Las CCAA informan: Rioja Salud - Sociedad Española de ...

José Manuel Rodríguez Llano, Information Securiry
Sales manager de Oracle Ibérica, trató sobre
“Las amenazas están fuera y las vulnerabilidades
en el interior”. Expuso que “la protección de las Bases
de Datos es clave para impedir la fuga de información
sensible de las empresas e instituciones
publicas. Esto es
especialmente importante en un
sector como el Sanitario donde la practica totalidad
de la información que se maneja es altamente
sensible.

Históricamente se ha hecho mas foco en
la protección del perímetro y de los dispositivos
que en la protección de los sistemas donde se almacenan
dos tercios
de la información confidencial
de una organización. Hay una falsa sensación
de seguridad que explica la falta de inversión en la
protección de estos recursos clave.
Esta sensación
es infundada ya que año tras año se puede constatar
en las estadísticas que las Bases de Datos son
la principal fuente de fugas de información. 
Las
medidas de protección no pueden enfocarse solamente
a las amenazas externas sino también a las
provenientes del interior de las organizaciones, en
este 
sentido los usuarios administradores pueden
representar una amenaza dado el acceso completo
a la información del que disponen. Este hecho
es
especialmente relevante en instituciones donde
los servicios de administración se han externalizado,
ya sea de forma parcial o completa.

El 90% de
los casos de fugas de información mas sonados en
los últimos años se hubieran evitado con controles
relativamente simples establecidos
en dos líneas
de actuación: la adecuada gestión de las credenciales
de acceso a las aplicaciones y la implantación
de medidas de protección 
de las Bases de
Datos.

En la actualidad, y basándonos en los estudios
que anualmente realiza Oracle sobre su base
instalada, estamos muy lejos de una situación ideal.
En torno
al 70% de las instalaciones no dispone de
medios para impedir el acceso a la información por
parte de los administradores o detectar alteraciones
maliciosas 
de la información almacenada en
Bases de Datos.

Para lograr una prevención efectiva
de las fugas de información y conseguir un pleno
cumplimento normativo en sector sanitario es
imperativo implantar tecnologías 
básicas de Seguridad
en Base de Datos que permitan:
• Impedir el acceso a la información almacenada en
la Base de Datos desde el sistema operativo extrayendo
el fichero de datos desde el disco o desde
su Backus.
• Impedir el acceso a la información por parte de
los Administradores (DBA) manteniendo su capacidad
operativa.
Simón Viñals Larruga
Actividades de la SEIS
• Auditar y monitorizar todos los accesos a información
confidencial. Elaborar informes con todos los
accesos a dicha información y posibilitar el análisis
forense 
en caso de fugas de información.
• Garantizar que las Bases de datos no pueden ser
atacadas a través de la aplicaciones con técnicas
“SQL ingestión”.
• Hacer copias de los datos de Producción a otros
entornos de prueba o desarrollo enmascarando
los datos personalmente identificables”.
En último lugar intervino Simón Viñals Larruga,
director técnico de Intel Corporaction habló sobre
“Tecnologías innovadoras para la seguridad”. Los
riesgos de seguridad informática en la actualidad
están cambiando, no sólo en su probabilidad y
frecuencia creciente de manera exponencial, sino
también en sus novedosas herramientas de ataque
y en su capacidad para causar daños. Se ha pasado
de antiguos atacantes individuales a organizaciones
de cibercrimen a nivel mundial que han
convertido el ataque informático en una onerosa
industria del delito, sólo superada en volumen económico
por la de la droga, a poca distancia.
Al mismo tiempo, los dispositivos de usuario se han
multiplicado y hecho más móviles (con tendencias
como el BYOD y la Consumerización de IT) y los servicios
de información se han “subido a la nube” de
la mano del Cloud Computing y de Internet, lo que
abre nuevos frentes de riesgo para los Sistemas de
Información Sanitaria y hace que las tradicionales
herramientas software de seguridad informática ya
no sean suficientes.
Ante ello, Intel propone el uso de tecnologías de
seguridad basadas en el hardware, que refuerzan a
las tecnologías software mejorando su rendimiento
y las hace invulnerables frente ataques novedosos
como los APT (Advanced Persistent Threats), los
Rootkits, los keyloggers, los screen-capture o los
ataques “man-in-the-middle”.
49