數據庫加密真正的致命弱點就是數據庫備份和數據庫副本如何被發送到公司外合作伙伴的方式。不到一半的企業可以明確的表示，他們沒有發送未加密數據庫信息到公司外部。只有16%的企業表示他們對所有數據庫備份和數據庫副本進行了加密。

　　1. 企業仍然不知道重要數據的位置

　　在企業可以保護他們的重要數據之前，他們必須知道重要數據的位置。不幸的是，在當今快節奏的IT環境，很多管理員發現很難在眾多數據庫中追蹤重要信息。事實上，他們只是不知道哪些數據庫包含或者不包含諸如個人身份信息等數據。調查發現，48%的受訪者承認他們不清楚企業中哪些數據庫包含機密信息。部分原因在于現在企業運行著大量的數據庫。大約35%的企業運行11到100個數據庫，將近40%的企業運行超過100個數據庫，而13%的企業運行1000多個數據庫。更復雜的問題是，非常多的重要信息位于生產數據庫外部。大約有37%的企業承認他們在非生產數據庫使用生產數據，在這些受訪者中，39%表示這些數據包含個人身份信息或者他們并不確定是否包含。

　　2. 加密不足

　　雖然HIPAA和PCL DSS等法規要求企業加密或者確定數據庫內的個人身份信息，但企業內對個人身份信息的數據庫加密仍然遠遠不夠。少于三分之一的管理員表示，他們會對所有數據庫內的個人身份信息進行加密，而38%則表示，他們沒有加密個人身份信息或者不確定是否加密。對進出數據庫的網絡流量的加密也是同樣如此，大約23%的企業表示他們加密所有流量，而35%承認他們沒有加密流量或者不確定是否加密。

　　3. 安全監控力度不足

　　有這么多的數據庫需要追蹤，如果企業真的想清楚知道哪些人訪問了重要數據，他們必須明確如何監測這些數據的活動。然而，只有四分之一的企業部署了自動化工具來定期監測數據庫行為，這個數據自IOUG從2008年開始訪問數據庫管理員以來就大致保持不變。雖然72%的企業表示至少在一些數據庫上使用本地審計工具，很少的管理員會真正查看這些工具生成的數據。大約有11%的企業表示他們會定期手動監測數據庫。25%的企業表示他們沒有辦法確定數據庫是否發生了未經授權更改。只有30%的企業表示他們能夠在大多數數據庫中檢查出這種更改。約有46%的受訪者表示他們只能夠檢測中某些數據庫中的未經授權更改。然而，在那些可以發現未經授權更改的受訪者中，響應時間都很慢。只有12%的受訪者表示他們能夠在一個小時內檢測出未經授權更改，而約有33%的受訪者表示他們最多一天內可以察覺。大約16%的受訪者表示需要一天或者更長事件，40%表示他們不確定什么時候能夠察覺未經授權更改。

　　4. 數據庫補丁修復緩慢

　　現在很多數據泄漏事故都出自利用數據庫和web應用程序漏洞攻入重要數據存儲位置的黑客之手。根據最新Verizon2010數據泄漏調查報告顯示，去年的數據泄漏事故中有90%涉及SQL注入攻擊。雖然企業完全可以通過保持更新數據庫和以安全的方式配置來避免這些攻擊，但是他們根本沒有抓住這個機會來減輕風險。IOUG調查發現63%的管理員承認他們的關鍵補丁更新至少有一個周期時間的延誤。最令人關注的是，17%的管理員表示他們從來沒有修復補丁或者并不確定是否修復了補丁。

　　5. 特權用戶運行不受制止

　　我們最大的風險可能是員工肆意運行，我們可以很快察覺，但是可能還是無法避免嚴重損害。這是很多管理員共同的心聲，約有22%受訪者將內部攻擊者列為他們最大的數據庫安全風險，而另外12%受訪者表示濫用特權是最大的威脅。盡管大家都知道這個威脅，但是卻很少有企業采取行動來減輕這些風險。高達四分之三的企業并有或者不確定他們是否有辦法制止特權用戶濫用或者攻擊數據庫信息。只有23%的企業有辦法阻止特權用戶的意外更高。四分之一的企業，即使是普