Mejores prácticas de seguridad en base de datos

La seguridad de la base de datos requiere una amplia experiencia en el manejo de datos confidenciales y el conocimiento actual de las nuevas amenazas informáticas. La base de datos de su negocio contiene información importante que los delincuentes cibernéticos suelen atacar para obtener números de tarjetas de crédito, información personal y otros datos que podrían usar para robar dinero o información. A continuación, analizamos las  mejores prácticas de seguridad de bases de datos para ayudar a mantener la base de datos de su empresa a salvo de los delincuentes cibernéticos que buscan comprometer su negocio y sus ganancias.

 

Estos son algunos tips de la universidad de Berkeley

Seguridad física del servidor de base

 

• La máquina física que aloja una base de datos se encuentra en un entorno seguro, bloqueado y supervisado para evitar la entrada no autorizada, el acceso o el robo.

• Los servidores de aplicaciones y web no están alojados en la misma máquina que el servidor de bases de datos.

 

Cortafuegos para servidores de bases de datos

• El servidor de la base de datos se encuentra detrás de un firewall con reglas predeterminadas para denegar todo el tráfico.

• El servidor de seguridad del servidor de base de datos se abre solo para aplicaciones específicas o servidores web, y las reglas del servidor de seguridad no permiten el acceso directo del cliente. Si el entorno de desarrollo no puede cumplir con este requisito, los datos restringidos no se almacenan en el servidor de la base de datos de desarrollo y los datos simulados se componen para el desarrollo. La ofuscación de datos de datos de producción no es suficiente.

• Los procedimientos de control de cambio de reglas de firewall están en su lugar y la notificación de los cambios de reglas se distribuye a los Administradores del Sistema (SA) y a los Administradores de Base de Datos (DBA).

• Las reglas de cortafuegos para servidores de bases de datos se mantienen y revisan periódicamente por los SA y los DBA. Si utiliza el servicio de firewall provisto por IST, las reglas también son revisadas regularmente por Information Security and Polic (ISP).

 

Software de base de datos

 

• La versión del software de la base de datos actualmente es compatible con el proveedor o el proyecto de código abierto, según lo exigen los estándares de seguridad mínimos del campus.

• Todos los servicios o funciones no utilizados o innecesarios de la base de datos se eliminan o desactivan.

• Las cuentas predeterminadas innecesarias se eliminan o las contraseñas se cambian de las predeterminadas.

• Las contraseñas nulas no se utilizan y los archivos temporales del proceso de instalación que pueden contener contraseñas se eliminan.

• El software de la base de datos está parcheado para incluir todos los parches de seguridad actuales. Se establecen disposiciones para mantener los niveles de parches de seguridad de manera oportuna.

 

Aplicación / Servidores Web / Código de Aplicación

 

• Los sistemas de destino (aplicación / servidores web) que reciben datos restringidos se protegen de una manera proporcional a las medidas de seguridad en el sistema de origen. Todos los servidores y clientes cumplen con los estándares mínimos de seguridad.

• Todos los servidores, aplicaciones y herramientas que acceden a la base de datos están documentados.

• Los archivos de configuración y el código fuente están bloqueados y solo son accesibles para las cuentas requeridas del sistema operativo.

• El código de la aplicación se revisa para detectar vulnerabilidades de inyección SQL.

• No se permite "Spyware" en los servidores de aplicaciones, web o bases de datos.

 

Estaciones de trabajo de usuario / cliente

 

• Si a los usuarios se les permite datos restringidos en sus estaciones de trabajo, las estaciones de trabajo cliente cumplen con los estándares mínimos de seguridad.

• Si a los usuarios se les permite datos restringidos en sus estaciones de trabajo, entonces la estación de trabajo está protegida contra el acceso no autorizado a una sesión mediante la implementación de protectores de pantalla. Los usuarios entienden el requisito de bloquear sus estaciones de trabajo al salir de la estación.

• Si a los usuarios se les permite datos restringidos en sus estaciones de trabajo, entonces la estación de trabajo debe requerir un inicio de sesión y una contraseña individuales.

• Si a los usuarios se les permite datos restringidos en sus estaciones de trabajo, entonces el sistema operativo de la estación de trabajo encriptará los datos restringidos en la estación de trabajo cliente.

• Los datos restringidos no se almacenan en dispositivos transportables.

• Los datos restringidos nunca se envían por correo electrónico, ya sea en el cuerpo o como un archivo adjunto, ya sea por los usuarios o como una parte automatizada del sistema.

• Los datos restringidos que ya no son necesarios se eliminan de forma rutinaria.

Si a los usuarios se les permite datos restringidos en sus estaciones de trabajo, entonces no se permite "Spyware" en las estaciones de trabajo cliente.

Administrador de cuentas / permisos / contraseñas

 

• Los DBA entienden su responsabilidad de revisar todos los cambios solicitados en la base de datos y los scripts para garantizar que la seguridad del sistema no se vea comprometida.
  

• Las cuentas con capacidades de administración del sistema se proporcionan a la menor cantidad de personas que sean prácticas, y solo cuando sea necesario para respaldar la aplicación.
  

• Todos los desarrolladores, proveedores, SA, DBA y contratistas han firmado un acuerdo de no divulgación.
  

• Todos los desarrolladores, SA, DBA y contratistas han superado una verificación de antecedentes penales si así lo exige la política de verificación de antecedentes. La política de verificación de antecedentes se puede encontrar en políticas
  

• Las contraseñas para todas las cuentas del sistema operativo DBA y las cuentas de base de datos son contraseñas seguras y se cambian cuando los administradores / contratistas dejan sus puestos. Ver: Pautas de complejidad de contraseña.
  

• Si el DBA y los roles de desarrollador están siendo ocupados por una sola persona, los cambios son aprobados por el Propietario de los datos.

 

Funciones de la base de datos de usuarios / Permisos / Contraseñas / Gestión y generación de informes

 

• Se utiliza la autenticación segura a la base de datos.
  

• El procedimiento para aprovisionar y revisar el acceso a la base de datos está documentado. El titular de los datos ha firmado el documento de trámites.
  

• Sólo los usuarios autorizados tienen acceso a la base de datos.
  

• A los usuarios se les otorgan los permisos mínimos necesarios para su función de trabajo en la base de datos. Los permisos se administran a través de roles o grupos, y no mediante concesiones directas a las ID de usuario cuando sea posible.
  

• Las contraseñas seguras en la base de datos se aplican cuando es técnicamente posible, y las contraseñas de la base de datos se cifran cuando se almacenan en la base de datos o se transmiten a través de la red.
  

• Las aplicaciones requieren inicio de sesión de base de datos individual / contraseña y roles / subvenciones cuando sea posible. Cuando no es posible, las cuentas de la aplicación pueden ser utilizadas. Sin embargo, el ID de inicio de sesión y la contraseña deben estar protegidos en este caso, y esta información no existe en la estación de trabajo del cliente.
  

• Las aplicaciones deben administrar los permisos y auditorías de los usuarios para cumplir con los requisitos de los Propietarios de datos.
  

• Los objetos de la base de datos de usuarios con datos restringidos no tienen concesiones públicas cuando es posible. Documentar cualquier subvención pública si es necesario en bases de datos con datos restringidos.
  Las cuentas que no pertenecen a DBA no permiten otorgar roles o permisos en ningún entorno con datos restringidos (control de calidad, producción, desarrollo).
  

• Las cuentas de la base de datos se bloquean después de un máximo de seis inicios de sesión fallidos
  

• El propietario de los datos documenta y aprueba el procedimiento para dirigirse a los usuarios inactivos.
  

• Los DBAs proporcionan un informe de permisos de base de datos elevados al propietario de los datos trimestralmente.
  

• Un informe de todos los derechos de acceso para los usuarios es proporcionado al propietario de los datos por los DBA de forma regular. Dos veces al año es el intervalo recomendado.

 

Datos restringidos

 

• Solo los datos restringidos requeridos para la función comercial se mantienen dentro de la base de datos. Cuando es posible, la información histórica se elimina cuando ya no es necesaria.
  

• La redundancia de datos restringidos se elimina en todo el sistema, y ​​siempre que sea posible, se evita la ocultación de datos restringidos fuera del sistema de registro. Las funciones de hash se aplican a elementos de datos restringidos antes de almacenarlos si los datos solo se requieren para propósitos de coincidencia. Si es posible, disocie los datos restringidos de la información de identificación personal y manténgalos fuera de línea hasta que sea necesario. Si se requieren transferencias de datos para otras aplicaciones, notifíqueles los datos restringidos y sus requisitos de seguridad.
  

• Los datos restringidos en entornos no productivos se mantienen bajo los mismos estándares de seguridad que los sistemas de producción. En los casos en que los entornos que no son de producción no se mantienen en el mismo estándar de seguridad que el requerido en la producción, los datos en estos entornos que no son de producción deben cifrarse utilizando algoritmos estándar de la industria, o bien los datos de prueba deben estar compuestos por estos sistemas. La ofuscación de datos no es suficiente.
  

• Los elementos de datos restringidos dentro de la base de datos están documentados.
  

• Los datos restringidos nunca se utilizan como una clave en una tabla

 

Gestión del cambio

 

• Los procedimientos de gestión de cambios están documentados y cumplen con los requisitos del propietario de los datos.
  

• Los controles de administración de cambios están implementados para registrar todos los cambios en la base de datos de producción.
  

• Todos los programas programados para ejecutarse en la base de datos que lee o modifica los datos de producción están documentados.

 

Auditoría de base de datos

 

• Todos los inicios de sesión en el sistema operativo y los servidores de bases de datos, exitosos o no, se registran. Estos registros se conservan durante al menos un año.
  

• Los objetos de la base de datos con datos restringidos tienen la auditoría activada cuando sea técnicamente posible.
  

• Los registros de auditoría son revisados periódicamente por personas informadas e independientes designadas por el propietario de los datos para cumplir con los requisitos del propietario de los datos. Estos requisitos y el proceso de revisión están documentados.
  

• Las cuentas que están bloqueadas debido a errores máximos de inicio de sesión en la base de datos activan una notificación automática de los administradores de seguridad responsables de este sistema.

 

Copia de seguridad y recuperación de la base de datos

 

• Los procedimientos de respaldo y recuperación están documentados y cumplen con los requisitos del propietario de los datos.

• Los procedimientos de copia de seguridad y recuperación se prueban periódicamente.

• Los intervalos de retención de la copia de seguridad están documentados y son suficientes para cumplir con los requisitos de reanudación empresarial y las expectativas del propietario de los datos. 

 

Cifrado de base de datos y gestión de claves

 

• Los datos restringidos se encriptan durante la transmisión a través de la red utilizando medidas de encriptación lo suficientemente fuertes como para minimizar el riesgo de exposición de los datos si se los intercepta o se desvía de la base de datos a la estación de trabajo del cliente.

• Si se implementa el cifrado a nivel de base de datos para datos restringidos, se documentan los procedimientos para la administración segura de claves. (Consulte las recomendaciones actuales en el Instituto Nacional de Estándares y Tecnología (NIST)). Nota: Se recomienda que todas las capas de aplicación (red, aplicación, estación de trabajo cliente) ya estén cifradas antes de cifrar la base de datos. El cifrado de la base de datos no sustituye ninguno de los requisitos anteriores. El cifrado de la base de datos de datos restringidos no es obligatorio para cumplir con este documento de estándares.

• Para los datos sujetos a divulgación que están cifrados en el almacenamiento, los medios para descifrar deben estar disponibles para más de una persona y aprobados por el propietario de los datos.

• Las cintas de copia de seguridad almacenan las copias de seguridad de la base de datos en un formato cifrado, y las cintas no almacenan las claves de cifrado de texto sin formato necesarias para descifrar las copias de seguridad.

• Los procedimientos de administración de claves para descifrar las copias de seguridad están documentados, disponibles para más de una persona y aprobados por el propietario de los datos.