¿Cómo Mitigar los Riesgos Humanos en la Seguridad de Bases de Datos?

Según el Informe de Costo de una Brecha de Datos de 2021 de IBM, el error humano es la principal causa de las brechas de datos. Aunque en el mundo de la seguridad se presta mucha atención a los ataques malintencionados, vale la pena señalar que las brechas causadas por errores humanos pueden tener consecuencias igual de serias.

La práctica muestra que las brechas de seguridad pueden ser muy costosas no solo para tu reputación, sino también para tus resultados financieros. Según el Informe de Costo de una Brecha de Datos de 2021 de IBM, el costo promedio global de una brecha de datos para 2021 es de 4,24 millones de dólares, un aumento del 10% respecto al estudio de 2020. Al igual que el año pasado, el país más caro en términos de costo total promedio de una brecha de datos es Estados Unidos, con 9,05 millones de dólares, más del doble del promedio global.

Pero no tengas miedo, puedes disminuir la posibilidad de una brecha de datos mitigando los factores humanos fácilmente evitables de la ciberseguridad. Solo sigue nuestros consejos.

1. Educa a Tus Empleados

Hay muchas maneras en que un delincuente puede infiltrarse en tu sistema a través de la ingeniería social. La ingeniería social es el uso de medios para manipular a las personas y que revelen información confidencial. Aquí hay algunos ejemplos:

• Spear Phishing: una variación de phishing que es más exitosa que el phishing regular. Correos electrónicos altamente personalizados se envían típicamente a un número mucho menor de posibles víctimas para usar la familiaridad y así involucrar a la víctima en la estafa.
• Ingeniería Social Inversa: para esta estrategia en particular, un hacker ataca la red de una empresa y pretende haber encontrado la fuente del ataque para ofrecer ayuda en su reparación. Si se acepta la ayuda, el hacker obtiene acceso al sistema.
• El Hacker Amistoso: es un estilo más reciente de ingeniería social que se enfoca en cuentas de correo electrónico o redes sociales. Aquí un hacker intenta acceder a una cuenta y busca en sus mensajes cualquier tipo de archivos PDF, archivos de video u otro tipo de contenido descargable. Un código malicioso puede estar incrustado en otro documento, etiquetado como una “versión actualizada”, y este archivo se enviará entonces a la víctima desprevenida para que lo abra. Un punto clave a destacar aquí es que la víctima inicial no siempre es el objetivo, sino que empleados de mayor rango son el objetivo final.

2. Utiliza un Software de Detección de Cambios

Este tipo de software automatizado detecta procesos, opciones de respuesta flexibles y capacidades de auditoría para convertirlo en una poderosa herramienta de ciberseguridad. Este tipo de software también puede ayudarte a identificar:

• Quién hizo el cambio
• Qué cambios se hicieron
• Dónde residen los cambios
• Cuándo ocurrieron los cambios
• Cómo se implementó el cambio

Ten en cuenta que puedes usar la función de Auditoría de Datos de DataSunrise junto con algún tipo de sistema SIEM para rastrear los cambios realizados en las tablas de la base de datos.

3. Construye Tu Sistema Empresarial Basado en la Necesidad de Saber

Elimina los privilegios excesivos: todos tus empleados deben tener acceso solo a los objetos de la base de datos que necesitan para su trabajo.

• Utiliza software de seguridad dedicado que te ayude a revelar y eliminar privilegios excesivos.
• Utiliza un firewall de base de datos. Ten en cuenta que el Firewall de Base de Datos de DataSunrise puede proteger los objetos de tu base de datos de ser accedidos basándose en los nombres de usuario de la base de datos, nombres de aplicaciones cliente y en la fuente de las consultas entrantes.
• Utiliza enmascaramiento dinámico para controlar el acceso a tus datos sensibles. Ten en cuenta que DataSunrise cuenta con Enmascaramiento de Datos Dinámico y Enmascaramiento de Datos Estático.

4. Rastrear las Acciones de Tus Empleados

• Despliega un Sistema de Monitorización de la Actividad de la Base de Datos para rastrear todas las acciones de tus empleados y asegurarte de que no intenten acceder a los datos que no necesitan. Esto se aplica no solo a los empleados regulares, sino también a los administradores.

Ten en cuenta que DataSunrise cuenta con un sistema de este tipo: Auditoría de Datos. DataSunrise incluye un motor de autoaprendizaje que puede usarse para aprender el comportamiento normal del usuario y crear listas blancas y negras de consultas.

5. Implementa una Gestión Confiable de Contraseñas

• Crea reglas estrictas para el uso de contraseñas, incluyendo una longitud mínima, una prohibición de palabras completas de diccionario y un requisito de utilizar diferentes tipos de caracteres (incluyendo letras mayúsculas y minúsculas, números y símbolos clave).
• Implementa salvaguardias técnicas para hacer cumplir contraseñas y cambios apropiados. Aborda políticas y sanciones para el intercambio de contraseñas por parte de los empleados en tu política de seguridad. Cifra completamente todas las contraseñas almacenadas según estándares de seguridad como PCI DSS.

6. Implemente Autenticación Multifactorial

La autenticación de un solo factor puede causar accesos no autorizados no detectados durante largos períodos de tiempo, por lo que pueden ser necesarias factores de autenticación adicionales para la seguridad.

• Implementa, como mínimo, una autenticación de dos factores para los usuarios. Ten en cuenta que DataSunrise ofrece mecanismos de autenticación de dos factores para el acceso a la base de datos.

7. Dispositivos Digitales Personales Comprometidos

Trae Tu Propio Dispositivo (BYOD) significa usar teléfonos inteligentes, tabletas y portátiles personales para realizar tareas empresariales, y acceder a información sensible. Crear una política BYOD es un componente importante para mitigar el riesgo humano a la seguridad, permitiendo a los empleados usar sus propios dispositivos de manera segura y controlada. Se puede prevenir el almacenamiento local de datos sensibles, y se pueden utilizar aplicaciones de trabajo seguras para proteger el contenido del dispositivo.