Seguridad de la información en bases de datos

Las bases de datos son el conjunto de un gran volumen de información organizada en uno o varios temas. Esta tecnología es la base para la conservación de información en todas las áreas de la actividad humana. Por eso, la seguridad de la información en las bases de datos es sumamente importante para las empresas. Exploremos este tema junto con Anexet.

Definición de base de datos

Una base de datos (BD) es un sistema de almacenamiento organizado de información para su posterior procesamiento y gestión. El principio fundamental al crear bases de datos es proporcionar un acceso rápido y sencillo a la información almacenada. Las bases de datos modernas se utilizan en prácticamente todas las áreas de la vida — en organizaciones bancarias y financieras, instituciones educativas, servicios públicos y otras organizaciones.

La importancia de organizar la protección crece junto con el aumento del volumen de datos almacenados en las bases de datos, el nivel de su confidencialidad y el creciente número de amenazas dirigidas a comprometerlos.  

¿Qué tipos de bases de datos existen?

Las bases de datos se utilizan en diversos campos, y existe una clasificación de sus tipos según el método de organización de la información.

Las bases de datos relacionales (SQL) son el tipo de base de datos más popular. La información en ellas se almacena en forma de tablas (modelo relacional), donde los datos están estructurados y vinculados entre sí. La principal ventaja de este tipo es su organización intuitiva y su facilidad de uso. Cada fila de la tabla representa un registro identificado por una clave única, y las columnas contienen los atributos necesarios. Esto facilita establecer relaciones entre los datos.

Las bases de datos no relacionales (NoSQL) son otra forma de organizar los datos, que ofrece alta escalabilidad y flexibilidad de estructura. A diferencia de los sistemas relacionales tradicionales, las bases de datos no relacionales no se limitan a tablas y brindan más posibilidades para trabajar con grandes volúmenes de datos. Estas bases de datos son ideales para trabajar con Big Data. 

Las bases de datos orientadas a objetos (OOBD) almacenan información en forma de objetos, lo que las hace especialmente útiles para su uso en programación. 

Las bases de datos de grafos construyen la estructura de la información a partir de nodos y sus interconexiones (aristas), lo que permite analizar y representar de forma eficaz relaciones complejas entre objetos. Este enfoque resulta conveniente para procesar datos con múltiples relaciones entre la información almacenada.

¿Por qué es importante la seguridad de las bases de datos?

Las bases de datos almacenan información crítica y sensible de la empresa (como datos financieros, personales, bancarios, comerciales, etc.). No se trata solo de un conjunto de datos, sino de un verdadero complejo de todos los activos de información que posee una empresa y que inciden directamente en su eficiencia, competitividad y supervivencia. Una brecha en la seguridad de la base de datos puede provocar pérdidas financieras y daños reputacionales para la empresa. 

Las amenazas cibernéticas modernas se centran en gran medida en este valor y aprovechan las oportunidades para penetrar el perímetro de seguridad de la empresa.  

Las tareas de las bases de datos y su dependencia de la seguridad de la información

¿Qué tareas cumplen las bases de datos? Se pueden identificar varias tareas principales:

• garantizar la confidencialidad. Las bases de datos protegen la información importante para una empresa frente a la influencia negativa de personas hostiles;

• garantizar la integridad de la información. Las bases de datos, como medio único de almacenamiento de información, garantizan simultáneamente la integridad de los datos y sus interrelaciones, así como la conservación estructurada de los registros; 

• garantizar el acceso oportuno al conjunto de datos almacenados. Las bases de datos están abiertas a los usuarios autorizados en cualquier momento, salvo que se especifique lo contrario en las condiciones de uso;

• garantizar la verificación de la identidad del usuario mediante autenticación y autorización;

• garantizar el registro de eventos y la auditoría de la actividad del usuario en el sistema para identificar y prevenir posibles amenazas.

La precisión y fiabilidad de estas tareas depende directamente de la seguridad de la base de datos, por lo que es tan importante crear condiciones óptimas para el uso de este tipo de almacenamiento de información.  

Amenazas a la seguridad de las bases de datos

Dado que las bases de datos tienen un amplio rango de aplicaciones, las principales amenazas a su seguridad también son variadas y abarcan muchos tipos de problemas estándar de seguridad de la información. Veámoslas más de cerca.

• Ataques de denegación de servicio distribuido (DDoS)

Son intentos masivos de obtener acceso y autorización de usuarios en el sistema, con el objetivo de forzar la sobrecarga de los servidores de la base de datos y denegar el servicio a todos los clientes sin excepción, incluidos los autorizados.

• Inyecciones SQL

Es un método para vulnerar sitios web o programas basados en bases de datos. Los delincuentes insertan código SQL malicioso que ejecuta comandos predeterminados, como rastrear el tráfico o interceptar datos confidenciales.

• Acceso no autorizado 

Una de las principales amenazas, que puede originarse tanto desde circuitos de seguridad internos como desde agentes externos. Un atacante obtiene acceso a datos confidenciales almacenados en la base de datos capturando la autorización y puede realizar cualquier tipo de acción sobre esta información.

• Amenazas internas por descuido

Los empleados u otros usuarios internos pueden dañar accidental o intencionalmente la información en la base de datos. Este tipo de intrusión requiere un monitoreo constante, ya que no es necesario autorizar a los usuarios ni buscar la forma de penetrar el perímetro de seguridad de la empresa.

• Malware y virus 

El impacto negativo del malware y los virus puede tener consecuencias significativas para una empresa: cifrado, modificación, bloqueo del acceso, eliminación o distribución de los datos almacenados en la base de datos.  

Principios generales de la gestión de la seguridad de las bases de datos

Con base en los riesgos de seguridad existentes, los principales principios que deben aplicarse a la gestión de la seguridad de las bases de datos son minimizar los derechos de acceso a la información, cifrar los datos, monitorear la actividad web, actualizar el software con regularidad y crear copias de seguridad.

Minimizar los derechos de acceso proporciona el primer nivel de seguridad de la base de datos al limitar el círculo de personas de confianza y distribuir sus funciones dentro de la base de datos. Se pueden identificar varias funciones independientes:

• administrador del SGBD;

• administrador de la base de datos;

• administrador de seguridad;

• usuario.

Un administrador del SGBD es un especialista que gestiona el software diseñado para crear, modificar y administrar consultas de bases de datos. Sus principales responsabilidades incluyen instalar y configurar el SGBD, supervisar el sistema, optimizar consultas, realizar copias de seguridad y restaurar datos, entre otras funciones. Cuenta con los permisos necesarios para llevar a cabo estas tareas.

El administrador de la base de datos puede tener una amplia gama de tareas relacionadas con la gestión de los propios datos, su estructura y su uso. Es responsable de diseñar la base de datos, garantizar su integridad, gestionar tablas, índices y claves para mejorar el rendimiento. Sus responsabilidades también incluyen el soporte de consultas e informes. 

El administrador de ciberseguridad también es responsable de las bases de datos como parte de la seguridad general de la empresa. Puede implementar niveles adicionales de protección, como la autenticación de dos factores para administradores y usuarios, y supervisar la actividad en el sistema.

Un usuario es un empleado común de la empresa que tiene acceso a la base de datos únicamente dentro del alcance de sus funciones laborales.

Cada función asociada con la gestión de la base de datos tiene sus propias características y restricciones en cuanto al nivel de acceso y uso de privilegios.

Cifrado de datos en bases de datos: su función

El cifrado de datos es un método fundamental para proteger las bases de datos contra el acceso no autorizado y los ciberataques. Consiste en convertir los datos en una forma cifrada mediante algoritmos como AES simétrico, RSA asimétrico y hash SHA. Solo quienes tienen la clave adecuada pueden descifrar los datos y acceder a ellos. El cifrado se utiliza tanto para el almacenamiento (en servidores y medios externos) como para la transferencia de información entre un cliente y un servidor o entre servidores. A nivel de aplicación, el cifrado también puede ocurrir antes de que los datos se escriban en la base de datos.

El cifrado también incluye la gestión de claves criptográficas (por ejemplo, mediante servicios como HashiCorp Vault, AWS KMS o Azure Key Vault), que proporcionan almacenamiento seguro y gestión del acceso. En las bases de datos, la tecnología de cifrado suele integrarse a nivel del SGBD y funciona de forma automática, cifrando y descifrando datos con un impacto mínimo en el rendimiento del sistema. Esto es especialmente importante para proteger los datos en reposo, ya que no requiere cambios significativos en la arquitectura de almacenamiento.

Cifrar las copias de seguridad es una medida de seguridad obligatoria. Si las copias de seguridad caen en manos equivocadas, los atacantes pueden obtener acceso a los datos. Por eso, los administradores suelen cifrar las copias de seguridad para su protección.

Monitoreo de la actividad del usuario

El monitoreo de la actividad del usuario consiste en el seguimiento continuo de las acciones de los empleados y de los procesos relacionados con la base de datos para identificar actividad sospechosa. Esto puede incluir la detección de accesos no autorizados, el intercambio de credenciales o filtraciones de información de la base de datos.

Proporciona un monitoreo continuo de las actividades en la base de datos realizadas por empleados, usuarios y procesos para identificar actividad anómala, que puede manifestarse como acceso no autorizado, transferencia de inicio de sesión y contraseña para autorización, o difusión de información desde la base de datos.

Para monitorear la actividad del usuario, se puede utilizar el sistema DLP de Anexet. Proporciona transparencia sobre las actividades digitales de los empleados y bloquea la distribución de datos confidenciales.

Actualizaciones periódicas del software

Garantiza la eliminación oportuna de vulnerabilidades mediante la instalación de actualizaciones del proveedor de software que abordan los problemas de seguridad identificados. Un administrador de seguridad de la información puede realizar un seguimiento manual de las actualizaciones a medida que se publican nuevas versiones, o bien crear un cronograma especializado y respetarlo.

Copias de seguridad

Una de las herramientas más eficaces para mitigar las consecuencias de las brechas de seguridad, especialmente en lo que respecta a la protección de bases de datos. Las copias de seguridad garantizan que los datos de la base de datos permanezcan intactos en caso de un ataque.  

Software y servicios de seguridad para bases de datos

Existen diversos programas y servicios especializados que ayudan a proteger las bases de datos:

• Funciones de seguridad del SGBD. Ofrecen funciones de seguridad integradas, como cifrado y control de acceso, proporcionadas por los sistemas modernos de gestión de bases de datos (por ejemplo, Oracle, Microsoft SQL Server);

• Sistemas de detección de intrusiones (IDS/IPS). Analizan el tráfico en busca de actividad sospechosa y previenen posibles ataques;

• Monitoreo de bases de datos (DAM). Herramientas especiales que registran todas las acciones en la base de datos para identificar amenazas;

• Firewall de base de datos. Protege las bases de datos frente a ataques de red no autorizados;

• Sistemas DLP para monitorear la actividad de los usuarios de la base de datos y evitar la difusión de información confidencial desde las bases de datos. 

Métodos de autenticación en bases de datos

La autenticación es el proceso de verificar la identidad de un usuario antes de concederle acceso a la base de datos. Es especialmente relevante en el contexto de las bases de datos, ya que garantiza la diferenciación y precisión al otorgar acceso conforme a las funciones establecidas dentro de una empresa. Los métodos más populares para las bases de datos son:

• uso de contraseñas de acceso. Proporciona protección básica en el nivel de acceso inicial a la base de datos cuando se introducen el nombre de usuario y la contraseña correctos;

• autenticación de dos factores. Se logra añadiendo un paso de autenticación adicional (factor) mediante la confirmación de la identidad de un usuario que ya introdujo el nombre de usuario y la contraseña correctos. Los factores adicionales pueden incluir una contraseña, un mensaje enviado a un dispositivo móvil o identificación biométrica;

• uso de protocolos de autenticación de usuarios y servicios a través de servidores de confianza. Se utilizan a menudo en redes corporativas. Actúan como una especie de enrutador, una puerta de enlace segura entre internet y los usuarios;

• autenticación de base de datos mediante tokens. Se utiliza para acceder a la base de datos mediante tokens digitales temporales generados por un servidor. Este token es una clave única generada por el sistema y transmitida a un usuario para acceder a recursos protegidos. Así, el usuario recibe el token del servicio o aplicación y puede autenticarse en la base de datos sin necesidad de un nombre de usuario y una contraseña. Sin embargo, el período de validez de este token es limitado, a diferencia de una contraseña y un nombre de usuario.

Cómo funciona la autenticación basada en tokens:

• solicitud de autenticación;

• introducción de los datos de inicio de sesión (nombre de usuario y contraseña) en el sistema;

• generación del token;

• codificación de los datos del usuario y su presentación en forma de token, que es firmado por un servidor mediante una clave criptográfica para que no pueda ser falsificado;

• uso del token;

• introducción y acceso a la base de datos;

• vigencia del token;

• vigencia limitada para minimizar el riesgo de abuso en caso de compromiso.

Métodos de auditoría en bases de datos

¿Por qué es necesario realizar auditorías de bases de datos? Este proceso, al igual que las auditorías del sistema de seguridad y de los procesos de negocio, es vital para garantizar la seguridad de la información. Consiste en analizar las operaciones de datos y verificar su autorización. Si se detectan discrepancias entre los derechos de acceso y las operaciones, pueden aplicarse el bloqueo de cuentas, el monitoreo de las acciones realizadas y el análisis de las causas de la intrusión. 

Los principales métodos de auditoría de seguridad de bases de datos incluyen:

• registro de transacciones. Registro de todas las operaciones relacionadas con el acceso a los datos, lo que permite rastrear el historial de cambios y, en caso de fallo, restaurar la versión anterior al impacto negativo;

• monitoreo de las acciones del usuario y análisis de actividad anómala. Seguimiento de la actividad del usuario, incluidas la autorización, los cambios de datos y los intentos no autorizados de acceder a la base de datos. En esta etapa, resulta lógico utilizar el sistema DLP;

• controles periódicos de los sistemas de protección de información en las bases de datos. El análisis regular de los sistemas de seguridad, su relevancia y precisión garantizará la detección y eliminación oportuna de vulnerabilidades.

Conclusión

La seguridad de la información en las bases de datos es un proceso complejo que requiere un enfoque integral. Las amenazas a la seguridad evolucionan junto con la tecnología, y las empresas deben implementar medidas eficaces para proteger sus datos. Desde una autenticación y un cifrado sólidos hasta auditorías periódicas, cada medida ayuda a mantener un alto nivel de protección y a prevenir filtraciones de datos que podrían causar graves perjuicios tanto a los usuarios como a las empresas.