Первое, что нужно понять, - это собственные возможности аудита выбранной вами СУБД. Они различаются по деталям, но, как правило, предоставляют способ конфигурирования проверяемых операций и обеспечивают безопасное хранилище для записей аудита, которые они генерируют.
Следующее, что нужно понять, это то, что вы хотите проверить. Например, в случае HIPAA и SOX вы, вероятно, смотрите на PII - Персональная идентификационная информация. Вспомните суету вокруг людей, получивших доступ к телефонным записям Обамы, или к различным медицинским записям знаменитостей, или ... Они были пойманы, потому что система проверила, кто читал эти записи, и сотрудник по анализу аудита (AAO) заметил, что к записям знаменитостей обращались которые не были специально уполномочены на это. Таким образом, эти системы должны регистрировать, кто обращается к каждой записи, и определять, когда у пользователя, который делает это, нет подлинной бизнес-причины для этого. В этих случаях кажется, что пользователи имели права на чтение записей, поэтому, если их обычные обязанности требовали, чтобы они просматривали записи, они могли это сделать. Но когда они не обязаны были это делать, они злоупотребляли своей властью и подвергались соответствующим санкциям (вплоть до потери рабочих мест из-за этого).
Это означает, что вы, вероятно, не хотите отслеживать, кто обращается к таблице состояний, в которой записан код состояния и полное имя (и разбираются другие биты информации о состоянии). В этом списке нет ничего конфиденциального - не имеет значения, кто его читает. Конечно, почти никто не должен писать в него; список состояний меняется не очень часто, но, вероятно, это можно сделать, отменив обновление и разрешение на удаление таблицы у всех.
OTOH, вы, вероятно, хотите записать, кто обращается к записям в истории болезни (HIPAA) или кто изменяет данные в системах учета (SOX). Вам может понадобиться или не беспокоиться о том, кто читает учетные данные; многое из этого может быть решено с помощью основных разрешений (бухгалтерия имеет разрешение; ИТ-персонал - нет). Однако одитинг - это всегда дополнительная линия защиты.
Имейте в виду, что записи аудита не помогут, если на них никогда не смотрят. В целом, аудит замедляет работу системы (просто потому, что он выполняет больше работы, когда пишет записи аудита); Важно понять, насколько это замедляется, прежде чем принять решение о реализации вашей стратегии аудита. Однако есть некоторые вещи, которые важнее, чем скорость подачи заявления, и одна из них - держать себя и других сотрудников вне тюрьмы. Чтобы это произошло, может потребоваться аудит.