Strutture Sicurezza DBMS: Proteggere Integrità e Riservatezza Dati Database

Una struttura sicurezza DBMS comprende meccanismi, policy, controlli che proteggono riservatezza, integrità, disponibilità database (triade CIA).

Componenti Sicurezza Core

1. Autenticazione

• Verifica identità utente: password, MFA, biometria, certificati, Kerberos, integrazione SSO.
• Account lockout, complessità password, policy rotazione.

2. Autorizzazione

• Concede permessi post-autenticazione: GRANT/REVOKE su oggetti (tabelle, view, stored proc).
• Role-Based Access Control (RBAC): ruoli = funzioni lavoro; utenti assegnati ruoli.
• Livelli privilegi: SELECT, INSERT, UPDATE, DELETE, EXECUTE, ALTER, ADMIN.

3. Modelli Controllo Accesso

• DAC (Discretionary): Proprietario concede accesso (SQL standard).
• MAC (Mandatory): Etichette sicurezza (Top Secret, ecc.) – militare/gov.
• RBAC (Role-Based): Modello enterprise più comune.
• ABAC (Attribute-Based): Policy dinamiche (tempo, location, sensibilità dati).

4. Crittografia

• At rest: TDE (Transparent Data Encryption), column-level, tablespace.
• In transit: TLS 1.2+ per client-server, replica, backup.
• Key management: HSM, KMS, rotazione, separation of duties.

5. Auditing e Monitoraggio

• Audit trail: login, DDL/DML, tentativi falliti, cambi privilegi.
• Fine-grained auditing (FGA) per colonne sensibili.
• Integrazione SIEM (Splunk, QRadar, Sentinel) per alert real-time.

6. Backup e Recovery

• Backup automatizzati full/differential/log.
• Point-in-time recovery (PITR).
• Storage offsite/immutabile (protezione ransomware).
• Test restore regolari.

7. Sicurezza Rete

• Subnet private, VPC, security groups, NACL.
• Database firewall / prevenzione SQL injection (WAF, query parametrizzate).
• Private endpoints, no public IP.

8. Gestione Vulnerabilità

• Patch management (CPU/PSU Oracle, CU SQL Server, ecc.)
• Hardening configurazione (CIS Benchmarks, STIGs).
• Penetration testing, vulnerability scanning.

9. Data Masking / Redaction

• Dynamic (query-time) o static (copia) masking per non-prod, dev, analytics.
• Format-preserving encryption, tokenizzazione.

10. Allineamento Compliance

• PCI DSS (Req 3, 7, 8, 10), HIPAA (164.312), GDPR (Art 32), SOX.
• Report audit, attestazioni, certificazioni.

Un approccio defense-in-depth combinando questi layer è essenziale per protezione dati moderna.