1. Information Systems Control & Audit(5) Shin, SooJung Based on Ron’s book

2. Chapter 6 Data Resource Management Controls

3. (1) Motivation toward the DA and DBA roles 4 objectives for managing data (1)Sharability– 관리적 측면에서 가장 문제가 됨 (naming, formatting,…) (2)Availability (3)Evolvability (4)Integrity 4 objectives for managing data (1)Sharability– 관리적 측면에서 가장 문제가 됨 (naming, formatting,…) (2)Availability (3)Evolvability (4)Integrity Resource sharing Resource sharing User conflict User conflict Need for mediation Need for mediation Compromise Intervention by The Data/database administrator The chain of events produced by The sharability objective of database management

4. (2) Function of the DA and DBA DA: to handle administrative and policy matter and to interact effectively with database user DBA: to handle the detail design work and to tune the database so it could be used efficiently DA: to handle administrative and policy matter and to interact effectively with database user DBA: to handle the detail design work and to tune the database so it could be used efficiently Defining data Creating data Refining/ restructuring data DA Responsibility Data planning, determine user need Internal schema definition DBA Responsibility Retrieving data Making data available to users Informing & servicing users Maintaining DB integrity Monitoring operation Advising users on data-collection Preparing program to create data Specifying new conceptual and external Schema definitions. Advising users Specifying new internal Schema definitions, altering DB Specifying retirement policies Implementing retirement policies Determining EU requirements for Tools; testing and evaluating tools Determining programmer requirements for tools; testing and evaluating tools Answering EU queries; educating; Establishing high-level policy Answering programmers queries; educating;Establishing low-level policy Developing standards; assisting EU To formulate application controls Implementing DB controls; assisting pro -grammers to formulate application controls Monitoring EU patterns of DB useMonitoring programmer patterns of DB use Performance and tuning

5. (1) Defining, creating, redefining, and retiring data Auditor -DB 정의, 생성, 재정의, 폐기 등에 있어서의 작업수행 평가, schema design, 변경의 품질확인, 데이터 폐기 정책 확인 Auditor -DB 정의, 생성, 재정의, 폐기 등에 있어서의 작업수행 평가, schema design, 변경의 품질확인, 데이터 폐기 정책 확인 (2) Function of the DA and DBA Defining data Creating data Refining/ restructuring data Retrieving data External schema 1 External schema 2 External schema 3 Conceptual schema Internal schema Stored DB Individual User view of the DB Total logical View of the DB -View integration Total storage structure of the DB Instances of The DB definition Internal/physical mapping Conceptual/Internal mapping External/Conceptual mapping DA DBA

6. (2) Making the DB available to users DA- users, tools to support strategic data planning & schema documentation DBA-programmers, tools to improve the efficiency Auditor - 사용자가 데이터의 접근과 사용에 대해 만족하는지 -Tool 이 얼마나 자주 사용되고 사용시의 문제는 무엇인지 로그검사 DA- users, tools to support strategic data planning & schema documentation DBA-programmers, tools to improve the efficiency Auditor - 사용자가 데이터의 접근과 사용에 대해 만족하는지 -Tool 이 얼마나 자주 사용되고 사용시의 문제는 무엇인지 로그검사 (2) Function of the DA and DBA (3) Informing and servicing users Auditor - 사용자에게 공지하고 서비스 ( 교육, 훈련, 문제해결 등 ) 하는 절차, 커뮤니케이션 시스템의 평가 Auditor - 사용자에게 공지하고 서비스 ( 교육, 훈련, 문제해결 등 ) 하는 절차, 커뮤니케이션 시스템의 평가

7. (4) Maintaining DB integrity 6 Control Areas (1)Definition control: establish data definition standard and monitor its compliance (2)Existence control: backup & recovery (3)Access control: password, separation of duty( 접근권한허가자, 접근통제 이행자 ) (4)Update control: 허가된 사용자에게만 update 권한 부여 (5)Concurrency control: data integrity 보장 필요 (6)Quality control: data 의 accuracy, completeness,and consistency 보장, standard validation test 절차 개발 Auditor - 어떤 control 이 적용되었는가 파악 (DA, DBA 로 부터 ) - 이러한 control 을 사용자가 어느정도 인지하고 있는가 ? -Control 이 제대로 작동하는지 test 6 Control Areas (1)Definition control: establish data definition standard and monitor its compliance (2)Existence control: backup & recovery (3)Access control: password, separation of duty( 접근권한허가자, 접근통제 이행자 ) (4)Update control: 허가된 사용자에게만 update 권한 부여 (5)Concurrency control: data integrity 보장 필요 (6)Quality control: data 의 accuracy, completeness,and consistency 보장, standard validation test 절차 개발 Auditor - 어떤 control 이 적용되었는가 파악 (DA, DBA 로 부터 ) - 이러한 control 을 사용자가 어느정도 인지하고 있는가 ? -Control 이 제대로 작동하는지 test (2) Function of the DA and DBA (5) Monitoring operations 사용자의 접근 pattern, 빈도 등을 분석하여 성능향상을 도모 Auditor - 모니터하는 절차는 무엇인가 ? 모니터 분석결과는 ? - 사용자에게 시스템이 효과적이고 효율적인지 점검. 사용자의 접근 pattern, 빈도 등을 분석하여 성능향상을 도모 Auditor - 모니터하는 절차는 무엇인가 ? 모니터 분석결과는 ? - 사용자에게 시스템이 효과적이고 효율적인지 점검.

8. Placement of the DA and DBA roles (2) Some organizational issues CEO ControllerCIO Data Administrator CIO Manager System developments Database Administrator Data Administrator Strategic or turnaroud organization Support or factory organization (DBA can perform DA function) Database Administrator Reports to CIO Manager System developments Database Administrator Data Administrator Manager Data resources In large factory organization

9. Effect of decentralization of the IS function (2) Some organizational issues CEO Divisional VP CIO corporate Data Administrator Communicates with Manager System development corporate Database Administrator Divisional Information officer divisional Data Administrator Manager System development divisional Database Administrator Communicates with

10. DRS (3) Data repository systems Program A Program B DBMS Stored DB Data Definition describes Data definition Language processor Interrogation And reporting DRS Stored DB definition DBA/DA Metadata

11. DRS 의 문제 (3) Data repository systems Ideally, there would be a single, complete database definition that all users and programs could access. -DRS 가 DBMS(internal schema 강함 ) 나 CASE Tool(conceptual schema 강함 ) 등에 embedded 된 경우가 많음 -Information procession function 이 분산되어 있으므로 a single, complete data definition 을 유지하기가 어려움. - 데이타베이스 환경에서의 사용자 필요의 모든 유형을 효과적, 효율적으로 지원하는 DRS 를 구축하는 것은 어려움 Ideally, there would be a single, complete database definition that all users and programs could access. -DRS 가 DBMS(internal schema 강함 ) 나 CASE Tool(conceptual schema 강함 ) 등에 embedded 된 경우가 많음 -Information procession function 이 분산되어 있으므로 a single, complete data definition 을 유지하기가 어려움. - 데이타베이스 환경에서의 사용자 필요의 모든 유형을 효과적, 효율적으로 지원하는 DRS 를 구축하는 것은 어려움 Definition Maintained By DBMS Stored DB Definition Maintained By DRS DBMSDRS User program User Definition Maintained By DBMS Stored DB Definition Maintained By DRS DBMSDRS User program User Active DRSPassive DRS Strong internal schema Definition capability Strong conceptual schema Definition capability

12. DRS 의 Audit (3) Data repository systems (1)By allowing centralized control, a DRS should enhance the quality of data & application systems. -data 정의의 책임이 응용프로그램을 관리하는 개인들에게 분산되지 않음. -DA, DBA 가 데이터 정의를 결정하는 책잉을 가짐 - 데이터 정의가 개별 응용시스템에 포함되어 있지 않으므로 데이터의 신뢰성, 정확성, 완전성, 일치성, 최신성이 향상됨 (2) Data definition 이 조직내에서 critical master file 이 되므로, DRS 는 critical system 이 됨 -DRS 가 손실, 파괴될 경우 조직에 상당한 손실을 가져옴 -DRS 에 불법적인 접근이 이루어질 경우 DD 가 손상되고 이에 따라 DB 의 무결성이 손상됨 -DD, DRS 의 백업이 저장되어야 함 -DD 의 변경 사항들이 log 관리 되어야 함 -DRS 에 대한 접근제어가 수행되어야 함 (3) DD, DRS 를 Audit 에 활용할 수 있음 -DD 는 감사자가 감사 소프트웨어을 통해 조작하기를 원하는 레코드의 레이아웃을 결정하기 위해 접근될 수 있음. - 감사자는 주요 데이터와 연관된 validation 조건을 추출하여 이러한 데이터 요소들이 정확하고 완전한지 확인할 수 있음 - 감사자가 손상된 데이터 요소들을 발견할 경우, 영향을 미치는 파일을 찾기위해 DRS 를 사용할 수 있음. - 감사자는 특별한 파일과 연관된 백업, 복구 절차를 결정하기 위해 데이타정의에 접근할 수 있음 (1)By allowing centralized control, a DRS should enhance the quality of data & application systems. -data 정의의 책임이 응용프로그램을 관리하는 개인들에게 분산되지 않음. -DA, DBA 가 데이터 정의를 결정하는 책잉을 가짐 - 데이터 정의가 개별 응용시스템에 포함되어 있지 않으므로 데이터의 신뢰성, 정확성, 완전성, 일치성, 최신성이 향상됨 (2) Data definition 이 조직내에서 critical master file 이 되므로, DRS 는 critical system 이 됨 -DRS 가 손실, 파괴될 경우 조직에 상당한 손실을 가져옴 -DRS 에 불법적인 접근이 이루어질 경우 DD 가 손상되고 이에 따라 DB 의 무결성이 손상됨 -DD, DRS 의 백업이 저장되어야 함 -DD 의 변경 사항들이 log 관리 되어야 함 -DRS 에 대한 접근제어가 수행되어야 함 (3) DD, DRS 를 Audit 에 활용할 수 있음 -DD 는 감사자가 감사 소프트웨어을 통해 조작하기를 원하는 레코드의 레이아웃을 결정하기 위해 접근될 수 있음. - 감사자는 주요 데이터와 연관된 validation 조건을 추출하여 이러한 데이터 요소들이 정확하고 완전한지 확인할 수 있음 - 감사자가 손상된 데이터 요소들을 발견할 경우, 영향을 미치는 파일을 찾기위해 DRS 를 사용할 수 있음. - 감사자는 특별한 파일과 연관된 백업, 복구 절차를 결정하기 위해 데이타정의에 접근할 수 있음

13. (4) Control over the DA & DBA DA, DBA 의 권한이 상당히 강해짐 – 권한의 남용 가능 (1)Exposures -Incompetent performance of roles -Opportunities to perpetrate irregularities: 임무의 분리 -Availability of tools to override control (2) Remedial measures -Assign appropriate seniority to the DA & DBA roles and to appoint competent and trustworthy persons to these positions -Adequate training: 효율성과 효과성 상승, error 줄임 -DA 와 DBA 의 분리, rotation of duties - 데이터 베이스 tool 의 사용권한과 관리 및 Tool 의 유지보수권한 분리 -Log 필요 : 스키마 변경에 대한 사용자 요구, DA 에 의한 사용자접근권한 허가, DB tool 에 대한 접근에 대한 DBA 의 요청, DB 의 어떤 부분을 제거하라는 DA 의 DBA 에 대한 요청, DBA 의 활동 … DA, DBA 의 권한이 상당히 강해짐 – 권한의 남용 가능 (1)Exposures -Incompetent performance of roles -Opportunities to perpetrate irregularities: 임무의 분리 -Availability of tools to override control (2) Remedial measures -Assign appropriate seniority to the DA & DBA roles and to appoint competent and trustworthy persons to these positions -Adequate training: 효율성과 효과성 상승, error 줄임 -DA 와 DBA 의 분리, rotation of duties - 데이터 베이스 tool 의 사용권한과 관리 및 Tool 의 유지보수권한 분리 -Log 필요 : 스키마 변경에 대한 사용자 요구, DA 에 의한 사용자접근권한 허가, DB tool 에 대한 접근에 대한 DBA 의 요청, DB 의 어떤 부분을 제거하라는 DA 의 DBA 에 대한 요청, DBA 의 활동 …