Los 5 errores más comunes en BBDD

Posted by InConSuS  at noviembre 15th, 2012

Los cinco errores más comunes en BBDD

El Grupo de Usuarios Independientes de Oracle, IOUG, ha concluido los cinco errores de seguridad de base de datos que cometen las empresas con más frecuencia mediante un reciente estudio entre 430 de sus miembros.

Una buena base de datos es el motor de toda organización hoy en día. No obstante, pese a que las herramientas de seguridad de bases de datos se encuentran en continuo proceso de maduración, hasta la empresa que se confiese la más segura puede ser vulnerable a esta violación de datos.

Según IOUG esto se debe a cinco errores principales:

1) Desconocimiento de la ubicación de los datos sensibles.
En un entorno de trabajo en el que prima la inmediatez es comprensible que muchos administradores de TI no sepan localizar exactamente los datos sensibles de su empresa entre numerosas bases de datos. En concreto, el 35% declaró alojar entre 11 y 100 bases de datos, el 40% más de 100 y el 13% más de 1.000.

No obstante, no pueden protegerse unos datos que no se sabe dónde están. De hecho, un 48% de los encuestados admitió no estar seguro de la localización de la información personal de su organización

2. No se monitorea la seguridad de forma regular.
Para obtener visibilidad sobre quién accede a qué información es esencial un monitoreo regular de la actividad. El 72% de los encuestados emplea herramientas nativas de auditoria, pero la mayoría ignora los datos generadas por estas. Asimismo, un bajo 11% admite llevar a cabo una monitorización manual y sólo una de cada cuatro empresas cuentan con alguna herramienta automatizada para llevar a cabo esta actividad.
Por otro lado, un 25% de las organizaciones confesó no tener manera de detectar los cambios no autorizados en la base de datos, frente a un 30% que se considera capaz de hacerlo en la mayoría de bases de datos y un 46% en algunas bases de datos. No obstante, el tiempo de respuesta es lento en estos últimos casos: el 12% detectaría cambios dentro de una hora, el 33% en un día, el 16% en mas de un día y casi el 40% no supo dar una respuesta.

3. No se controla a los usuarios con privilegios.
Los hackers internos son la mayor amenaza para el 22% de los encuestados, mientras que el 12% afirmó dijo que el abuso de los privilegios es el mayor riesgo para la seguridad de la base de datos. Ante estas cifras, tres cuartas partes de las empresas no están seguros de si tienen un medio para evitar que los usuarios privilegiados alteren o pongan en peligro la información de base de datos, o carecen de él.
Tan sólo el 23% tiene una manera de protegerse contra cambios accidentales por parte de usuarios privilegiados; aunque hasta los usuarios regulares pueden pasar por alto las solicitudes para obtener acceso directo a los datos utilizando herramientas ad hoc. Un alarmante 57% no consolida los datos de base de datos de auditoría en un lugar central seguro, posibilitando que los usuarios con privilegios puedan cambiar los datos de auditoría para cubrir sus huellas después de un acceso o cambio no autorizado.

4. Los parches de base de datos son desplegados lentamente.
El 90% de las infracciones de datos se producen por ataques de inyección SQL, que son mitigables mediante parches y configuraciones seguras en las bases de datos.

No obstante, el 63% de los encuestados admite registrar al menos un ciclo de retraso en sus actualizaciones de parches críticos y el 17% que no aplican los parches a todos o no están seguros si los parches se aplicaron.

5. Malas prácticas de cifrado.
Para una correcta seguridad es necesaria la encriptación de la información personal de las bases de datos, pero es una práctica muy deficiente dentro de las organizaciones. Menos de un tercio cifra información de identificación personal en todas sus bases de datos, mientras que el 38% no lo hace o no está seguro de ello. Además, un 23% afirma cifrar todo el tráfico de base de datos frente a un 35% que no cifra o no está seguro si lo hace.

El mayor riesgo, no obstante, reside en cómo son tratadas las copias de seguridad de las base de datos y en aquellas que son enviadas a los socios fuera de las instalaciones. Menos de un 50% declara no enviar la información de las base de datos sin cifrar fuera del sitio y sólo el 16% dice cifrar todas las copias de seguridad y las exportaciones de las base de datos.