La seguridad de la información que debe haber en una base de datos

En la presente unidad estudiaremos la seguridad de la información que debe haber en una base de datos, ya que es de suma importancia porque siempre existe el riesgo de que alguien haga mal uso de tus documentos.

Revisa el siguiente mapa

1. Confidencialidad

Hasta ahora hemos manejado la estructura de las bases de datos, sin embargo no debemos olvidar la esencia de las mismas: lainformación.

Imaginemos que una organización tiene su base de datos.

¿Qué impide que alguien pueda entrar a la base de datos y modifique la información que contiene o incluso la elimine?

1.1 Protección de bases de datos

Una base de datos contiene información importante que debe ser resguardada de distintos inconvenientes.

Imaginemos el caso de un sistema bancario. Este sistema contiene información importante referente a los cuentahabientes y sobre todo datos de movimientos bursátiles.

En caso de que no exista una protección para la base de datos, cualquier persona podría acceder al sistema y manipular la información maliciosamente.

A estos sucesos se les llama accesos malintencionados y pueden ser de tres tipos:

1. La lectura no autorizada de la información:

Las bases de datos se diseñan para almacenar información, en cualquier momento se puede requerir tener acceso a ella, no obstante hay información que debe ser resguardada de lecturas no autorizadas para evitar su robo y que caiga en manos erróneas.

Por ejemplo:

Retomando el ejemplo del sistema bancario tenemos que en él se debe almacenar el número de cuenta y la contraseña de acceso de cada cliente, esta información la utiliza el usuario para realizar sus movimientos bancarios (sacar dinero de un cajero, comprar por Internet). Sin embargo no es posible que dichos datos estén al alcance de todas las personas ¿te imaginas? cualquiera podría hacer mal uso de ellos.

1. La modificación no autorizada de los datos

En una base de datos resulta común el modificar información, como un cambio de domicilio, sin embargo estas variaciones deben ser controladas y hacerlas sólo cuando sea necesario.

Continuando con el ejemplo bancario, si no existe protección nada impediría que se modificaran los montos de una cuenta.

1. La destrucción no autorizada de los datos

Recordemos que hay ocasiones en las que se deben eliminar registros de una base de datos dependiendo de las necesidades de la organización, no obstante este es un proceso que debe ser controlado y también debe tener protección para evitar que se elimine información maliciosamente, por ejemplo, que se borren los datos de la deuda de un cuentahabiente del banco, porque así desaparecería la cuenta pendiente y podría crearse un caos.

[pic 2]

Ahora surge la pregunta:

¿Es posible proteger por completo una base de datos del uso malintencionado?

En realidad no, aún así es posible elevar la protección lo suficiente como para brindar seguridad y al mismo tiempo disuadir la mayoría de los intentos de intromisión o uso malintencionado.

Se pueden distinguir varios niveles de protección para una base de datos:

1. Sistema de bases de datos

1. Podemos establecer restricciones de modo que un usuario sólo pueda ver cierta parte de nuestra base de datos, la parte con la que deba trabajar.
2. También podemos establecer que un usuario sólo pueda consultar la información y otro modificarla.

El sistema de base de datos se encarga de que no se pasen por alto estas restricciones.

1. Sistema operativo

A pesar de que nuestro sistema de base de datos sea seguro, puede haber fallas de seguridad en el sistema operativo que hagan vulnerable a la base de datos.

Por ejemplo, si tenemos nuestro servidor en una ubicación en la cual más de una persona puede acceder, aunque éste tengapassword a nivel del sistema operativo, una falla en la seguridad brindaría acceso al mismo, poniendo en riesgo la base de datos.

Quien entre maliciosamente al sistema operativo podría desinstalar programas, borrar archivos, etcétera, lo cual resultaría fatal para la misma base de datos.

1. Red:

La mayoría de las bases de datos se diseñan para poder realizar consultas remotas, es decir, desde equipos distantes de donde se encuentra físicamente la base de datos. Esto requiere el uso de redes. Por lo tanto debe existir la seguridad suficiente para evitar que se pierda información que se transmita por la red, o bien que se intercepte información confidencial como claves de acceso.

1. Físico:

Los lugares en los que se encuentran los equipos físicos, como los servidores, deben de estar protegidos contra el acceso de personal no autorizado que pueda entrar al sistema directamente.

Una manera de hacerlo puede ser mediante cámaras, claves de acceso, entre otros.

1. Humano:

La selección de los usuarios autorizados a ciertos accesos debe realizarse cautelosamente, a fin de reducir la posibilidad de que éstos le brinden oportunidad a otras personas de entrar a la información o la distribuyan confidencialmente.

Si se presenta una falla en la seguridad en alguno de los niveles inferiores aumenta la probabilidad de que se pase por alto la seguridad de los niveles superiores.

No profundizaremos en detalles de seguridad de todos los niveles. El nivel que nos compete en este momento se trata de la seguridad a nivel del sistema de base de datos.

1.2 Privilegios y autorizaciones

Autorizaciones

Para facilitar la administración de los sistemas de bases de datos se incorpora el concepto de perfil, que es una agrupación o conjunto al cual se le asigna una serie de privilegios.

...