Las bases de datos contienen información valiosa lo que inmediatamente las transforma en un objeto codiciado para los ciberatacantes. Teniendo en cuenta que cada vez son más comunes los robos y filtraciones de información, ESET presentó algunos consejos clave para mantener bases de datos seguras, especialmente cuando están alojadas en la nube o en servicios tercerizados.

1 – Limitar el acceso a la base de datos

Un riguroso control de acceso es el primer paso para mantener a los atacantes lejos de la información. Además de los permisos básicos como en cualquier sistema, en este caso también se debe considerar:

• Limitar el acceso a los datos sensibles tanto por parte de los usuarios como de los procedimientos, es decir, que solo determinados usuarios y procedimientos estén autorizados a realizar consultas en información sensible.
• Limitar el uso de los procedimientos importantes solo a usuarios específicos.
• Siempre que sea posible, evitar las concurrencias y acceso fuera del horario laboral o habitual.

Por otro lado, resulta una buena práctica deshabilitar todos los servicios y procedimientos que no se utilicen, para evitar que sean atacados. Además, siempre que sea posible, la base de datos debe estar en un servidor que no tenga acceso directamente desde internet, para evitar que la información quede expuesta a atacantes remotos.

2 – Identificar los datos sensibles y los datos críticos

El primer paso, antes de pensar en las técnicas y herramientas de protección, es analizar e identificar cuál es la información que se debe proteger. Para esto, es importante entender la lógica y arquitectura de la base de datos. No todos los datos que almacenamos son críticos o deben ser protegidos, por lo que no tiene sentido gastar tiempo y recursos en esta información.

También es recomendable llevar un inventario de las bases de datos de la compañía, teniendo en cuenta todas las áreas. La única forma de tener una administración prolija y no perder información es tener conocimiento y registro de todas las instancias y bases de datos de la compañía. Además, el inventario resulta especialmente útil al momento de hacer un respaldo de la información, para evitar que datos críticos queden fuera del esquema.

3 – Cifrar la información

Una vez identificados los datos sensibles y la información confidencial, una buena práctica es utilizar algoritmos robustos para cifrar estos datos.

Cuando un atacante explota una vulnerabilidad y logra tener acceso a un servidor o un sistema, lo primero que intentará robar son las bases de datos. Las mismas tienen un gran valor, ya que normalmente incluyen muchos gigas de información; la mejor manera de preservarla es volverla ilegible para cualquier persona que llegue a ella sin autorización.

4 – Anonimizar las bases de datos de que no son productivas

Muchas empresas invierten tiempo y recursos en proteger sus bases de datos productivas, pero al momento de hacer un desarrollo o crear un entorno de pruebas, simplemente hacen una copia de la base original y comienzan a utilizarla en ambientes mucho menos controlados, exponiendo de esta manera toda la información sensible.

El enmascaramiento o anonimización es un proceso mediante el cual se crea una versión similar, manteniendo la misma estructura que la original, pero alterando los datos sensibles para que permanezcan protegidos. A partir de esta técnica se cambian los valores respetando el formato.

Los datos se pueden cambiar de diferentes maneras: mezclándolos entre sí, cifrándolos, mezclando los caracteres o sustituyendo palabras. El método elegido dependerá del administrador, las reglas y formatos que se deban mantener, pero sea cual sea, debe garantizar que el proceso sea irreversible; es decir, que no se pueda hacer ingeniería reversa para volver a obtener los datos originales.

5 – Monitorear la actividad de la base de datos

Estar atento, auditar y registrar las acciones y movimientos sobre los datos permite saber quién, qué, cuándo y cómo ha manipulado la información. Tener un historial completo de las transacciones permite comprender patrones en el acceso y modificación de los datos y así evitar fugas de información, controlar cambios fraudulentos y detectar acciones sospechosas en tiempo real.