Introducci贸n
Actualmente las empresas poseen gran cantidad de聽 bases de datos que contienen informaci贸n de alto valor. No solamente guardan datos sensibles para la compa帽铆a, como pueden ser registros financieros o c谩lculos de n贸mina de los empleados, sino que adem谩s almacenan entre otros, datos confidenciales de sus clientes como c贸digos de tarjetas de cr茅dito o identificaciones fiscales.

La publicaci贸n sobre聽 casos de fraude y robos de datos聽 han generado cierta preocupaci贸n entre la opini贸n p煤blica. Por este se han puesto en marcha diversas normas legales que den respuesta a este problema.

La combinaci贸n de la presi贸n de la opini贸n p煤blica y las normas legales obligan a la mayor铆a de empresas a proteger y auditar sus bases de datos m谩s importantes. Hace algunos a帽os, los administradores de bases de datos (DBAs) eran los encargados de salvaguardar la informaci贸n, pero ahora se les ve como uno de los aspectos m谩s vulnerables. Esta situaci贸n ha generado cierta tensi贸n con parte de los auditores a la hora de encontrar una soluci贸n aceptable para todos.

El camino hacia el cumplimiento de normas
Hasta hace bien poco, las organizaciones no eran precisamente muy cuidadosas a la hora de cumplir con sus obligaciones respecto a la seguridad de la informaci贸n contenida en sus bases de datos. No obstante, la forma tan repentina y sorprendente en que se han empezado a poner en evidencia los resultados de las auditor铆as y los requisitos de cumplimiento obligatorio e ineludible a que deben hacer frente tanto las organizaciones como las personas responsables, est谩n ocasionando problemas realmente importantes.

El primero y m谩s inmediato es el de la educaci贸n y la comunicaci贸n. 驴Qu茅 significa proteger y auditar una base de datos? 驴Qu茅 es lo que me pide el auditor? El uso de cierta terminolog铆a utilizada en auditor铆a que puede ser desconocida para los afectados obliga a aprender los conceptos b谩sicos para poder comunicarse bien con los auditores.

Los DBAs no solo deben tener un conocimiento preciso de las bases de datos en uso, sino tambi茅n de qu茅 tipo de datos hay en cada una y qui茅n accede a ellas. Cuando los DBAs se enfrentan a centenares de bases de datos, esta labor se convierte en un proceso largo, al cual se suele referir como 鈥渃atalogaci贸n de activos鈥�.

Una vez terminada la contabilizaci贸n de todos los activos b谩sicos 鈥揺ntre otros las bases de datos, los propios datos y los usuarios-, se pasa a la segunda fase. En ella se han de identificar las bases de datos con informaci贸n sensible. Con su ayuda, los auditores pueden determinar qu茅 bases de datos contienen informaci贸n sujeta a medidas especiales de seguridad. Conforme aumenta el n煤mero de bases de datos de este tipo, tambi茅n aumenta la carga de trabajo para garantizar su seguridad.

Mantener un estricto control de seguridad de una base de datos es una tarea complicada. Solamente puede darse acceso a aquellas personas que lo necesitan, y tiene que restringirse a aquel conjunto m铆nimo de objetos que cada uno necesita. Adem谩s es importante tambi茅n documentar cada cambio que se haga sobre la configuraci贸n de la base de datos a partir de ese momento, y las pol铆ticas que lo garantizan, a fin de mantener a lo largo del tiempo el nivel de seguridad establecido inicialmente.

La auditor铆a exige la revisi贸n de todas y cada una de las actividades producidas dentro de la base de datos y asegurarse de que se corresponden fielmente con las decisiones acordadas con los auditores. Si no se dispone de las herramientas necesarias, es simplemente imposible.

El problema de la auditor铆a
El concepto de auditor铆a abarca todo lo que tiene que ver con los riesgos y el control. Se tiene que identificar los riesgos y establecer los controles necesarios para mitigarlos. El riesgo mayor es, posiblemente, el que va ligado a la figura del administrador de bases de datos (DBA). Sus actividades dan cuenta de hasta un 80 por ciento de las amenazas que afectan a las bases de datos, y es l贸gico que sea as铆: ellos poseen todas las claves y conocen todas las puertas y ventanas de acceso. Es muy importante que exista una herramienta de gesti贸n de la base de datos que un DBA pueda desactivar o puentear.

El mercado de auditor铆a de bases de datos tiene un gran potencial econ贸mico. Muchas empresas compiten actualmente por una porci贸n de esta tarta. Aparte de las tecnolog铆as m谩s tradicionales, las herramientas de monitorizaci贸n del rendimiento contienen informaci贸n detallada sobre la actividad de la base de datos y por eso muchas de estas herramientas se venden ahora como soluciones de auditor铆a por lo que conviene identificar el origen de la tecnolog铆a.

En qu茅 hay que fijarse a la hora de elegir una herramienta de auditor铆a
Tres cosas hay que tener en cuenta a la hora de comprar una herramienta de auditor铆a: los datos que se recopilan, la tecnolog铆a que se emplea para ello y las funcionalidades del producto.
Los datos a recabar son la base del sistema. Cuando hablamos de auditor铆a de base de datos, el asunto m谩s importante es qui茅n toca qu茅 datos y cu谩ndo los toca. El 鈥渃贸mo鈥� no es tan importante y por tanto, el conocimiento del SQL subyacente puede considerarse un elemento secundario. Es relativamente importante saber cu谩ntos datos han podido verse afectados (n煤mero de filas), pero no es tan importante como saber de qu茅 tablas (el 鈥渜u茅鈥�).

Para responder al 鈥渜ui茅n鈥�, el producto debe ser capaz de capturar todo el contexto de sesi贸n sin excepciones. Tanto si se trata de conexiones BEQ (en entornos Oracle), o conexiones de memoria compartida (en SQL Server) o cualquier otra modalidad de conexi贸n. La posibilidad de pasar por alto alg煤n tipo de conexi贸n puede convertirse en un tremendo agujero de seguridad, por lo que hay que asegurarse de que el DBA conoce todas las posibles formas de conectarse a la base de datos. La captura de conexiones fallidas a la base de datos es obviamente importante, ya que nos puede ayudar a detectar intentos de intrusi贸n, pero se trata de algo secundario en comparaci贸n con la necesidad de capturar todas las sesiones.

Para responder a la pregunta 鈥渜u茅鈥�, el producto debe ser capaz de identificar todos los accesos a las tablas f铆sicas y saber si el acceso ha sido para lectura o para escritura. Al final de la jornada, los datos confidenciales que requieren protecci贸n est谩n dentro de tablas. El producto tiene que registrar todos los accesos a estas tablas, tanto si se hace a trav茅s de vistas o de un sin贸nimo. Tampoco es relevante el dato de si se accede a la informaci贸n desde procedimientos almacenados, a consecuencia de un trigger o desde SQL din谩mico generado desde un bloque de c贸digo. Hay muchas formas de acceder a los datos y todas ellas tienen que estar registradas habida cuenta de que el DBA se las conoce.

La tecnolog铆a elegida es tambi茅n esencial para una soluci贸n de auditor铆a. Hay que asegurarse de que la tecnolog铆a no permite que un DBA la desactive, como sucede con las herramientas de auditor铆a nativas. Adem谩s, es preciso asegurarse de que realmente captura todos los datos considerados cr铆ticos (conexiones de red, conexiones BEQ, SQL din谩mico, procedimientos almacenados, triggers, sin贸nimos y vistas). Finalmente, es esencial que no se pierda ni se pase por alto ning煤n dato, independientemente de la duraci贸n de las transacciones (sentencias SQL cortas), nivel de carga del sistema o cualquier limitaci贸n m谩s inusual.

A diferencia de lo que sucede cuando se inspeccionan los registros financieros, resulta imposible revisar a mano todas y cada una de las sentencias ejecutadas en la base de datos. En consecuencia, estamos a merced del motor de reglas que incorpora el producto. Este motor tiene que ser capaz de identificar las actividades sospechosas que tratamos de localizar y evitar en lo posible los falsos positivos.

La facilidad de gesti贸n del producto es otro detalle muy importante. Existen cientos de bases de datos con distintos tipos de usuarios y datos. El producto debe gestionar de manera razonable todos estos activos con un nivel adecuado de escalabilidad. La aplicaci贸n de las reglas acordadas con los auditores a todas las bases de datos corporativas es el reto al que nos enfrentamos y resulta extremadamente importante que el producto nos deje ejecutar esta labor de una manera razonable.

Conclusi贸n
El mercado de auditor铆a de bases de datos est谩 en una etapa muy inicial de desarrollo. Esperar al producto m谩s nuevo y maduro probablemente solo conduce a la decepci贸n. Su decisi贸n debe basarse en los requisitos que determinan qu茅 es lo que necesita tener y a partir de ah铆 puede buscar una herramienta que cumpla con estos requisitos. Esa es la mejor manera de tener lo que realmente necesita. No se distraiga con funcionalidades muy bonitas que, sin darse cuenta, le pueden lleva.

Como cualquier otro ejecutivo de una multinacional, acabo perdiendo un tiempo precioso traslad谩ndome entre un viaje y otro. Uno de estos d铆as, transitando de ciudad en ciudad, me puse muy contento y qued茅 muy聽 impresionado con la buena calidad de un servicio que me fue prestado: 隆el de un taxi! Eso mismo, un taxi. Apenas llegu茅 de viaje, en la misma entrada del aeropuerto, hab铆a varios servicios de transporte de pasajeros disputando entre s铆 a los que llegaban de un viaje.

Opt茅 por uno que me ofreci贸 el mismo veh铆culo y chofer para todos mis compromisos del d铆a, sin tener que pagar por el tiempo en que el taxi estuviera parado esper谩ndome. Pude comunicarme con el chofer cuando hubo un imprevisto, porque 茅l me hab铆a dado su聽 n煤mero de celular y hasta me consigui贸 una bebida energ茅tica cuando le dije que estaba cansado y tem铆a no lograr cumplir con toda mi agenda.

En resumen: tuve acceso al proveedor de forma r谩pida, y todas mis聽 necesidades fueron atendidas prontamente, economiz谩ndome un gran tiempo y dinero.聽 隆Me sent铆 un rey!聽

Es un hecho que la competencia聽 proporciona la mejor铆a de los servicios prestados a los clientes. Esa regla vale para todos los sectores de la econom铆a, pero es particularmente m谩s sensible en el mercado de proveedores de servicios de comunicaci贸n.

Las operadoras de telefon铆a fija y m贸vil, adem谩s de competir聽 entre s铆 por el mismo cliente, observan la llegada de nuevos actores al mercado: proveedores de acceso a Internet聽 y proveedores de contenido, abriendo un abanico mucho m谩s grande聽 de opciones para los clientes con la nueva onda de banda ancha m贸vil, o tecnolog铆a 3G y, en breve, 4G.

Delante de esta escena, los individuos y las empresas tienen un creciente n煤mero de elecciones alternativas, como servicios, contenido, dispositivos, medios de acceso, y cual聽 proveedor de servicios usar. O sea, el consumidor es, a cada d铆a m谩s, visto como un rey.

Y la聽 transformaci贸n de esa cadena de valores, con nuevos modelos de negocios, por ejemplo, involucrando a la industria de medios de comunicaci贸n,聽 est谩 alterando la forma de ganar dinero.聽 Para maximizar la competitividad en este mercado impulsado por el consumidor, es natural que las operadoras coloquen todav铆a m谩s valor en el cliente, y se tornen m谩s eficientes en sus operaciones, para mantener los costos competitivos.

Y sobrevivir en este nuevo contexto ser谩 un gran desaf铆o, ya que las operadoras est谩n bajo una presi贸n creciente por una mejor铆a de la calidad y variedad de los servicios ofrecidos, al mismo tiempo en que son obligadas a reducir los costos para ofrecer adem谩s, los menores precios, consiguiendo as铆, mantener la fidelidad del consumidor, que hoy exige cada vez m谩s calidad y mejor conectividad por menos.

La prueba de聽 eso es que, mientras聽 un聽 80% de las operadoras de servicios de comunicaciones creen proveer una experiencia superior al cliente, estudios muestran que apenas un 8% por ciento de los consumidores est谩n de acuerdo con eso.聽 Y esto se debe b谩sicamente a una cuesti贸n simple: los tradicionales proveedores de servicios de comunicaci贸n no est谩n escuchando correctamente a su p煤blico meta.En este momento, es esencial que los operadores busquen entender el mercado profundamente y tambi茅n las necesidades individuales de cada usuario.聽 Es necesario ofrecer el servicio correcto al consumidor correcto y existen hoy en el mercado, proveedores de soluciones que lo posibilitan,聽 contribuyendo al 茅xito de los negocios. Las empresas necesitan聽 identificar cuales son las soluciones m谩s eficaces para aumentar su facturaci贸n, reducir los costos y mantener su base de clientes.

Colaboradores, con las herramientas correctas, pueden ayudar a聽 identificar oportunidades, crear, integrar y evolucionar soluciones innovadoras de m煤ltiple tecnolog铆a 鈥� aprovechando los activos existentes de las operadoras (competencias, sistemas y redes) para crear m谩s servicios para el usuario final.

Cuando los proveedores de servicios evolucionan a tecnolog铆as de聽 pr贸xima generaci贸n,聽 la calidad observada por el cliente se vuelve m谩s聽 importante que nunca. Eso puede ser alcanzado con las herramientas adecuadas. 隆Al fin de cuentas, el consumidor es el rey!