資料安全的核心目標是 CIA：機密性、完整性、可用性。面對多樣化威脅，IBM 採用「設計時即安全」與「深度防護」策略，在 DB2 9 / Informix 11 資料伺服器內建認證、授權、加密、稽核四大能力，並提供 IBM Database Encryption Expert (DEE)、Audit Management Expert (AME)、Optim TDM/Archive 等周邊產品構建多層防線。
| 威脅 | 說明 | 核心對策 | 建議產品 |
|---|---|---|---|
| Data.1 Connection | 繞過連線認證/授權 | 強制伺服器端認證（SERVER/LDAP/Kerberos），收回 PUBLIC CONNECT 權限 | DB2/IDS |
| Data.2 BaseTables | 基礎表/系統編目缺乏存取控制 | 依敏感度分級授權、角色化管理、LBAC 行/列級控制、稽核關鍵表存取 | DB2/IDS, AME, z/OS RACF |
| Data.3 OtherTables | MQT/複寫表/臨時表/例外表/OLAP 立方體未受保護 | 同基礎表等級保護；MQT 視為內部物件、禁止直接存取或全審計 | DB2/IDS |
| Data.4 CommonUserID | 中介層共用帳號導致審計失效與過度授權 | 啟用受信任內容，中介層宣告終端使用者身份 | DB2 |
| Data.5 DBAAccess | DBA 濫用特權存取敏感資料 | 稽核所有 DBA 操作、角色化 DBA 權限配合受信任內容、LBAC 防止 DBA 讀取敏感欄 | DB2/IDS, AME |
| Data.6 OSAdminAccess | OS 管理員繞過資料庫直接讀取表空間檔案 | 磁碟加密 (AES)、OS 層存取控制（DEE/RACF）保護表空間檔案 | DEE, z/OS Encryption, RACF |
| Data.7 InTransit | 網路傳輸明文被竊聽 | SSL/TLS 加密傳輸（JDBC Type 4 支援；z/OS 用 AT-TLS） | DB2/IDS, z/OS AT-TLS |
| Data.8 Backups | 備份/歸檔媒體未加密 | 所有媒體加密、金鑰管控還原權限、稽核備份存取 | DEE, Optim Archive, z/OS Tape Drive |
| Data.9 TxnLogs | 交易日誌含資料值、OS 可直接讀取 | OS 層加密保護日誌檔案 | DEE, z/OS RACF |
| Data.10 ArchiveLogs | 歸檔日誌離開生產環境被竊取 | 磁碟加密、磁帶機硬體加密 | DEE, z/OS Tape Drive |
| Data.11 Diagnostics | 診斷/追蹤/dump 檔含敏感資料 | OS 層檔案保護、稽核檔案系統直接存取 | DEE, z/OS RACF |
| Data.12 Extract | 測試/分發抽取資料離開受控環境 | 測試：Optim TDM 自動遮罩敏感欄；分發：磁碟加密+稽核抽取檔存取 | Optim TDM, DEE, z/OS Encryption |
資料庫安全非單一產品可解，需結合資料庫層（認證/授權/LBAC/稽核/SSL）、作業系統層（DEE/RACF 檔案與執行檔保護）、網路層（SSL/AT-TLS/VPN/防火牆）、應用層（防 SQL 注入/輸入驗證）、實體/人員/流程 五大面向。IBM 提供完整產品組合與威脅導向對策地圖，助企業依業務風險建立分級防護，實現 CIA 安全目標。
