林 森

（北京國信宏大科技有限公司，北京 100053）

0 引言

隨著信息技術的快速發(fā)展和廣泛應用，當前我國已經進入信息化時代，信息技術在各行各業(yè)中都發(fā)揮著十分重要的作用，成為企業(yè)在經濟發(fā)展新常態(tài)下轉型升級的重要手段。在這樣的背景下，2015 年，國家大力倡導“互聯網+”行動，旨在推進各行各業(yè)與互聯網信息技術的結合，從而進一步深化供給側結構性改革，促進我國社會經濟的高質量發(fā)展。在“互聯網+”時代背景下，我國很多企業(yè)紛紛建設了自身的信息管理系統(tǒng)，構建了信息數據庫。

1 相關概念界定

1.1 數據庫

數據庫，顧名思義，就是存放數據的倉庫，一般也被稱為“電子化的文件柜”，是一種長期存儲在計算機內部的有組織、統(tǒng)一管理且可共享的大量數據的集合，是按照數據結構進行數據組織、存儲和管理的“倉庫”。在網絡信息化時代，隨著信息技術的廣泛應用，人們對于信息的存儲和管理工作一般是借助網絡數據庫來實現的。在實際生活中，很多重要的網絡服務都離不開數據庫的支持。對于企業(yè)而言，數據庫的重要性更是顯而易見。因為企業(yè)的資金管理、與合作伙伴的網絡信息以及其他的數據信息都保存在數據庫當中。因此，企業(yè)的網絡數據庫安全問題十分重要，直接影響到企業(yè)整體運行的安全。一旦企業(yè)的網絡數據庫遭到攻擊破壞，其中存儲的諸多信息數據就會被泄露、篡改或破壞，后果十分嚴重。因此，企業(yè)必須確保網絡數據庫中數據信息的安全。

1.2 企業(yè)信息管理系統(tǒng)

企業(yè)信息管理系統(tǒng)，是專門為中小企業(yè)量身定制的網絡化管理系統(tǒng)（Information Management System for Enterprise）。其主要功能大致可分為客戶管理、合同管理、項目管理、庫存管理、人事管理、財務管理、公共資源和系統(tǒng)管理等多個方面。在實際運用中，企業(yè)構建自身的信息管理系統(tǒng)，能優(yōu)化企業(yè)的結構，改善企業(yè)生產作業(yè)與運營，從而有效提高運營的效率。同時，運用該系統(tǒng)還能提高企業(yè)管理層智能決策的能力，并提高企業(yè)員工的綜合素質，實現高效率的企業(yè)運營管理，從而提高企業(yè)在市場中的競爭力。

2 影響企業(yè)信息管理系統(tǒng)數據庫安全的因素

數據庫自開始應用起，就一直面臨著各種各樣的安全問題。近年來，隨著數據庫技術、數據庫產品的日益廣泛應用，人們越來越重視數據庫的安全問題。就目前而言，影響企業(yè)信息管理系統(tǒng)數據庫安全的因素主要包括以下幾種。

2.1 外界入侵

企業(yè)信息管理系統(tǒng)數據庫中存放著大量的企業(yè)機密信息，由于當前大多數管理系統(tǒng)都是直接發(fā)布在局域網中的，相關用戶在訪問時必須通過特定的應用程序來讀取相關的信息，這樣就會導致數據庫遭到各種各樣的外部入侵，如受到非法用戶的查詢、修改和刪除等操作，造成企業(yè)信息管理系統(tǒng)數據庫中的數據信息被泄露、更改或丟失，從而導致企業(yè)遭受嚴重的損失。一般來講，外界入侵的形式主要分為以下3 種。首先是計算機病毒。計算機病毒入侵是網絡興起以來最常見的網絡安全問題之一，也是全球公認的威脅數據安全的頭號大敵。在網絡世界中，計算機病毒能夠自我復制，永久地或是通常不可恢復地破壞自我復制的現場，達到破壞信息系統(tǒng)、取得信息的目的。從破壞結果上看，某些計算機病毒會導致計算機儲存的數據信息被刪除，某些病毒則會導致計算機硬件系統(tǒng)因超負荷運轉而燒毀。其次是木馬程序。木馬程序也是威脅計算機網絡信息安全的重要因素，相比于計算機病毒，木馬程序更具隱秘性，常常隱藏在公開的程序中，大肆收集環(huán)境信息，利用合法用戶的權限攻擊數據信息。一般來說，木馬程序主要是利用網絡中的漏洞，在防火墻中開“后門”，然后將木馬程序植入到計算機當中，在悄無聲息中竊取信息。最后是天窗或隱秘通道。在實際生活中，幾乎所有的管理系統(tǒng)都會在內部程序中預留“天窗”或隱秘通道。在特定情況，黑客會利用這些內部程序代碼預留的天窗或隱秘通道，直接跳過系統(tǒng)防火墻進入企業(yè)信息管理系統(tǒng)內部，攻擊數據庫，竊取其中的數據信息。

2.2 SQL 注入

應用層在后臺數據庫傳遞SQL 查詢時，這種查詢行為會為攻擊者提供攻擊的機會，這樣就會引發(fā)SQL 注入。而攻擊者則會通過影響傳遞給數據庫的內容，對SQL 自身的語法和功能進行修改，從而影響到SQL 所支持數據庫的功能和安全。在實際工作中，SQL 注入是影響企業(yè)信息管理系統(tǒng)數據庫安全運行且破壞性最大的漏洞之一。

2.3 人為錯誤與傳輸威脅

在實際運用中，不論是系統(tǒng)管理員還是系統(tǒng)用戶，在實際操作時都可能不小心輸入錯誤的命令，或者是不正確地使用應用程序，這些行為都會導致企業(yè)信息管理系統(tǒng)內部安全機制失去應有的效用，進而導致不法分子利用非法手段訪問企業(yè)的機密信息數據，也有可能導致系統(tǒng)拒絕為用戶提供服務。此外，在應用數據庫中的數據信息時，無論是調用命令，還是用戶進行的信息反饋，都是借助網絡傳輸行為進行的。在數據傳輸的過程中，企業(yè)信息管理系統(tǒng)數據庫也會受到一定的安全威脅。

2.4 物理環(huán)境及硬件故障

數據庫是建立在計算機當中的，在實際生活中，如果發(fā)生地震、火災或洪災等非人力可抗的災害都會導致計算機硬件的損害，從而導致數據庫中數據信息的丟失或破壞。此外，在數據庫運行中，計算機還可能出現磁盤故障、控制器故障、電源故障、存儲器故障、芯片故障及主板故障等硬件故障問題，一旦發(fā)生這些硬件故障，也會導致數據庫中的數據出現損毀或丟失的現象，但這樣的損毀或丟失現象不會導致企業(yè)數據信息泄露。

3 企業(yè)信息管理系統(tǒng)數據庫安全控制策略

3.1 進行數據備份

企業(yè)要想安全控制信息管理系統(tǒng)數據庫，首先應對數據庫中的數據進行備份。在實際操作中，數據的備份處理大致可分為3 種，分別是物理備份、邏輯備份和異地備份。

首先，物理備份是指將數據庫文件進行全盤拷貝作為備份。在實際操作中，物理備份大致分為兩種：一種是冷備份，是在正常關閉數據庫后，對數據庫中所有的數據文件及其功能進行備份；另一種是熱備份，是數據庫在運行的狀態(tài)下，將聯機日志的轉儲文件進行歸檔，然后在數據庫內部建立所有進程和行為的記錄備份。其次，邏輯備份是利用SQL，將數據庫中的某個記錄集讀取出來，并將其錄入轉儲文件中進行保存。在實際運用中，這種備份方式與其物理位置無關，備份的效果較好，是當前常用的一種備份方式。最后，異地備份是為了有效預防物理環(huán)境及計算機硬件損壞而導致數據信息出現丟失或損壞問題而進行的備份，通過異地備份，企業(yè)信息管理系統(tǒng)數據庫中的數據信息在另外的地方實時產生可用的副本。在實際運用中，異地備份常用的方式就是云備份。

3.2 進行數據庫加密

除了對數據庫進行備份外，企業(yè)還可以針對信息管理系統(tǒng)數據庫進行加密處理，以實現數據庫的安全控制。在實際操作中，相關企業(yè)可以針對信息管理系統(tǒng)數據庫中存儲的不同級別的數據進行分層加密存儲，比如，進行操作系統(tǒng)加密、數據庫管理系統(tǒng)（Database Management System，DBMS）內核層加密和DBMS 外層加密。通過數據加密，數據庫中的數據轉換成他人無法識別的數據形式，從而實現安全控制。

3.3 加數據庫水印

加數據庫水印是一種有效的數據庫安全控制措施，這種操作方式是在不破壞數據庫中數據信息的前提下，運用加記號的處理的方法，在數據中嵌入不易被人察覺且難以移除的記號標志，以此保護數據的版權，或是驗證企業(yè)數據庫中數據的完整性。例如，百度圖庫中的圖片均印有百度公司的Logo。目前，數據庫水印已經成為數據庫安全控制新的研究方向。

3.4 實行數據庫訪問控制

訪問控制是實現企業(yè)信息管理系統(tǒng)數據庫安全控制的有效策略，同時也是一種最基本、最核心的控制技術之一。這種技術是通過某種途徑，顯式地準許或限制用戶的訪問。目前，訪問控制已經成為企業(yè)信息管理系統(tǒng)數據庫安全控制最常用的策略之一。

3.5 SQL 注入防御

SQL 注入防御也是一種有效的數據庫安全控制措施。因為SQL 注入攻擊主要是因為系統(tǒng)開發(fā)過程中編程不夠嚴密，因此，針對這種問題的安全控制，解決的方法只能依靠互聯網技術人員在編程時盡量完善程序，也可以針對發(fā)現的問題通過代碼編寫操作減少或者消除SQL 注入攻擊，從而提高企業(yè)信息管理系統(tǒng)數據庫的安全性。

4 結語

隨著網絡信息技術的快速發(fā)展，數據庫在企業(yè)信息管理系統(tǒng)中的應用將會越來越廣泛，其安全性也越來越得到人們的重視。目前，雖然對企業(yè)信息管理系統(tǒng)數據庫安全控制的措施已經取得了很大的進展，但仍然存在一定的安全問題。因此，相關人員必須重視企業(yè)信息管理系統(tǒng)數據庫的安全控制問題，不斷加強技術研發(fā)，從而更好地解決問題，增強數據庫的使用安全，保障企業(yè)的健康發(fā)展。