Servicios - Computerworld Colombia

Bases de datos: ¿inseguras?Algunas reflexiones básicasJeimy CanoRecientemente la Independent Oracle Users Group's (IOUG) (verreferencias) liberó un estudio realizado con 430 de sus miembros sobrela seguridad en los datos, donde se revelan cinco puntos claves quemuestran por qué falla la seguridad en las bases de datos.las aplicaciones. Estas últimas son las que ante una actualizaciónpueden dejar de funcionar o hacerlo de manera errática, lo cual implicaun trabajo conjunto con los líderes funcionales de éstas con el fin deasegurar que la solución sigue funcionando como se tiene previsto.COMPUTERWORLD - Octubre 2010ESPECIAL SEGURIDAD22Los cinco puntos son:Aplicar un parche no es instalar un archivo ejecutable en un servidor yesperar a que se termine su realización; es todo un procedimiento formal1. Las organizaciones no saben aún dónde residen sus datos sensibles en la organización donde participan tanto el área de tecnología de2. El monitoreo de la seguridad sigue siendo aún irregular y no información como el área de negocio, para asegurar que las condicionessistemáticoy acciones requeridas para que el proceso de actualización se dé y que3. Los usuarios privilegiados se siguen ejecutando sin un adecuado ante cualquier eventualidad se tienen previstos los mecanismos decontrol y seguimiento“vuelta atrás” y respaldos, que permitan mantener la operación y4. Los parches en las bases de datos se despliegan y aplican lentamente exceptuar, si es necesario, la aplicación del parche en la máquina. Es5. Existe un evidente retraso en la aplicación de técnicas de cifrado claro que una situación como la anterior, exige de la organización unasobre las bases de datosrevisión de la aplicación afectada, con el fin de evaluar y revisar su códigopara ver alternativas de afinamiento según se requiera.Cuando se advierten estas cinco conclusiones sobre la seguridad de labases de datos, encontramos que son situaciones que en la mayoría se Finalmente el estudio nos habla sobre el uso de las técnicas de cifrado,encuentran asociadas con ineficientes prácticas de seguridad de la las cuales son ampliamente conocidas y las cuales cuentan coninformación que la exponen y a la organización, a posibles fallas o aplicaciones de implementación tanto en bases de datos como envulnerabilidades que pueden ser explotadas tanto por atacantes internoscomo externos.El estudio afirma que las organizaciones no saben donde residen susdatos sensibles. Esta es una realidad en muchas empresas a nivelinternacional, la cual se manifiesta en una inadecuada o inexistenteclasificación de la información. Esto es, que las corporaciones no setoman el tiempo para adelantar el análisis de riesgos propios de los flujosde información en sus negocios, de tal manera que puedan identificaraquella que por su confidencialidad requiera niveles de proteccióndiferentes a las demás.Esta situación se agrava aún más cuando las prácticas de seguridad dela información no son constantes, lo que lleva a una aplicaciónsistemática de comportamientos inapropiados que pueden ser, ingenuospor el desconocimiento del nivel de confidencialidad o definitivamenteintencionales, sabiendo que por la ausencia de controles e indefinicionesfrente al tratamiento de la información, es posible filtrarla con lacomplicidad de un limitado seguimiento y control propio de losparticipantes en los procesos de la compañía.Lo anterior confirma la segunda conclusión del estudio: el monitoreosigue siendo irregular e inconstante. La seguridad de la informacióncuando se traduce en una inestable y débil gestión de reconocimiento dela inseguridad en los procesos de negocio, allana el camino para lamaterialización de incidentes de seguridad con consecuenciasinesperadas, dado que no se conoce el alcance ni impacto de cada unode los componentes del proceso y su interrelación con las otras áreas denegocio.Esta situación, exige de las organizaciones modernas, el que seincorporan prácticas de control interno, que le permitan afianzar elreconocimiento de los riesgos en el tratamiento de la información paraasí, hacer de su ciclo de vida, una experiencia conocida y apropiada portodos y cada uno de los colaboradores empresariales.Ya la tercera conclusión, sobre la falta de monitoreo de los usuariosprivilegiados es un llamado de atención al sistema de control internoinformático de las organizaciones. Mientras los administradores de lasbases de datos, así como los administradores de servidores odispositivos de telecomunicaciones, mantengan su hálito de“intocabilidad” por su clara función crítica en el funcionamiento de lossistemas informáticos de las organizaciones y no se acojan a lasprácticas de seguridad y control, que exige básicamente la trazabilidadde sus operaciones, así como a la aplicación de guías de aseguramientode cada uno de sus dispositivos, mantendremos una gestión parcial deseguridad que podrá ver claramente lo que los usuarios desarrollan enlas aplicaciones, pero una vista borrosa e inexacta de lo que los usuariosprivilegiados aplican o ejecutan sobre los componentes básico de lainfraestructura computacional de las empresas.Hablar de parches y aplicación de los mismos es hablar de una operaciónde cirugía de alta precisión, pues esto implica conocer muy bien lasaplicaciones y la manera como ellas funcionan en los diferenteservidores. Cuando de aplicar un parche se trata, se hace necesarioestablecer una “ventana de tiempo” para que en un ambiente controladoy donde las aplicaciones no estén funcionando, se pueda instalar éstos yver los comportamientos de la máquina y del software base, así como deaplicaciones, con el fin de asegurar la confidencialidad en el tratamientode la información en los diferentes escenarios en los que la informaciónfluye.El uso de cifrado de la información en las bases de datos o en cualquierinformación bien sea en servidores de alto desempeño o en dispositivosmóviles, lleva consigo un impacto en desempeño propio de la aplicaciónde los algoritmos utilizados. Mientras la operacionalización de lastécnicas de cifrado se apalanquen en el uso intensivo del procesador,siempre habrá un costo base en el tiempo de respuesta, que estarádisminuido en la manera como cada implementador del algoritmo lodesarrolle. Así las cosas, en las bases de datos conocidas este es uncosto que debe ser considerado en el momento del diseño de laseguridad de la misma, siempre y cuando esta fase, haga parte de lapuesta en operación de un sistema manejador de bases de datos.Las conclusiones del estudio realizado por la Independent Oracle UsersGroup's (IOUG), demuestran una vez más que la seguridad de lainformación aún continúa siendo una realidad “externa” a la gestiónpropia de la tecnología de la información en las organizaciones, lo cualgenera el escenario ideal para que la maestra inseguridad encuentrenuevas razones para mostrarnos que mantiene su posición vigilante antenuestra inconstancia y falta de aseguramiento de acciones preventivasque nos permitan anticiparnos a las lecciones propias de la fallas deseguridad.En consecuencia, debemos reconocer que si queremos, podemosaumentar la predictibilidad de la operación de las tecnologías deinformación, no sólo desde las buenas prácticas de seguridad inmersasen los procesos de negocio, sino dentro del colectivo cultural y social delos participantes de la empresa, quienes son los que al final del día hacenla diferencia en la gestión de la seguridad de la información.