Theo thống kê của Imperra so với năm 2010 thì các hiểm họa trong năm 2013 hầu như không khác biệt, nhưng thứ tự xếp hạng của chúng lại thay đổi. Trong đó, hai hiểm họa mới được bổ sung dựa trên các xu thế phát triển của khách hàng và thị trường, một loại hiểm họa mới là các tấn công liên quan đến mã độc. Bảng dưới đây đưa ra mười hiểm họa hàng đầu với CSDL năm 2010 và 2013, đồng thời đưa ra thứ tự xếp hạng của chúng để thấy được sự khác biệt của các hiểm họa này trong hai năm 2010 và 2013.

Các tổ chức có thể đưa ra những giải pháp thực tế tốt hơn để bảo vệ dữ liệu của mình và xử lý những rủi ro có thể xảy ra, trong đó có mười hiểm họa hàng đầu này. Sau đây, chúng ta sẽ tìm hiểu về mười hiểm họa này.

1.  Lạm dụng các đặc quyền vượt mức và các đặc quyền không còn được dùng
Khi người dùng (hay ứng dụng) được gán các đặc quyền truy nhập CSDL vượt quá các yêu cầu trong chức năng công việc của họ, thì những đặc quyền này có thể bị lạm dụng cho các mục đích xấu. Ví dụ, một người phụ trách cho CSDL của trường đại học với công việc là thay đổi các thông tin liên lạc của sinh viên, người này có thể lạm dụng quyền của mình với quyền cập nhật CSDL để sửa đổi trái phép điểm của sinh viên. Hoặc, một nhân viên ngân hàng với công việc là chỉ được thay đổi thông tin liên lạc của những người nắm giữ tài khoản. Tuy nhiên, người này có thể lạm dụng quyền vượt mức của mình để tăng số dư tài khoản tiết kiệm của một đồng nghiệp....
Bên cạnh đó, khi một người thôi không làm việc tại một tổ chức, thường các quyền truy nhập vào dữ liệu nhạy cảm của họ vẫn không được thay đổi. Và nếu những người này có mục đích xấu, họ có thể sử dụng những đặc quyền cũ của mình để lấy cắp dữ liệu có giá trị cao, hoặc gây thiệt hại cho hệ thống.
Một lý do đơn giản là những quản trị viên CSDL vì bận rộn với công việc quản trị của mình, nên không có thời gian để định nghĩa và cập nhật cơ chế kiểm soát quyền truy nhập cho mỗi người dùng. Kết quả là một số lượng lớn người dùng được gán các đặc quyền truy nhập mặc định vượt xa so với yêu cầu công việc của họ.

2. Lạm dụng đặc quyền 
Người dùng có thể lạm dụng các đặc quyền hợp pháp của mình để thực hiện những mục đích không hợp pháp. Ví dụ, một nhân viên chăm sóc sức khỏe có quyền xem các bản ghi liên quan đến một bệnh nhân trong CSDL qua một ứng dụng Web. Tuy nhiên, thường cấu trúc của ứng dụng Web sẽ hạn chế không cho phép người dùng được xem nhiều bản ghi, về lịch sử khám chữa bệnh liên quan đến nhiều bệnh nhân một cách đồng thời. Khi đó, nếu có mục đích xấu, nhân viên này có thể bỏ qua hạn chế của ứng dụng Web đó bằng cách kết nối tới CSDL bằng một trình khách khác, chẳng hạn MS-Exel. Trong đó, anh ta sử dụng MS-Exel với quyền ủy nhiệm đăng nhập hợp lệ của mình nên có thể lấy ra và lưu lại tất cả các bản ghi về các bệnh nhân trong CSDL.
Ở đây, cần xét hai rủi ro. Thứ nhất, nhân viên có mục đích xấu, sẵn sàng bán các bản ghi thông tin bệnh nhân để lấy tiền. Thứ hai (phổ biến hơn) là nhân viên đó cẩu thả, truy xuất và lưu trữ một lượng lớn thông tin bệnh nhân vào máy khách của họ với mục đích công việc hợp pháp. Tuy nhiên, nhân viên này có thể để lộ dữ liệu bệnh nhân ở một máy tính đầu cuối, vì nó trở thành điểm yếu cho Trojan, hay những kẻ lấy cắp máy tính,…

3. Tấn công SQL Injection
Trong một tấn công SQL Injection, kẻ tấn công thường chèn (hay “tiêm”) các mệnh đề CSDL bất hợp pháp vào một nguồn dữ liệu SQL dễ bị tổn thương. Thường nguồn dữ liệu đích bao gồm các thủ tục được lưu và các tham số đầu vào của ứng dụng Web. Các nguồn này bị chèn những mệnh đề bất hợp pháp, sau đó chúng được truyền tới CSDL và được xử lý tại đây. Với SQL Injection, kẻ tấn công có thể đạt được truy nhập không giới hạn tới toàn bộ CSDL.

4. Mã độc
Tội phạm mạng thường sử dụng các cuộc tấn công tiên tiến, pha trộn nhiều chiến thuật, chẳng hạn như: lừa đảo qua email và sử dụng phần mềm độc hại để thâm nhập vào các tổ chức và lấy cắp dữ liệu nhạy cảm. Những người dùng hợp pháp không biết phần mềm độc hại đã lây nhiễm vào thiết bị của mình, vì vậy vô hình chung họ trở thành một đường dẫn cho các nhóm tin tặc này truy cập vào mạng và dữ liệu nhạy cảm.

5. Lợi dụng vết kiểm toán yếu
Đối với bất kỳ hoạt động nào liên quan đến CSDL, cần phải ghi lại một cách tự động tất cả các giao dịch CSDL nhạy cảm và/hoặc các giao dịch bất thường. Chính sách kiểm toán CSDL yếu sẽ dẫn đến những rủi ro nghiêm trọng cho tổ chức với nhiều mức độ khác nhau.
Các cơ chế kiểm toán là tuyến hàng rào bảo vệ CSDL cuối cùng. Nếu kẻ tấn công có thể phá vỡ các hàng rào khác thì cơ chế kiểm toán dữ liệu vẫn có thể xác định sự tồn tại của một xâm nhập sau những hành động của kẻ tấn công trước đó. Những vết kiểm toán thu được tiếp tục có thể dùng để xác định người dùng nào vừa thực hiện các hành động này, đồng thời qua vết kiểm toán có thể phục hồi lại hệ thống.
Cơ chế kiểm toán yếu đồng nghĩa với việc hệ thống không thể ghi lại đầy đủ những hành động của người dùng, dẫn đến việc không thể phát hiện và ngăn chặn kịp thời những hành động tấn công của người dùng hoặc một nhóm người dùng. Do vậy, kiểm toán là cơ chế quan trọng mà mọi hệ thống cần phải có để đảm bảo an toàn thông tin.

6. Lợi dụng sự sơ hở để khai thác phương tiện lưu trữ
Các phương tiện lưu trữ sao lưu thường xuyên thường không được bảo vệ khỏi các tấn công. Kết quả là đã có rất nhiều lỗ hổng bảo mật có liên quan đến các hành vi trộm cắp các đĩa và băng sao lưu CSDL. Hơn nữa, sự thất bại trong việc kiểm toán và giám sát các hoạt động của quản trị viên – người lẽ ra chỉ có thể truy cập ở mức độ thấp vào thông tin nhạy cảm, có thể đặt dữ liệu của các tổ chức vào những rủi ro và nguy cơ khó lường. Để hạn chế điều này, cần có những biện pháp thích hợp để bảo vệ bản sao lưu của dữ liệu nhạy cảm và theo dõi những người dùng có đặc quyền cao nhất trong hệ thống nhằm đảm bảo an toàn cho dữ liệu của tổ chức.

7. Khai thác các CSDL có điểm yếu và bị lỗi cấu hình
Thường các CSDL đều có chứa các điểm yếu dễ bị tổn thương và chưa được vá lỗi, hoặc chứa các tài khoản và các tham số cấu hình mặc định. Kẻ tấn công có thể khai thác những lỗ hổng đó để khởi động các cuộc tấn công. Các tổ chức thường cố gắng duy trì cấu hình CSDL của mình. Tuy nhiên, việc vá lỗi cho CSDL mất rất nhiều thời gian (có thể hàng tháng) mới hoàn thành, ngay cả khi các bản vá đã có sẵn. Kết quả là trong thời gian vá lỗi, các CSDL chưa được vá lỗ hổng vẫn còn rất nhiều điểm yếu dễ bị tổn thương.
Theo một thống kê nhóm người dùng của Oracle năm 2012, có khoảng 28% người dùng chưa bao giờ áp dụng một bản vá quan trọng nào cho phiên bản Oracle mà họ đang sử dụng. Ngoài ra, có 10% người dùng của Oracle mất khoảng hơn một năm để hoàn thành xong quá trình vá lỗi cho sản  phẩm họ sử dụng.

8. Rò rỉ các dữ liệu nhạy cảm không được quản lý
Nhiều công ty đã thực hiện duy trì việc kiểm kê chính xác các CSDL và các đối tượng dữ liệu quan trọng chứa trong các CSDL của họ. Các CSDL thường có chứa một số thông tin nhạy cảm, có thể chúng được lưu trữ rải rác trong CSDL. Do đó, nếu không có những biện pháp điều khiển và kiểm soát quyền phù hợp thì những thông tin nhạy cảm này rất dễ bị truy xuất bất hợp pháp.

9. Tấn công từ chối dịch vụ
Từ chối dịch vụ (DoS) là một loại tấn công trong đó các truy nhập của người dùng hợp pháp vào các ứng dụng mạng hay vào dữ liệu sẽ bị từ chối. Các điều kiện từ chối dịch vụ có thể được tạo ra qua nhiều kỹ thuật (nhiều trong số đó liên quan đến các điểm yếu nền tảng). Ví dụ, tấn công DoS có thể dựa trên điểm yếu nền tảng CSDL để phá hủy một máy chủ. Ngoài ra, còn có một số kỹ thuật DoS phổ biến khác như: sửa đổi dữ liệu, làm nghẽn mạng (network flooding) và làm quá tải tài nguyên máy chủ.

10. Vấn đề đào tạo và chuyên gia an ninh còn hạn chế
Những cơ chế kiểm soát an toàn bên trong tổ chức hiện nay chưa đáp ứng kịp với sự tăng nhanh của dữ liệu được lưu trữ và nhiều tổ chức không được trang bị đầy đủ những giải pháp an toàn để đối phó với những sự cố và vi phạm an ninh thường xuyên xảy ra. Đó là do thiếu năng lực chuyên môn cần thiết để thực hiện các kiểm soát an toàn, các chính sách bảo mật và vấn đề đào tạo.
Theo khảo sát về các lỗ hổng an toàn thông tin năm 2012 của PWC, có tới 75% tổ chức được khảo sát cho biết, các nhân viên có kinh nghiệm về lĩnh vực bảo mật là rất ít. Đồng thời, có khoảng 54% các doanh nghiệp nhỏ không có chương trình đào tạo cho nhân viên của họ về các rủi ro đối với vấn đề bảo mật, an toàn.

Chiến lược phòng thủ CSDL nhiều lớp
Mười hiểm họa an toàn CSDL hàng đầu có thể được ngăn chặn bằng cách thực hiện các bước theo quy luật và có sự kiểm tra bên trong. Có nhiều loại tấn công khác nhau vào CSDL và chúng có thể được sử dụng kết hợp với nhau để tăng sức mạnh, vì thế một chiến lược phòng thủ nhiều lớp là cần thiết để bảo vệ CSDL một cách tốt nhất. Bảng dưới đây xác định các giải pháp cho mười mối hiểm họa CSDL đã được trình bày ở trên.