資安健診的資料庫安全檢視：檢查什麼、企業怎麼準備
資安健診 資料庫安全檢視，是透過訪談與實機檢視，確認資料庫的特權帳號、加密、存取授權、稽核紀錄、委外管理、備份與弱點管理是否真的落實。政府《113 年共同供應契約資通安全服務品項採購規範》將它拆成 7 大類、30 個檢視項目，是目前最具體的公開依據。
這項檢視和掃描不同，看的不只是設定值，還包括制度與紀錄。下面整理 30 項自查表、各類別重點與事前準備；想請外部團隊實際檢視，可參考我們的 資安健診服務。
資料庫安全檢視是什麼？誰一定要做？
資料庫安全檢視是 資安健診 的項目之一，對象以企業具所有權或管理權的資料庫為主。依《資通安全責任等級分級辦法》，A、B 級特定非公務機關的健診須包含核心資通系統資料庫安全檢視，C 級不含此項。
不在 資通安全管理法 規範內的民間企業沒有這項法定義務，採購規範也不直接約束民間委託，但可以當成自查基準。規範中每個資料庫編列 5 人天，這是從規劃到完成的人天數，不等於到場天數；範圍與費用的估算方式可參考 資安健診費用。
資安健診 資料庫安全檢視 30 項自查清單
下表依採購規範的表 1 整理，項目名稱略為精簡。民間企業可直接勾選，每項都同時問兩件事：有沒有設定，以及有沒有留下紀錄。
| 類別 | 項次 | 檢視項目 |
|---|---|---|
| 特權帳號管理 | 1 | ☐ 變更資料庫預設管理帳號 |
| 2–3 | ☐ 啟用帳號鎖定次數與鎖定時間 | |
| 4–6 | ☐ 密碼複雜度、長度、最長有效期限 | |
| 7 | ☐ 限制管理者帳號遠端存取 | |
| 資料加密 | 8 | ☐ 資料有適當保護（加密或不可識別處理） |
| 9 | ☐ 資料傳輸有安全機制 | |
| 10 | ☐ 加密金鑰有保護機制 | |
| 存取授權 | 11 | ☐ 主機只開放允許的服務埠 |
| 12–14 | ☐ 限制遠端存取來源、帳號與操作 | |
| 15 | ☐ 帳號權限符合最小原則 | |
| 稽核紀錄 | 16–18 | ☐ 稽核帳號變更、登入登出、結構變更 |
| 19 | ☐ 稽核紀錄有存取控制與保存管理 | |
| 20 | ☐ 主機時間校時 | |
| 21 | ☐ 定期分析稽核紀錄並處理異常 | |
| 委外管理 | 22–24 | ☐ 管控委外廠商的連線、資料存取與帳號授權 |
| 備份保護 | 25 | ☐ 定期執行備份 |
| 26 | ☐ 備份有保護（異地、加密或不可識別處理） | |
| 27 | ☐ 執行備份回復測試並留下結果 | |
| 弱點管理 | 28 | ☐ 主機定期弱點掃描 |
| 29 | ☐ 弱點修補、追蹤與複測 | |
| 30 | ☐ 資料庫與作業系統安全性更新 |
判定結果分為符合、部分符合、不符合與不適用四種。依規範的定義，有機制也落實了但沒有紀錄，或沒有訂機制但實際有做安控，都只算部分符合，所以留下證據和做好設定一樣重要。
帳號與特權帳號管理，會看什麼？
這一類最多，共 7 項，核心問題是誰握有最高權限、預設管理帳號還在不在。檢視人員會先訪談角色與權限劃分，再實機查看帳號列表、鎖定與密碼設定，確認是否符合企業自己的規定。
重點在「符合自己的規定」，公司沒有寫下資料庫密碼與鎖定要求，這幾項就很難判定為符合。OWASP《Database Security Cheat Sheet》也建議不要使用內建的 root、sa 或 SYS 帳號，每個應用程式應有自己的帳號。
存取授權與連線，要限制到什麼程度？
存取授權要回答三件事：哪些來源能連、用哪個帳號連、連上後能做什麼。規範的 5 個項目依序檢查服務埠、遠端來源、遠端帳號、遠端操作與最小權限，並會比對申請與審核紀錄。
實務上可以先拉出所有資料庫帳號與來源 IP，逐一標註用途與負責人，標不出來的就是該先處理的對象。OWASP 也建議資料庫不要暴露在公開網路，放在隔離的內部網段。
加密與敏感資料，加密就夠了嗎？
不夠。規範的 3 個項目分別看靜態資料、傳輸與金鑰，只做欄位加密卻把金鑰放在同一台主機或人人可取，保護效果會大打折扣。
規範也接受不可識別處理，並會實機確認結果。先盤點哪些欄位屬於個資或機敏資料，再決定處理方式，通常比全庫加密務實。
資料庫稽核紀錄要留什麼？
資料庫稽核紀錄至少要涵蓋帳號異動、登入登出與結構異動，還要能控管誰可以讀取，並有人定期分析。規範的 6 個項目中，只有 3 項在問「有沒有開」，另外 3 項問的是管理、校時與分析。
保存多久，規範要求確認企業的機制，沒有訂單一天數，需依所屬產業規定與內部政策決定。若屬 A、B 級，監控管理機制的範圍也包含核心資通系統日誌，要一併考量保存與提交方式。
最常被忽略的 5 項
依實務觀察，下列 5 項較容易在檢視時才發現沒做，建議優先確認：
- 備份回復測試（第 27 項）看的是演練結果與紀錄，只有備份檔還不夠。
- 稽核紀錄分析（第 21 項）要有人定期看，並留下異常處理的紀錄。
- 主機校時（第 20 項）沒做好，事故後很難比對各系統的紀錄。
- 委外廠商帳號（第 24 項）常見專案結束後還在，或多家共用同一組。
- 金鑰保護（第 10 項）要說得清楚金鑰放在哪裡、誰能取用。
改善時可先處理不必停機的項目，例如停用多餘帳號與限制連線來源；更新與加密涉及維護窗口，要排入變更流程。開啟稽核前，先在測試環境確認對效能與儲存空間的影響。
企業事前要準備哪些資料？
採購規範列出的配合事項很明確，備齊後檢視時間才不會耗在找資料：
- 安排應用程式管理者、資料庫管理者與系統操作人員參與訪談。
- 由資料庫管理者備妥可查詢設定的帳號權限，並在現場協助操作。
- 資料庫備份還原演練的執行結果紀錄。
- 資料庫主機的弱點掃描報告與修補紀錄。
實務上再加三樣會更順利：資料庫清單（名稱、主機、類型、版本）、帳號與權限申請審核紀錄，以及委外廠商的連線授權紀錄。如果手上還沒有弱掃報告，可以考慮先做 弱點掃描服務。選擇廠商時也可以參考規範的要求：團隊要同時具備資料庫管理與資安技術或管理的專業證照。
檢視資料庫之前，今天可以先做什麼？
挑一個最重要的資料庫，用上面的清單走一遍，把答不出來或拿不出紀錄的項目圈起來。這份結果就是改善清單，也能讓後續健診的範圍更明確。
若需要外部團隊協助確認，可以了解我們的 企業資安健檢 內容，或 預約一次免費諮詢。
資料庫安全檢視常見問題
資料庫檢視會影響系統效能嗎？
通常影響不大。資料庫安全檢視以訪談、查看設定與檢視紀錄為主，規範的檢視要求中沒有壓力測試；弱點掃描這類可能產生負載的作業，規範看的是既有紀錄。若約定的範圍含有可能產生負載的技術作業，應事先協調時段。
雲端資料庫也要檢視嗎？
要看企業對資料庫是否具管理權。規範的標的是具所有權或管理權的資料庫，自行管理的雲端資料庫通常納入；部分項目由雲端服務商負責時，可判定為不適用，但要說明原因。建議事先釐清雙方的責任分工，並保留設定證明。
需要提供管理者密碼嗎？
不需要把管理者密碼交給檢視人員。規範是請資料庫管理者備妥可查詢設定的帳號權限，並在檢測過程協助操作；我們的服務也是請企業提供唯讀層級的存取權限，並安排技術人員待命。
參考資料
- 113 年共同供應契約資通安全服務品項採購規範 – 表 1 檢視項目、表 2 判定原則、人員資格與配合事項（案號 1130205）。共同供應契約 · 民國 113 年
- 資通安全責任等級分級辦法 – 附表二、四、六，特定非公務機關的資通安全健診項目。全國法規資料庫 · 民國 115 年 1 月 7 日修正
- Database Security Cheat Sheet – 資料庫連線、帳號與權限的安全建議。OWASP
