Creacin de un plan de seguridad

Suponga que le contratan como administrador de bases de datos en

Delmonton S.L.; una pequea empresa que depende enormemente de SQL
Server. Gran parte de los datos que hay en el servidor SQL Server son
confidenciales y, por tanto, deben protegerse. Sin embargo, sabe que ponerse
a aplicar permisos a tontas y a locas en las bases de datos provocaran un caos
(si no un desastre), por lo que adopta un mtodo ms lgico: desarrollar un
plan de seguridad.
Crear un buen plan de seguridad es siempre el primer paso para implantar la
seguridad en cualquier tipo de sistema. Existen varias cuestiones que debe
tener en cuenta en el plan:
Tipo de usuarios: Si todos los usuarios admiten conexiones de confianza,
puede usar cuentas de Windows. Si tiene autoridad para ello, puede crear
grupos de Windows y despus crear inicios de sesin para esos grupos, en
lugar de crear cuentas individuales. Si no todos los usuarios admiten
conexiones de confianza (Como los usuarios de Novell o Macintosh), tendr
que utilizar el modo de autentificacin mixto y crear inicios de sesin estndar.
Funciones fijas del servidor: Una vez dado a los usuarios el acceso a SQL
Server, Cunto poder administrativo deberan tener? Si los usuarios necesitan
autoridad administrativa, agrguelos a las funciones fijas del servidor; si no, no
es necesario que lo haga.
Acceso a las bases de datos: Una vez que los usuarios inician sesin, a qu
bases de datos tienen acceso? Es muy probable que todos los usuarios
necesiten una cuenta de usuario para cada base de datos.
Tipo de acceso: Una vez que el usuario tiene una cuenta de usuario de base
de datos Cunta autoridad necesita en la base de datos? Por ejemplo, todos
los usuarios pueden leer y escribir o hay un subconjunto de usuarios que solo
tienen permiso para leer?
Permisos de grupo: Normalmente es mejor aplicar permisos a funciones,
pero en todos los sistemas existen algunas excepciones; puede que tenga que
aplicar algunos permisos directamente a los usuarios, sobre todo a los que hay
que denegar el acceso a ciertos recursos.
Creacin de objetos: Averig quienes necesitan la autoridad de crear
objetos, como tablas y vistas, y agrpelos en la funcin db_owner o en la
funcin db_ddladmin. Al hacerlo, los usuarios podrn crear objetos como DBO,
y no como ellos mismos. As puede evitar que se rompan las cadenas de
propiedad.
1

Permisos de la funcin Public: Recuerde que todas las cuentas de usuario

de base de datos son miembros de la funcin Public y no pueden quitarse. Los
permisos que conceda a la funcin Public se concedern a todos los usuarios.
Limite los permisos del grupo Public.
Acceso de invitado: Desea que los usuarios que no tiene cuenta de usuario
de base de datos puedan acceder a las bases de datos mediante una cuenta
guest? En alguna bases de datos, como un catalogo, puede ser aceptable, pero
en general se puede considerar un riesgo para la seguridad y no debera
usarse en todas las bases de datos. A continuacin se muestra un cuadro con
los usuarios, el grupo al que pertenecen, departamento, tipo de red, permisos a
nivel del servidor y permisos sobre los datos.
Nombre

Grupo NT

SmithB

No
aplicable
No
aplicable

Departame
nto
Servicio

Red

Desarrollo

Novell

Permisos

RosmanD

Ninguno

Administrac
in

Windows

MorrisL
JohnsonK

Informtica
Contabilida
d
Contabilida
d
Ventas

Windows
Windows
Windows

Ninguno

Read, Write

Cheng

Ninguno
Contabilida
d
Contabilida
d
Ventas

Read,
no
Write
Configuraci Write,
n
del Create, no
servidor
Read
Ninguno
Select,
Insert,
Update
Todos
Todos
Ninguno
Read, Write

Windows

Ninguno

SamuelsR

Ventas

Ventas

Windows

Ninguno

Read,
Update
Read,
Update

GibsonH

JonesB

Novell

Administra
dor
Ninguno

Lo primero que habr advertido es que existen dos usuarios de red Novell. Esto
significa que tiene que crear, como mnimo, dos inicios de sesin estndar e
implementar el modo mixto de autentificacin.
Lo siguiente que habr observado es que algunos de los usuarios,
concretamente los de los departamentos de contabilidad y ventas, estn
agrupados en Windows. En lugar de crear cuentas para cada miembro de esos
departamentos, puede agregar un inicio de sesin de grupo de Windows para
todos ellos. Puesto que RosmanD y MorrisL no son miembros de un grupo de
Windows, necesitaran inicios de sesin de usuario de Windows.
Ahora fjese en los derechos administrativos que necesita cada usuario en el
sistema. Dado que GibsonH necesita poder establecer la configuracin del
2

servidor, como el uso de memoria, debera agregarse a la funcin fija del

servidor serveradmin. Puesto que MorrisL necesita un acceso administrativo
completo a todo el sistema, debera agregarse a la funcin fija del servidor
sysadmin. Para que este ejemplo sea ms fcil de comprender, la empresa
Delmonton S.L. solamente tienen una base de datos. Observe los permisos que
necesita cada uno en esa base de datos. Como responsable del servidor de
atencin al cliente, SmithB necesita permiso para leer los datos, pero no para
escribirlos; la funcin fija de base de datos db_denydatawriter se adapta
perfectamente a esa necesidad.
Como desarrollador, GibsonH necesita permiso para crear objetos en la base de
datos, pero no debera poder leer los datos. Convierta a GibsonH en miembro
de la funcin db_ddladmin para que pueda crear objetos como DBO sin romper
las cadenas de propiedad. Podra convertir a GibsonH en miembro del grupo
db_owner y conseguir el mismo efecto, pero entonces habra podido hacer lo
que se le antoja en la base de datos, incluido leer los datos.
RosmanD necesita poder seleccionar, insertar y actualizar datos, pero no
debera poder eliminar ninguno. No existe ninguna funcin de base de datos
que conceda esos tres permisos. Podra aplicar todos esos permisos
directamente a RosmanD, pero y si contrata ms personal que necesite los
mismo permisos? Tal vez sea mejor idea crear una funcin personalizada de
base de datos, concederle los permisos Select, Insert y Update y convertir a
RosmanD en miembro de esa funcin. Lo mismo ocurre con el grupo Ventas,
que necesita permiso para leer y actualizar; precisa una funcin personalizada.
En el caso de Contabilidad, ser ms fcil agregarlo a las funciones
db_datareader y db_datawriter; as recibirn permisos para leer y escribir
en la base de datos. MorrisL no necesita ser miembro de ninguna funcin,
porque es miembro de la funcin fija del servidor sysadmin y se considera
automticamente el DBO de todas las bases de datos del servidor.
En la vida real, por supuesto, el plan de seguridad no va a ser tan simple, ni
mucho menos. Tendr cientos, si no miles, de usuarios en diversas redes con
los que deber trabajar, cada uno con necesidades distintas para los permisos.
Para colmo, aunque el desarrollo de un plan de seguridad probablemente sea
ms trabajo que llevar a cabo la implementacin, no puede prescindir de l.
1. Escriba los comandos necesarios para crear los usuarios y aplicar los
requerimientos de seguridad de la empres Delmonton S.L.