilmektedir, raporlanmaktadır. Bu takip dış kaynak bir uygulama ile olabilir, ya da DBA'lerin trace/logları ile olabilir.
  • Verilen yetkiler sınırlı süreli verilmektedir. Birkaç saat ya da gün sonunda alınan yetki için tekrar talep süreci başlatılması gerekir.

 

Pratik zeki çalışan ne yapıyor peki?

  • Bu süreci tekrar tekrar yaşamamak için, uzun süreli çalışacağı tablonun yedeğini kendi şema'sı altına yedekliyor..!

 

Durumun vahametine gelelim şimdi de..!

 * Yedeğini aldığınız tablo kritik müşteri/personel verisi içeren bir tablo olabilir! Kritik veriye erişimin ise mutlaka makul bir açıklaması olması gerekir!

 * Kritik veri tanımı, sizin yorumlarınıza bırakılmaz. Bilgi Güvenliği kapsamında, kritik veri tanımları yapılmıştır. Yöneticilerinizin size bu verileri/tabloları bildirmiş olması beklenir!

 * Size birkaç saatliğine izin(onay) verilen bu yetkiyi, sınırsız süre ile kullanma niyetindesiniz demektir. Bu da yetkiyi suiistimale girmektedir!

 * Bilgi Güvenliği denetimlerinde ya da DBA'lerin zaman zaman kontrollerinde çıkan bu durumları, DBA'leriniz size bildiriyordur. DBA'leriniz sizler adına, denetimlerden önce bu verileri siliyor, makul açıklamalarını yapıp sizi hesap vermekten kısa süreli kurtarıyordur.

 * Ama ciddi bir denetimde ortaya çıkacak bu durum, çok daha ileri seviyede açıklama ve hesap vermenize neden olabilir..!

 

Demek ki ne yapmak gerekiyor?

  • Başının belaya girmemesi için, mümkün olduğunca az yetki, mümkün olduğunca az veriye erişim istemek gerekiyor.
  • Talep girme sürecinde üşenmemek, her erişim gerektiğinde açıklamasıyla birlikte yeniden talep girmek gerekiyor.
  • ve mümkünse hiçbir veriyi/tabloyu kendi şema'n altına yedeklememek gerekiyor :)

 

Teşekkür ediyoruz.