sysadminとしてExcelを介してSQL Serverに接続するユーザーの潜在的なリスク？

私は最近、財務部門の大部分がExcelを使用して、sysadminロールのアカウントでSQL Server 2000インスタンスに接続していることを発見しました。私がすぐに力に伝えなければならない私の現在のリスクは何ですか？

ほとんどすべて。

私はそれらの潜在的な使用能力から始めてxp_cmdshell（そしてsp_configure、使用できない場合は、そうすることができます...そして、返されたアカウントがxp_cmdshell 'whoami.exe'できることは何でも...）、その後、実行する能力に移動しますdrop database。

さらなるリスクには、金融ユーザーがこれらのことを実行できることだけでなく、金融機関マシン上のプログラムがsysadmin接続資格情報にアクセスすることも含まれます...

（他の潜在的なリスクには、TPTBの1つがこのように設定したことを発見するリスクが含まれます）

それは彼らが基本的に彼らがデータベースにしたいことは何でもできるようにします。テーブルを切り捨てる/変更する/削除する可能性があります。特定のレコードを削除、挿入、または変更します。できるだけ早くこれに対処することを強くお勧めします。

金融関係者が理解する必要があることの1つは、Excelにシステムユーザーを与えることで、データベースまたはアプリケーションに組み込まれているすべての内部制御をバイパスしたことです。有能な監査人はこれのために彼らを内臓から取り除くでしょう。たとえば、2人の異なる人物が（潜在的な詐欺を回避するために）経費を承認する必要があることを確認するために構築されたコントロールがある場合、このようにExcelスプレッドシートを接続することにより、データに対するこのコントロールを完全に削除しました。

悪意のあるユーザーがデータを破壊した場合、バックアップから復元できます。このシナリオのビジネスへの影響を計算できるはずです。

さらに悪いのは、システムの整合性が失われていることです。ユーザーが致命的ではない方法でデータを操作した場合、バックアップが利用できなくなるまで、被害を発見できない場合があります。そのサーバーに格納されているデータの有効性を信頼できないビジネスの影響を検討してください。