Unidad IV

Seguridad

2

Objetivos

El entorno de la seguridad en las bases de datos.

¿Por qué la seguridad de base de datos es una preocupación seria para una organización.?

El tipo de amenazas que pueden afectar a un sistema de base de datos.

3

Objetivos

Cómo proteger un sistema informático que usa el ordenador basado en los controles.

Las medidas de seguridad proporcionadas por Microsoft Office Access y Oracle DBMS.

Los enfoques para asegurar un DBMS en la Web.

4

Seguridad en las Bases de Datos

Los datos son un recurso valioso que debe ser estrictamente controlado y administrado, como cualquier recurso corporativo.

Parte o la totalidad de los datos de la empresa pueden tener una importancia estratégica y por lo tanto debe mantenerse seguros y confidenciales.

5

Seguridad en las Bases de Datos

Mecanismos que protegen la base de datos contra las amenazas intencionales o accidentales.

Las consideraciones de seguridad no sólo se aplican a los datos contenidos en una base de datos. Las violaciones de la seguridad puede afectar a otras partes del sistema, que a su vez puede afectar a la base de datos.

6

Seguridad en las Bases de Datos

Medidas que deben evitarse – Robo y fraude – La pérdida de la confidencialidad (secreto) – Pérdida de privacidad – Pérdida de integridad

7

Seguridad en las Bases de Datos

Amenaza – Cualquier situación o evento, ya sea

intencional o no intencional, que afectará negativamente a un sistema y por lo tanto una organización.

8

Resumen de las amenazas a los sistemas informáticos

9

Entorno típico Multiusuario

10

Contramedidas – Controles Basados en Computadora

Medidas para disminuir amenazas: – Autorización – Controles de acceso – Vistas – Copia de seguridad y recuperación – Integridad – Cifrado

11

Contramedidas – Controles Basados en Computadora

Autorización – La concesión de un derecho o privilegio, que

permite a un sujeto tener acceso legítimamente a un sistema o un objeto del sistema.

– La autorización es un mecanismo que determina si un usuario es quién él o ella dice ser.

12

Contramedidas – Controles Basados en Computadora

Control de acceso – Basado en la concesión y revocación de

privilegios. – Un privilegio permite a un usuario crear o

acceder (que se lee, escribir o modificar) un objeto de base de datos (por ejemplo, una relación, vista, y el índice) o para ejecutar determinados servicios DBMS.

– Los privilegios se conceden a los usuarios para llevar a cabo las tareas necesarias para su empleo.

13

Contramedidas – Controles Basados en Computadora

La mayoría de DBMS proporcionan un método llamado Control de Acceso Discrecional (DAC).

SQL estándar es compatible con DAC mediante los comandos GRANT y REVOKE.

El comando GRANT da privilegios a los usuarios, y el comando REVOKE quita privilegios.

14

Contramedidas – Controles Basados en Computadora

DAC si bien es efectivo tiene ciertas debilidades. En particular, un usuario no autorizado puede engañar a un usuario autorizado para que revelen información confidencial.

Un enfoque adicional es necesario llamado Control de acceso obligatorio (MAC).

15

Contramedidas – Controles Basados en Computadora

DAC esta basado en un sistema de políticas que no pueden ser modificados por los usuarios individuales.

Cada objeto de base de datos se le asigna una clase de seguridad y cada usuario se le asigna un espacio libre para una clase de seguridad, y las reglas imponen a la lectura y escritura de objetos de la base de datos por los usuarios.

16

Contramedidas – Controles Basados en Computadora

DAC determina si un usuario puede leer o escribir en un objeto basado en reglas que implican el nivel de seguridad del objeto y la distancia del usuario. Estas normas garantizan que los datos sensibles no pueden ser "transmitido" a otro usuario sin la autorización necesaria.

El estándar SQL no incluye soporte para MAC.

17

Contramedidas – Controles Basados en Computadora

Vista – Es el resultado dinámico de una o más

operaciones relacionales que operan en las relaciones base para producir otra relación.

– Una vista es una relación virtual que en realidad no existe en la base de datos, pero se produce a petición de un usuario en particular, en el momento de la solicitud.

18

Contramedidas – Controles Basados en Computadora

Backup (Copia de Seguridad) – Proceso que periódicamente toma una copia del

archivo de base de datos y de registro (y posiblemente programas) a medios de almacenamiento fuera de línea.

Journaling – Proceso de conservación y mantenimiento de un

archivo de registro (o diario) de todos los cambios realizados en la base de datos para permitir la recuperación efectiva en caso de fallo.

19

Contramedidas – Controles Basados en Computadora

Integridad – Evita que los datos se convierta en nulo, y

por lo tanto dar resultados erróneos o incorrectos.

Encriptación – La codificación de los datos por un

algoritmo especial que hace que los datos sean ilegibles por cualquier programa sin la clave de descifrado.