Un estudio de Oracle destaca la necesidad de vigilar más la seguridad de las bases de datos en las empresas
Las pérdidas de datos cuestan millones a las empresas, dañan su reputación y provocan la pérdida de clientes y de oportunidades de negocio. Un nuevo estudio sobre 353 profesionales de bases de datos y TI integrantes del Independent Oracle Users Group (IOUG) examina el estado de la seguridad de las bases de datos empresariales, dónde están los mayores riesgos y cómo pueden las organizaciones mejorar sus estrategias de seguridad.
El estudio, llevado a cabo por Unisphere Research y patrocinado por Oracle, ha entrevistado a 353 gestores de seguridad de base de datos, administradores de base de datos y directores o gerentes de TI en compañías que van desde los servicios TI a la Administración Pública, pasando por educación, utilities, transporte y servicios financieros. Todos ellos pertenecientes a IOUG.
Aunque los resultados del informe muestran que las empresas tienen un alto compromiso con la seguridad empresarial, destaca también que la mayoría de las organizaciones no está bien preparada ante amenazas internas o externas.
En general, los resultados del informe indican que las organizaciones tienen controles de seguridad muy débiles en prevención, detección y gestión administrativa, incluyendo limitados controles internos sobre los usuarios con privilegios, falta de conocimiento sobre dónde residen los datos sensibles, y una monitorización inadecuada de las actividades de usuarios con privilegios.
Aunque el 58% de los entrevistados señaló que las bases de datos eran la parte más vulnerable de su entorno TI, la mayoría invirtió en securizar áreas con menos riesgos, como la red, los servidores y los ordenadores de sobremesa.
Más de tres cuartos (81%) de los encuestados ven el error humano como el mayor riesgo para los datos de la empresa, seguido del miedo a los ataques internos (65%). Otras preocupaciones incluían el abuso de los privilegios de acceso por parte del personal TI (54%) y los códigos maliciosos o virus en sus sistemas (53%).
A pesar de los riesgos humanos, muchos entrevistados indicaron que tienen relativamente pocas medidas de seguridad contra abusos accidentales o intencionados por parte del personal. De forma alarmante, casi el 40% de los encuestados admitió no saber qué bases de datos tenían información sensible o regulada, y el 71% carece de medidas de seguridad o se mostró inseguro sobre si las había a la hora de combatir daños accidentales a las bases de datos y aplicaciones. Los complejos entornos de datos actuales pueden estar afectando las capacidades de los entrevistados para implementar esfuerzos relevantes en materia de protección de datos.
Sólo el 18% de los entrevistados encripta los datos en todas sus bases de datos. Y más aún, sólo el 46% de los encuestados censura datos de aplicaciones sensibles, dejando el resto abierto a usuarios casuales de dichas aplicaciones.
A pesar de entender bien los riesgos, con la proliferación de datos de producción a entornos de no-producción, el 45% de los entrevistados utiliza copias de datos de producción para pruebas y desarrollo, y el 41% tiene tres o más copias de datos de producción.
“Estamos en la era de los grandes ataques informáticos, donde las violaciones de seguridad se están convirtiendo en algo habitual. Para muchas organizaciones ya no se trata de ‘si’ serán atacadas, sino de ‘cuándo’”, explica Vipin Samar, vice president of database security de Oracle. “Este estudio muestra que muchas empresas carecen de controles de seguridad apropiados para sus bases de datos, y dada la tendencia creciente de amenazas, simplemente no se pueden permitir esperar. Es más importante que nunca para tener estrategias de seguridad de datos ya previstas para proteger de forma apropiada los datos sensibles de la organización y de sus clientes”.
“Este informe es una ponderosa herramienta tanto para aprender como para educar, destacando los problemas de seguridad clave que mantienen a los superhéroes de las bases de datos y a sus directivos despiertos por la noche. Ejecutar diligencias extremas en seguridad de datos, y estar preparados para atentados contra la seguridad de los mismos ya no es opcional, sino más bien el coste de hacer negocios”, asegura John Matelski, President of the IOUG. “El informe muestra que el conocimiento y la amplitud de la comunidad IOUG de profesionales contribuye al mercado en todos los sectores, profesiones y geografías”.
