当你考虑系统安全问题时，是否会将保护客户私人信息和数据安全放到重中之重的位置?

　　也许你会毫不迟疑地回答：是的!但是Guardium公司的CTO Ron Ben Natan却不这么认为，在Oracle Collaborate 2010会议上，他向在场的所有听众表示，合规才是更大的麻烦。你的数据是否得到了保护并不重要，重要的是你能否通过自己的审计。

　　为了保持合规，你必须理解Oracle 10g和Oracle 11g在安全方面的许多内容，在一个20人的小会议上，Ben Natan也谈到了这一话题。Oracle数据保护是一个漫长复杂的过程，其中包括了强化、评估、分类、监控、审计、执行以及加密等操作，而这些操作在Oracle数据库和Oracle其它应用上有着一定的不同之处。Ben Natan指出，在Oracle数据库环境中，你很难知道所有的用户权限，因此你的数据库很容易会受到攻击，其中还包含了许多“未知因素”。

　　何为“未知因素”?

　　根据Ben Natan的观点，十有八九是以下因素：

• 　　企业未知的系统
• 　　企业未知的数据
• 　　企业未知的网络连接
• 　　企业未知的账户和权限

　　Oracle拥有一个极度复杂的权限模型，权限可以保证用户运行特定的SQL语句或者其他数据库操作。这些权限分成了许多的用户角色，而Oracle可以保证大多数的角色不容易被追踪。在Oracle 11g中，用户角色已经缩减为30个，之前的10g版本中的用户角色多达120个。

　　但是有些权限，特别是系统权限(Oracle的系统权限超过了100个)是非常危险的。几乎所有的系统权限都可以作为黑客获取DBA权限的条件，Oracle在它的文档中也提到了这一点：“注意：系统权限非常强大，在数据库中，它应该仅被授予必要的和值得信任的用户角色。”

　　那么如何才能保证这一漏洞免受攻击呢?

　　Ben Natan再次强调了Oracle关键季度补丁的重要性，尽管有些人并不同意这样的做法，但它的确像甲骨文官方表示的一样重要。Ben Natan说：“避免漏洞攻击的唯一方法就是安装所有的补丁程序。即便是再普通不过的攻击也需要DBA的警惕性。”

　　尽管如此，一个企业的安全策略还是会和其内部因素相关。你的安全重点在哪方面?公司如何分配权限和角色?以及你以往的安全经验都是制定相关策略的前提。