Müşterilerimizin veya potansiyel müşterilerimizin verilerini gerek 6698 sayılı Kişisel Verilerin Korunması Kanunu düzenlemelerini göre dikkatlice korumamız gerekiyor.
Microsoft SQL Server ortamlarında aşağıdaki önlemler alınabilir:
1- Ortamları Ayırmak:
Canlı (live/prod), test ve pre-prod/UAT şeklinde ortamlarınızı ayırın.
2- Görevler Ayrılığı İlkesi:
Veri tabanınıza giriş hakkının sadece ilgili kişilerde olmasını sağlayın.
3- Uygulama/test Kullanıcılara Sınırlama:
Uygulamalarımız için oluşturduğumuz ve adına uygulamal kullanıcı diyebileceğimiz kullanıcıları gerçek kullanıcılar kullanmamalı.
4- Anonim Kullanıcılar:
Birçok ortamda şirketteki tüm çalışanların "sa", "master", "admin" gibi anonim kullanıcıları mümkün olduğu kadar kullanılmamalı. Veritabanına erişimi olacak çalışanlarına kendi kullanıcısının sorumluluğu anlatılmalıdır.
5- Sadece Gerektiği Kadar Yetki Verilmesi:
Bir yazılımcının temel ihtiyaçları SP/Function/Trigger yetkileri düzenlemeli. Ayrıca, aşağıdaki DML işlemleri (SELECT, INSERT, UPDATE, DELET) için de yetkiler sınırlandırılmalıdır.
6-Veri Yedeklerken Güvenlik:
Mümkünse veritabanlarınızı şifreleyerek yedekleyin. Bunun için “Transparent Data Encryption” kullanabilirsiniz. Kötü niyetli kişiler bir şekilde yedek dosyalarınıza ele geçirse bile, veritabanlarını açamazlar.
7-Veritabanı Sunucularına Hatalı Ve Başarılı Girişleri Denetleme:
Eğer veritabanı sunucunuza art arda erişilmeye çalışılıyorsa ve hatalar alınıyorsa ya bir veritabanınız herhangi bir sebeple erişilemez duruma gelmişse sunucunuza içeriden veya dışarıdan "brute force" yöntemiyle erişilmeye çalışılıyordur.
Sadece başarısız giriş denemelerini değil, başarılı girişleri de kontrol etmemiz gerekiyor, ki eğer bir çalışanın veya uygulama kullanıcısının bilgileri kötü niyetli birisinin eline geçerse ve veritabanına bağlanırsa bilgisi olması gerekir.
8- SQL Authentication değil, Windows Authentication Kullanın:
Microsoft'a göre SQL Authentication uzun süredir "Deprecated" bir özellik, yani bir süre sonra kaldırılacak;. Microsoft'un bu özelliği kaldırmak istemesinin nedeni de güvenlik. Windows Authentication kullanmak gerekir.
9-Yerel Güvenlik Politikası Kullanma:
Hem yeni kullanıcılar oluştururken, hem de varolan kullanıcılarınız için Windows işletim seviyesindeki Yerel Güvenlik Politikalarından faydalanın. Bu sayede kullanıcılarınızın Login şifrelerinin belli bir uzunlukta ve zorlukta belirlenmesini sağlayabilirsiniz.
Kayıtlar
0 comments :
Yorum Gönder