Control 08

Administración de Base de Datos

Instituto IACC

03-06-2019
 Desarrollo

Como primera medida para evitar el acceso no autorizado se deben crear claves de acceso
robustas ya sean con números, letras, mayúsculas y signos de puntuación para cada usuario con
tiempos de validez así se asegura una rotación constante de las claves, otra medida que hay que
optar es la de asegurar que la base de datos tiene que encontrarse detrás de un cortafuego y así
evitar el hackeo a nivel de software y hardware.

Establecer privilegios para cada usuario

Si se trabaja bajo una plataforma UNIX nunca se debería de ejecutar el servidor MySQL bajo la
cuenta root o superusuario. Se debe crear un usuario con privilegios para poder ejecutar el
servidor MySQL.

No se debe almacenar la clave de usuario en la variable de entorno MYSQL_PWD, ya que en

algunos entornos particulares esta variable puede ser expuesta.

Se debe restringir el acceso a la tabla mysql.user, Solo las cuentas con perfil de administrador
deben poseer acceso a la misma.

Limitar el acceso a los datos sensibles tanto por parte de los usuarios como de los procedimientos,
es decir, que solo determinados usuarios y procedimientos estén autorizados a realizar consultas
en información sensible.

Siempre que sea posible, evitar las concurrencias y acceso fuera del horario laboral o habitual.

Actualizar la versión de MySQL a la última disponible, las cuales incluyen mejoras como la
eliminación de las cuentas de usuarios anónimas y las bases de datos de prueba.

También es recomendable llevar un inventario de las bases de datos de la compañía, teniendo en

cuenta todas las áreas. La única forma de tener una administración prolija y no perder información
es tener conocimiento y registro de todas las instancias y bases de datos de la compañía.

Una vez identificados los datos sensibles y la información confidencial, una buena práctica
es utilizar algoritmos robustos para cifrar estos datos.
Para que un sistema de base de datos funcione óptimamente se debe:

 Optimización del tamaño de los datos: las tablas se diseñan para que ocupen muy poco
espacio en el disco. Esto funciona para reducir la cantidad de datos escritos en el disco y a
la vez leídos desde el. Al tener tablas pequeñas estas requieren menos memoria principal,
mientras que su contenido se procesa directamente durante la ejecución de la consulta,
cualquier reducción de espacio para los datos de la tabla también da como resultado
índices más pequeños que se pueden procesar más rápido.

 Optimización del tipo de datos: se define de forma eficiente el tipo de dato a usar
contribuyendo a disminuir la longitud de los registros, lo que en consecuencia reduce el
espacio de almacenamiento requerido para las estructuras.

 Creación de índices: cuando se generan archivos índices sobre las bases de datos se
incrementa sustancialmente el tiempo de acceso a las bases de datos y se generan
consultas mucho más rápidas.

La auditoría alude a la revisión y verificación de una determinada actividad, en este caso

relacionada con la información almacenada en la base de datos.

Entonces la auditoría de una base de datos, es un proceso implementado por los auditores de
sistemas con el fin de revisar los accesos a los datos de esta, por lo general siguiendo bien una
metodología basada en un checklist que contempla los puntos que se quieren comprobar o
mediante la evaluación de riesgos potenciales.

En concreto, se realiza un examen de los accesos a los datos almacenados en las bases de datos
con el fin de poder medir, monitorear y tener constancia de los accesos a la información
almacenada en las mismas, el objetivo de esta es la de perseguir, de uno u otro modo, la seguridad
de la empresa.

Por lo tanto, para establecer responsabilidades mediante el proceso de auditoria es fundamental

tener herramientas eficaces para conocer de forma exacta cuál es la relación de los usuarios a la
hora de acceder a las bases de datos, incluyendo las actuaciones que deriven en una generación,
modificación o eliminación de datos, desde determinar quién accede a los datos, cuándo se
accedió o cuál es su ubicación en la Red y desde qué dispositivo o aplicación lo hizo, hasta qué
sentencia SQL fue ejecutada, así como el resultado del acceso.
En la actualidad existe una gran variedad de plugins para MYSQL, como MYSQL Enterprise Audit,
que simplifican la realización de los procesos de auditoría a las bases de datos y es tarea del DBA
seleccionar el que mejor se adapte a las necesidades de la organización.

Por lo tanto se debe realizar una Investigación Preliminar con el fin de obtener la información
necesaria para saber cómo se maneja los datos y quienes tienen acceso a ellos, además que
políticas existen para su protección y bajo que documentos está regida; abordando en temas como
manejo de perfiles, contraseñas, acceso al sistema, el peligro que puede representar internet
(hackers, virus, troyanos,…) y el mal manejo que se puede llegar a dar por parte de los usuarios a
los recursos informáticos de la empresa.

Bibliografía

 Contenidos semana 8

 Apuntes

 Internet