Lamentablemente, las empresas han dedicado buena parte de sus esfuerzos a conformar bases de datos vigorosas, especializadas y con una sistematización que permita su mejor aprovechamiento pero, en contraste, se han descuidado en las estrategias para preservarlas, por lo que se considera uno de los puntos más débiles de las organizaciones modernas.

Las amenazas pueden provenir de ataques maliciosos de desconocidos o internos, de personas con algún interés especial en los datos de la empresa, haciendo importante evaluar estas posibilidades, asumirlos y comenzar la búsqueda de respuestas y medidas preventivas.

Un problema sin control

En una investigación adelantada por David Litchfield, reputado investigador de seguridad especializado en bases de datos, se revelaron las vulnerabilidades de 492.000 servidores de Oracle y Microsoft SQL desprotegidos.

A través del escaneo de direcciones IP aleatorias en los puertos TCP 1433 y 1521, se encontró que 368.000 servidores SQL y 124.000 de Oracle eran accesibles desde Internet, lo cual demuestra que se encuentran particularmente expuestos.

Se trata entonces de una situación que si bien puede haber comenzado a ser punto de agenda obligada en los foros sobre seguridad, dista mucho de haber sido superada, por lo tanto, surge la necesidad que los líderes TI de cada organización se pregunten si tomarán medidas o entrarán en las estadísticas.

Protección ante amenazas externas

Para asegurarse una protección a las bases de datos es importante considerar aspectos tales como: los servicios inutilizados y puertos abiertos, servicios sin parches, administración desatendida y los servicios intrínsecamente inseguros.

En el caso de los servicios inutilizados y puertos abiertos, se requiere que los administradores del sistema eviten que servicios no deseados como Telnet, DHCP, o DNS, se ejecuten en un servidor o estación de trabajo sin que ellos se enteren, pues se trata de canales abiertos para los atacantes.

En relación con los parches, es importante destacar que las actualizaciones de seguridad deben realizarse de manera permanente y, en caso de contar con aplicaciones descontinuadas que no ofrecen parches, es imperativo realizar las migraciones correspondientes.

Finalmente, la administración de la red debe ser una tarea permanente y sistemática, mientras que se debe verificar la instalación de servicios inseguros. En particular, en el mercado se ofrecen soluciones específicas que abordan de manera especializada la seguridad de las bases de datos.

Los peligros internos

Lamentablemente, por el valor intrínseco de las bases de datos, algunas organizaciones o simplemente individualidades dentro de ellas pueden intentar sacar provecho comercial de la información contenida en estos insumos de la organización.

Es este caso el que demuestra que la seguridad de la plataforma tecnológica de una empresa y la información que ésta utiliza no es cuestión únicamente de sofisticadas soluciones de protección sino que abarca igualmente aspectos éticos y morales.

De hecho, algunas legislaciones como la española, contempla en su Ley sobre Protección de Datos de Carácter Personal (LOPD) un límite sobre la tenencia y utilización de este tipo de datos, así como sobre el tráfico de los mismos.

Por lo tanto, se pone de relieve nuevamente la necesidad de involucrar a todos los miembros de la organización en las labores de seguridad, pues es la única garantía de que las políticas se cumplan a cabalidad y la empresa se mantenga siempre dentro de las mejores prácticas de su industria respectiva.