この SQL に誤ったタグを付けて申し訳ありませんが、あなたはここで活発に活動しているようです。私はデータ ウェアハウス開発者であり、現在、データをデータ ウェアハウスに抽出する社内特注の運用システムを開発した会社で働いています。一部のユーザーから、ウェアハウスにユーザー ログ情報 (誰がいつログインしたか) を含めることができるかどうか尋ねられました。ただし、システムはこの情報を保存しません。そうすべきだと思います。コンプライアンスや規制のルールはありますか? 適切なセキュリティ/システム上の理由はありますか?
質問する
72 次
2 に答える
1
システムは、監査ログをどこかに保存する必要があります。セキュリティ以外のデータとは別のデータベースに保存するか、別の方法で保管するのが最善です。
監査ログは、否認防止の一環としてユーザーの行動を観察するために使用されます。これは、管理者やその他のユーザーの行動をほとんど制限なくポリシングする唯一の方法です。多くの組織では、SOX (Sarbanes-Oxley)、HIPAA、PCI-DSS、またはサプライ チェーン契約に準拠するために監査ログが必要になります。
監査ログには、HMAC などの単純な改ざん検出の形式が必要です。古い監査ログ エントリを消去またはバックアップする操作では、監査ログにエントリも追加する必要があります。
[編集: リクエストに応じて詳細を追加]
否認防止は、「やっていないと主張することはできない」という非常に凝った言い方です (http://en.wikipedia.org/wiki/Non-repudiation)。たとえば、ユーザーが問題のあるデータをアップロードした後、それが自分のものではないと主張した場合、他の誰もログオンしていないときにそのユーザーがログオンしたという事実を示す監査ログは非常に役立ちます。
HMAC はハッシュ メッセージ認証コードです ( http://en.wikipedia.org/wiki/Hash-based_message_authentication_codeまたはhttp://www.ietf.org/rfc/rfc2104.txtを参照)。これは、秘密の番号があり、それをデータに追加してハッシュを取得する暗号化アルゴリズムです。これは、ライブラリなしで計算するのが難しい場合があり、おそらく希望する場所よりも少し進んでいます。
于 2012-08-30T14:27:39.133 に答える
1
一部の業界や国には、監査に関する規制があります。SOXはそれをかなり広げました。しかし、私の知る限り、これに関する一般的な法律や規制はありません。これはおそらく良いことです。
ただし、ユーザーがこのデータに関するレポートを求めているという事実は、データを収集する必要があることを示唆しています。
この種のデータを保存するその他の理由は、使用状況を理解し (場合によっては、その使用量に対して部門に請求する)、バグを検出し、容量管理をサポートし、サービス品質を監視することです。重要なエンタープライズ アプリケーションのほとんどは、正式な監査を必要としない場合でも、これらの機能の少なくとも一部を必要とします。
価格と顧客リストの保護など、データのセキュリティが重要な場合は、監査だけでは不十分であり、非生産的である可能性があります。個々のログインへのデータ漏洩を追跡することは、ほぼ確実に (ほぼ) 不可能であり、間違った人物を簡単に非難することになる可能性があります。
于 2012-08-30T14:38:27.933 に答える