开始安全性遵循：一寸一寸，一行一行

  首先，不要尝试用大面积的修改来让大洋沸腾。不要期望数据库安全措施尽善尽美。你会让自己精疲力尽，并且得罪很多你的用户——这还不包括你发现预算不够的时候出现的各种麻烦。

  一点一点的来。对数据库安全的长时间的小小的改善最终将会让你的企业慢慢达到它想要到达的地点，而这个达到依从性的过程比你想象的要快得多。从一个领域入手，例如系统的稳定(数据库和操作系统级别)，或者审计日志，并且在接下来的几个月里面将注意力集中在上面。一旦你在一个领域内完成得很好，那么就转到下一个领域，这样逐个解决需求列表中需要满足最广泛范围的法律法规的领域。如果你把注意力集中在较高级别上，那么你有可能会满足所有的基本依从性需求，你所付出的时间和金钱将会得到最大程度的回报。

  一种推动你的依从性尝试的非常好的方法就是将你的安全实践方案与一个被广泛接受的标准，例如ITIL, COBIT 和 ISO/IEC 17799:2005对齐。

  我通常推荐的是ISO/IEC标准，因为我用它工作的时间最长，我喜欢它清晰列出所有安全领域重要信息的方式。它不局限于数据库、应用程序，或者操作系统的，它也不需要这样。然而，它是你在数据库方面技术能力的良好实现。

  17799个组件，与其他大多数一样，都可以以同一种方式，或者其它的方式捆绑在数据库安全上。好事就是没有一条法律法规需要你使用某个特定的信息安全标准;你可以根据你的公司的特定需求选择使用哪个标准。你甚至可以将来自不同标准的组建互相混合和匹配起来，构成客户信息安全框架。

  以正确的方式执行

  在进一步执行之前，你需要决定什么才是对你公司最好的。你的公司内部可能已经有了依从规则，或者IT监管委员会。如果是这样的话，那就最好了——你就走在了前沿。与他们一起协商采用标准，保证你的数据库安全在线。

  我知道，虽然如此，安全和依从性的责任通常还是会落在数据库管理员或者/和网络管理员的身上，所以你也可能是你自己。如果真是这样的话，至少也要继续你正在做的事情，让他们的采购由用处，并且祈祷你可以在以后需要的时候得到他们的支持。毕竟，他们是最终对依从性负责的人。

  无论你是否有安全委员会，都绝对没有必要重新发明一次轮子，开发你自己的数据库安全标准。好的一方面就是如果你将你的工作与类似17799的框架结合在一起，那么你就不需要这么做了。这不仅会让你和你的公司看起来采取了认真的安全措施，它还大幅度缩减了建立良好的信息安全框架所需要的努力。它还可以帮助你满足最广泛的依从性需求，而不需要单独的解决每个法律法规的特殊细节。

  总之，简单化应该是你的最高目标之一。如果你让它保持简单，并且英明地向着更好的安全方向前进，而不是没有准备的即兴操作，以及假设所有东西都会自动朝着好的方向发展，你不会后悔的。