Colocar una base de datos en la nube cambia significativamente su panorama de seguridad. Aunque muchos riesgos tradicionales permanecen on premises -el riesgo de pérdida de datos por parte de los usuarios privilegiados con acceso a los datos, la presencia de datos delicados no identificados y los ataques de inyección SQL son algunos ejemplos- la nube presenta sus propios riesgos adicionales.

También existen maneras de reforzar la nube realizando el outsourcing de algunas mitigaciones de riesgos al proveedor de nube. Hexa Tier encuestó recientemente a 574 profesionales de TI y aquí están sus preocupaciones.

La seguridad del almacenamiento de los datos

Algunas de las preocupaciones citadas fueron:

¿Dónde se almacena los datos?

¿Quién tiene acceso a los datos?

¿Qué acciones pueden realizar con los datos aquellos que tienen acceso?

¿Qué acceso es registrado y reportado?

Un tenant vecino tiene acceso indirecto a los datos (mediante la memoria compartida y no saneada).

Un tenant vecino puede infiltrar la base de datos.

El proveedor de DBaaS puede acceder a sus datos

Un efecto secundario de albergar datos en la nube es que usted no puede controlar quién tiene acceso lógico y físico a los servidores en los que sus datos están almacenados y son procesados. Más específicamente, ciertos empleados del proveedor de nube tendrán acceso a los servidores. Esto introduce una posible vía para el robo de datos, de la cual no tiene control alguno.

En ambientes de DBaaS, donde el proveedor proporciona el software, usted es forzado a confiar, en un grado mucho más alto, en el proveedor y sus procedimientos de seguridad.

Locación física de los datos de producción y los datos de backup

Cuando los datos están almacenados en la nube, la locación de los datos se convierte en una pregunta importante. Los proveedores de nube mantienen centros de datos físicos en múltiples locaciones por razones de desempeño y redundancia. Esto puede traer problemas relacionados al cumplimiento de regulaciones y políticas internas de la compañía.

Los proveedores de DBaaS respaldan los datos de sus clientes con el propósito de cumplir con sus propias necesidades de continuidad/recuperación en caso de desastre (BCDR). En segundo lugar, ellos les ofrecen respaldos automáticos que les permite a sus clientes restaurar datos de sus propios backups. En tercer lugar, ofrecen servicios de replicación de datos que ponen en espejo los datos de sus clientes, a veces en otras regiones, con fines de mantener el balance de carga y desempeño.

Los usuarios externos pueden acceder a la DBaaS

Cuando la base de datos de una organización está en la nube, es posible que las personas obtengan acceso a ella. Todo lo que se necesitaría es descifrar la contraseña de la base de datos o explotar alguna otra debilidad en la configuración de seguridad. Los despliegues de DBaaS pueden ser protegidos por firewalls de red que funcionan de forma similar a los firewalls on premises. Pueden ser configurados para permitir el acceso únicamente desde ciertas redes o direcciones IP. Todos los principales proveedores brindan firewalls básicos que, con unas pocas reglas simples, pueden asegurar que el acceso a la base de datos sea concedido solo desde la red de la propia organización.

El cumplimiento regulatorio de la DBaaS

El cumplimiento regulatorio de la DBaaS se refiere a las acciones tomadas por las organizaciones para cumplir con las leyes y regulaciones que aplican a las bases de datos albergadas en la nube. Las regulaciones que se aplican comúnmente incluyen a PCI-DSS, SOX, Basel II y HIPAA. Es posible que las soluciones con una funcionalidad, estabilidad y desempeño equivalente todavía no estén disponibles para ambientes de nube. Toda organización que tenga que cumplir con regulaciones en un ambiente DBaaS tiene que usar herramientas de terceros para lograr el cumplimiento normativo.

DDoS y ataques de desempeño a la base de datos

Un ataque de desempeño puede ser causado por inundar la base de datos con solicitudes artificiales (DDoS), o por ataques dirigidos que impactan a un activo delicado en la base de datos. Actualmente, las bases de datos albergadas en la nube son más resistentes a los ataques de desempeño debido a su agilidad inherente. La flexibilidad y escalabilidad de los ambientes DBaaS -y por consiguiente su resistencia frente a un ataque de desempeño- siempre será mejor que cualquier base de datos estándar on premises.

Datos delicados ocultos

El reto de descubrir datos delicados se divide en dos categorías: encontrarlos en los datos estructurados y en los datos no estructurados (las bases de datos son datos estructurados). Los proveedores externos ofrecen tecnología que es capaz de escanear todas las bases de datos en una empresa y descubrir datos delicados automáticamente. Estas herramientas pueden identificar campos de datos específicos basándose en preocupaciones de seguridad y/o regulaciones específicas. Encontrar datos delicados y regulados dentro de las bases de datos de la empresa es uno de los retos clave para implementar la seguridad de los datos y el cumplimiento regulatorio. Aunque los principales proveedores de DBaaS no ofrecen herramientas para el descubrimiento automático de datos delicados y regulados, existen herramientas de proveedores externos disponibles.

Ataques de inyección SQL

En un ataque de inyección SQL, se insertan instrucciones SQL maliciosas -destinadas a ser ejecutadas por una base de datos- dentro de un campo de entrada en un sitio web. Un resultado posible es que el servidor expondrá los datos de la base de datos que no debería nunca exponer. Estos tipos de ataques explotan una vulnerabilidad de seguridad en un software de aplicación Web y algunas veces en una aplicación de fuente cerrada también.

La primera línea de defensa contra los ataques de inyección SQL debe ser implementada por los desarrolladores a nivel de código. Los principales proveedores de nube actualmente no ofrecen soluciones estandarizadas para esta amenaza; se espera que soluciones de terceros sean utilizadas.

Robo de datos por usuarios autorizados

Frecuentemente, los administradores de bases de datos, desarrolladores de software, personal de control de calidad y otros (ya sean empleados o socios externos) requieren un acceso amplio a las bases de datos para poder cumplir con sus roles. Esto significa que la organización no puede bloquearles el acceso, inclusive a las bases de datos delicadas, sin evitar que hagan sus trabajos. Por otro lado, es peligroso e innecesario que estos tipos de roles tengan acceso total e independiente a todos los datos delicados de la compañía.

Típicamente, los tenants vecinos pueden acceder a sus aplicaciones albergadas en la nube y bases de datos utilizando recursos que son compartidos por muchos clientes, o tenants. Dos de estos recursos compartidos -la memoria y el disco- presentan el peligro de que un tenant pueda ser capaz de acceder a los datos delicados que le pertenecen a otro tenant. No existe forma de evitar por completo estas amenazas provenientes de los tenants. Estos riesgos son parte del precio que paga por disfrutar de los beneficios de compartir recursos con otros tenants.

-Ryan Francis, CSO (EE.UU.)