一个指导因素是他们意识到他们需要控制内部人员——例如系统管理员——可以做什么和不能做什么。直到最近，这些人一直具有系统级的特权，可以看到所有数据，这主要是为了方便起见。今天，联邦监管机构要求上市公司约束特权用户可以看到什么，例如总分类账中的金融数据。公司显然可以通过使用细粒度授权、访问控制或加密，还有在操作之后采取数据库审计和监控工具来做到这一点。
在访问控制背后的指导原则是什么?
重要的事情是确保信任雇员遵守管理他们各自角色的政策，因为监管机构和审计人员将提问难以回答的问题，关于公司是怎样谨慎的控制这些职员操作——无论你是否信任他们。数据库管理员可能不喜欢这些适当的控制，但是很多时候这些控制是在响应外部要求。
建立这些控制有多困难?
在小型公司，职责分离可能很难做到，因为你可以只有一个管理员。这时候审计和监控就很有用了。在Burton Group公司，我们提倡采用分层方法进行保护。它从数据库的访问控制开始。例如，Oracle数据库11g使你可以分离数据库的某部分或在数据库周围实施周边控制。在那之上，Oracle审计保险库( Oracle Audit Vault)可以用于确保你的分层保护按你期望的那样在操作。
除了这些，公司还可以做什么以保护数据免被那些不该访问到的人进行操作?
标签安全使你将数据描述为具有特定属性或标签。它可以用在很广泛的情况中——从分类雇员记录到保护国家安全信息的任何事情。公司以某种方式分类数据并采用适当的标签来加以辨别。在这之后，总是以相同的方式根据谁可以看到这个数据或什么时候人们可以看到这个数据对数据进行处理。数据库对基于这个标签的信息明确的加以控制。
加密怎样融入这个访问控制的画面中?
加密用于防止人们看到某些数据，它可以应用在数据库的一个子集、整个数据库、甚至是存放数据库的磁盘(有时叫做介质级加密)。加密可以发生在数据库之外，应用层之内。不同的加密级别防止不同类型的威胁。介质加密阻止未授权用户访问一个丢失或被盗的磁盘，但是不会阻止内部用户查看数据。防止内部人员需要一个不同的加密级别。例如，你可能对存储在一个客户数据库中的社会保险号码进行加密，但仍然允许支持人员查看电话号码和地址。你可以使用Oracle透明数据加密(Oracle Transparent Data Encryption)做到这一点，它可以提供在数据库内进行柱状加密。这个工具不需要第三方工具，所以从配置和管理的角度看，它很容易使用。
这些策略也对外部用户起作用吗?
加密在一个企业范围内运行的很好。然而，如果要通过一个网络门户网站来查看信息，那么它可能需要解密。所以在这一级别你可能需要与网络访问控制相关联的某种应用级别的加密类型。
加密与身份管理？
它和身份管理紧密联系，但是对于网络访问控制的一个挑战就是你可能正在讨论的是更多的用户而不仅仅是内部雇员。例如，对于外网门户网站或电子商务门户网站，不只是几千名员工，而可能是有数百万的用户。所以要考虑一个规模问题。另外还有一个认证人的类型问题，它部署起来很方便。在企业中，你可能使用一次性的密码令牌或智能卡来验证用户，但如果要加强对消费者的验证，那这个成本就太惊人了。
