Каковы &quot;best practice&quot; по распределению полномочий в БД Oracle с точки зрения информационной безопасности?
Думаю этот вопрос является общим для всех БД. Распишу идеальный вариант:
 — все owners схем на промышленной БД заблокированы. Доступ под этими пользователями не возможен.
 — для проведения установки каждый администратор БД должен обладать собственным логином, с правами позволяющими ему проводить все необходимые операции в этих схемах
 — логирование действия настраивается стандартными средствами Oracle aka Audit
 — там логируются все действия данных пользователей
 — пароль от аккаунта sys должен лежать в сейфе у главного боса и его использование должно быть регламентировано, ибо согласно политики Oracle его действия не могут быть залогированы, иначе он не сможет зайти в систему при возникновении непредвиденных ситуаций, к примеру переполнения табличного пространства для Audit
 — из таблицы AUD все данные должны в онлайне стекаться на мониторинг администратору по безопасности
 — успешные и неуспешные комманды должны выделаться признаками для возможности предотвращения несанкционированного доступа к данным

Ну вот вроде все что вспомнил согласно PCI DSS
Есть отдельный продукт Oracle Database Vault который как раз и дает защитить бизнес-данные от DBA, но это отдельные деньги и отдельный администратор + наверное еще и Oracle Audit Vault с еще одним админом… ну и без отдельных сотрудников службы безопасности тоже врядли обойдется :). Далеко не все смогу и захотят иметь такую роскошь, но, вообще, это как раз та самая технология от привилегированных пользователей. Презентация PDF