En database har sit eget lag af sikkerhed oven på styresystemet: egne konti, egne roller, egen netadgang og egen kryptering. En gennemgang af serveren ser ikke det lag. Derfor tages databaserne for sig, med tre spørgsmål: Hvem kan nå databasen over nettet? Hvilke konti findes i den, og hvad må de? Og er data krypteret i hvile og under overførsel?
For databaser som tjeneste i en offentlig sky findes der læste målestokke. For lokale databaser har vi ikke læst en primærkilde om kontrolpunkterne, og den del af artiklen er praksis.
Målestokkene
CIS AWS Foundations Benchmark version 5.0.0 har, som AWS gengiver kontrollerne, punkter om databaseinstanser i en databasetjeneste i en offentlig sky. Instanserne skal forbyde offentlig adgang, have kryptering i hvile slået til og have automatiske mindre versionsopdateringer. Det er AWS’ gengivelse af benchmarket og ikke CIS’ eget dokument, og punkterne gælder én udbyders tjeneste. Tankegangen kan bruges bredere, men det er en tolkning.
Vejledningen til de statslige minimumskrav siger i afsnit 3.9, at software på internetvendte tjenester, “f.eks. firewalls, webservere, databaser og CMS’er”, skal være under aktiv support, når en sårbarhed kan udnyttes fra internettet. Et bagvedliggende system, der kan rammes via en internetvendt tjeneste, er også omfattet. Kravene binder statslige myndigheder og er en målestok for andre.
CISA og NSA nævner i AA23-278A, at deres vurderingshold har fundet standardloginoplysninger til webprogrammer og den underliggende database i offentligt tilgængelig opsætningsdokumentation. Listen af ti fejlopsætninger er ikke prioriteret.
Om kryptering har bilaget til forordning (EU) 2024/2690 et enkelt punkt, 9.2, litra a. Data skal krypteres i hvile og under overførsel efter, hvordan de er klassificeret. Bilaget er bindende for en afgrænset gruppe af digitale tjenesteudbydere. For andre er det en målestok efter vores tolkning.
Hvem kan nå databasen
Det første kontrolpunkt er netadgangen. For en database i skyen læses instansens indstilling for offentlig adgang og de netregler, der gælder for den. For en lokal database læses, hvilke adresser databasetjenesten lytter på, og hvilke firewallregler der tillader trafik til den.
Typiske fund er en database, der kan nås fra hele brugernettet, når kun én applikationsserver har brug for den, og en testdatabase, der er gjort tilgængelig udefra for en leverandør og aldrig lukket igen. Den bredere opgørelse af åbninger mod internettet står i det, der står åbent mod internettet.
Minimumskravenes pointe om bagvedliggende systemer er værd at tage med. En database bag en webapplikation kan rammes gennem applikationen, selv om den ikke selv står på internettet.
Konti og roller i databasen
Det andet kontrolpunkt er kontiene. Det følgende er almindelig praksis og ikke hentet fra en læst kilde. En gennemgang kan trække en liste over konti i databasen med deres roller og spørge:
- Er standardkonti fra installationen slået fra eller givet et nyt password?
- Bruger applikationen en konto med flere rettigheder, end den har brug for, fx ret til at ændre databasens struktur?
- Har personer egne konti, eller logger de på med applikationens konto?
- Er der konti fra leverandører eller tidligere medarbejdere, som ikke bruges længere?
- Hvem har de højeste roller i databasen?
CISA’s fund om standardloginoplysninger i offentlig dokumentation gør det første spørgsmål særligt vigtigt. Kontrollen af standardindstillinger i bredere forstand står i standardindstillinger, der aldrig blev ændret.
Kryptering
Det tredje kontrolpunkt er kryptering. For en database i skyen er kryptering i hvile en indstilling på instansen, som kan læses direkte. For en lokal database kan kryptering ligge i databasen selv, på disken eller begge steder. Gennemgangen skal vide, hvilket lag der er valgt, og kunne vise det.
Kryptering under overførsel læses i forbindelsen mellem applikation og database. Kræver databasen krypterede forbindelser, eller accepterer den også ukrypterede? Svaret står i databasens opsætning og ikke i en politik.
Opdateringer og support
Det fjerde kontrolpunkt er versionen. Er databasen under aktiv support hos producenten, og er seneste sikkerhedsopdatering installeret? For en database i skyen kan det være en indstilling om automatiske opdateringer. For en lokal database er det en version, der skal holdes op mod producentens supportliste med dato.
Revision i databasen
Mange databaser kan logge, hvem der logger på, og hvem der ændrer rettigheder eller struktur. Om den logning er slået til, og om loggen sendes videre, er praksis at kontrollere. Uden den kan ingen se, hvem der ændrede rettighederne i databasen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over databaser, udtræk af konti og roller fra hver og indstillingerne for netadgang og kryptering. Databaseadministratoren kan trække det. Ofte er det svære at finde de små databaser, som et fagsystem har installeret uden at spørge.
Uden kontrollen er databasen det lag, hvor data faktisk ligger, men det lag, færrest har set på. En applikationskonto med fulde rettigheder eller en standardkonto, der aldrig blev slået fra, er en kort vej til alle data.
Det skal I lade være med
- At give applikationen en konto med fulde rettigheder · giv den de rettigheder, den bruger.
- At lade databasen lytte på alle adresser · begræns til de servere, der har brug for den.
- At regne krypteringen for slået til, fordi politikken siger det · læs indstillingen på instansen.
Det skal gennemgangen kunne vise
- ☐ En liste over databaser med version og supportstatus.
- ☐ Netadgang til hver database med firewallregler eller instansens indstilling.
- ☐ Konti og roller i hver database med ejer.
- ☐ Krypteringsstatus i hvile og under overførsel pr. database.
- ☐ Om revision i databasen er slået til.
Kilder
- AWS Security Hub, CIS AWS Foundations Benchmark, kontrollerne for v5.0.0, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav (september 2025), afsnit 3.9, læst 13. november 2026.
- CISA og NSA, AA23-278A, Top Ten Cybersecurity Misconfigurations (5. oktober 2023), punkt 1, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 9.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over jeres databaser, og skriv ved hver, hvilke servere der har brug for at nå den.
Læs også: Servicekonti · Udviklings- og testmiljøer
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
