Seguridad En BD

El robo y el fraude

Pérdida
de
integridad.

Pérdida
de
confidencialidad
y
privacidad


Protección
de
acceso
al
gestor


Subtopic

Control
de
acceso
discrecional
a
los
objetos
de
la
BD

Control
de
integridad
(restricciones
vistas
en
modelo
lógico
y
gsico)


Recuperación
ante
fallos
(checkpoints,
backup)



Cifrado
de
datos

Encriptar
la
información
de
conexión
(usuario
–
passwd
–
servidor)

generalmente
disponible
en
los
ficheros
de
configuración
de
las

aplicaciones.
Otra
opción
uJlizada
en
aplicaciones
que
se
despliegan

en
la
Web
es
hacer
uso
de
recursos
ofrecidos
por
el
servidor
de

aplicaciones
(TOMCAT,
JBOSS,…),
uno
de
ellos
es
conexiones
a
BDs

Monitorizar
los
usuarios
que
se
conectan
a
la
BD
y
desde
qué
IP
(a

nivel
de
gestor
y/o
servidor
de
aplicaciones)


Ofuscar
el
código
fuente
de
la
aplicación
para
evitar
que
los
intrusos

averigüen
información
sobre
la
estructura
de
la
base
de
datos,
o

información
de
autenJficación



Evitar
la
inyección
SQL,
por
ejemplo,
controlando
que
los
strings
que

se
lean
de
la
interfaz
de
usuario
no
tengan
caracteres
o
palabras

problemáJcas
como
el
punto
y
coma
o
la
palabra
DROP,
o
bien

usando
firewalls
de
bases
de
datos
(Oracle
DB
Firewall)


1.
Entender
qué
datos
deben
ser
protegidos,
como
números
de
tarjetas
de

crédito,
datos
de
idenJficación
personal,
información
sobre
salud,
etc.


2.
Conocer
la
normaJva
que
regula
la
protección
de
datos


  Norma
europea:

h}p://eur‐lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:
31995L0046:en:NOT

  LOPD:
h}p://www.boe.es/boe/dias/1999/12/14/pdfs/A43088‐43099.pdf

  Estándares

h}ps://www.trustwave.com/government/data‐security‐standards.php

(
Payment
Card
Industry
(PCI),
Health
Insurance
Portability
and
Accountability

Act
(HIPAA),
etc.).


3.
Realizar
inventario
de
todas
las
BD,
incluidas
las
que
no
están
en
producción


4.
IdenJficar
aquellas
que
almacenan
datos
sensibles

5.
Establecer
políJcas
de
seguridad
para
todas
las
BD


6.
Implantar
las
polítcas
definidas
en
las
BD.


7.
Tomar
las
medidas
de
seguridad
adecuadas,
tales
como
encriptación,

auditoría,
control
de
acceso,
monitorización
y
enmascaramiento
de
datos

8.
Elegir
una
solución
robusta
y
de
bajo
coste