El documento describe los conceptos y procesos de auditoría de bases de datos. La auditoría permite monitorear y registrar el acceso a la información almacenada en las bases de datos para asegurar la integridad y privacidad de los datos. También cubre los objetivos, metodologías, seguridad, clasificación y ciclo de vida de los metadatos relacionados con la auditoría de bases de datos.

1. Auditoria
Es el proceso que permite asegurar,
demostrar, monitorear y registrar los
accesos a la información almacenada en
las bases de datos. En este sentido
implicaría casos como por ejemplos
quien, cuando y desde donde se accedió
a la bd.
Objetivo general
Disponer de mecanismos que permitan
trazar una línea robusta y automatizada
de auditoria relacionada con el acceso de
la bd en ese sentido incluye la capacidad
de generar alertas con el objetivo de:
 Mitigar los riesgos asociados
con el manejo inadecuado de
los datos
 satisfacer los requerimientos de
los auditores
 evitar acción criminales
La auditoría es importante porque
 La información relevante como
la financiera entre otros se
encuentra en la bd es por ello
que es importante tener
mecanismos de controles para
el acceso de la bd.
 Poder demostrar la integridad
de dato almacenada en la bd.
 Las organizaciones deben
mitigar la perdida y fuga de
información.
 La información confidencialde
los clientes es responsabilidad
de las organizaciones.
Mediante la auditoria de bd se evalua
 Definición de estructurasfísicas
y lógicas de la bd.
 Control y mantenimiento de la
bd
 Integridad de los datos y
protección de los acsesos.
 Procedimiento de respaldo y
recuperación de bd.
Planificación para la auditoria de la bd
 dentificar todas las bases de
datos de la organización
 Clasificar los niveles de riesgo
de los datos en las bases de
datos
 Analizar los permisos de acceso
 Analizar los controles existentes
de acceso a las bases de datos
 Establecer los modelos de
auditoría de BD a utilizar
 Establecer las pruebas a
realizar para cada BD,
aplicación y/o usuario
Metodología para la auditoria de la bd
 Metodología tradicional
El auditor revisa elentorno con la
ayuda de una lista de control(Checklist),
que
consta de una serie de cuestiones
a verificar, registrando los resultadosde
su
investigación. En esta
investigación se confecciona una lista de
controlde todos los aspectos a
tener en cuenta.
 Metodología de evacuación de
riesgo Empieza fijando los
objetivos de control
que minimizan los riesgos
potenciales a los que está
sometido el entorno.
Considerando los riesgos de:
o Dependencia por la concentración de
Datos
o Accesosno restringidos en la figura del
DBA
o Incompatibilidades entre el sistema de
seguridad de accesos delSGBD y el
general de instalación
o Impactos de los errores en Datos y
programas
o Rupturas de enlaces o cadenas por
fallos del softw.
o Impactos por accesos no autorizados
o Dependencias de las personas con alto
conocimiento técnico
Metadatos:
son datos que describen otros datos,
metadatos son «datos sobre datos».
Beneficio de los metadatos
-Los metadatos adhieren contenido,
contextoy estructura a los objetos de
información, asistiendo de esta forma al
proceso de recuperación de
conocimiento desde colecciones de
objetos.
-Los metadatos permiten generar
distintos puntos de vista conceptuales
para sus usuarios o sistemas, y liberan a
estos últimos de tener conocimientos
avanzados sobre la existencia o
características delobjeto que describen.
-Los metadatos permiten el intercambio
de la informaciónsin la necesidad
de que implique el intercambio de los
propios recursos.
-En cada proceso productivo, o en cada
etapa del ciclo de vida de un objeto de
información, se van generando metadatos
para describirlos y metadatos para
describir dichos metadatos (manual o
automáticamente), generando de esta
forma valor añadido a los recursos.
-Los metadatos permiten preservar los
objetos de informaciónpermitiendo
migrar (gracias a la información
estructural) sucesivamente éstos, para su
posible uso por parte de las futuras
generaciones
clasificación de un meta dato
 contenido
Subdividir metadatos por su contenido es
lo más común.
 variabilidad
Según la variabilidad se puede distinguir
metadatos mutables (volátiles)
y inmutables (No volátiles)
 funcion
Los datos pueden ser parte de una de las
tres capas de funciones:
subsimbólicos, simbólicos o lógicos.
Ciclo de vida de un metadato
 Creación
Se pueden crear metadatos
manualmente, semi automáticamente o
automáticamente
 Manipulacion
Si los datos cambian, los metadatos
tienen que cambiar también
 destruccion
En algunos casos es conveniente eliminar
los metadatos juntos con sus recursos
 Almacenamiento
Hay dos posibilidades para almacenar
metadatos: depositarlos internamente, en
el
mismo documento que los datos, o
depositarlos externamente, en su mismo
recurso.
 Codificación
Diccionario de Datos o Repositorio de
una aplicación, proyecto, etc. Consiste
en una Base de Datos o Catálogo de los
propios datos de la aplicación a la que
pertenece. Por tanto guarda información
imprescindible para el funcionamiento de
dicha aplicación y para su uso, o en el
caso de un proyecto para el desarrollo del
mismo, de ésta forma damos la
importancia que se merece al Repositorio
y así en los
objetivos destacaremos los aspectos
fundamentales de la seguridad.
Diccionario de Datos
• Juegan un papel primordial en el entorno
de los SGBD en cuanto a la
integración de componentes y al
cumplimiento de la seguridad de datos.
• Los diccionarios de datos se pueden
auditar de manera análoga a las bases de
datos, ya que, después de todo, son
bases de datos de metadatos.
• Un fallo en la BD puede atentar contra
la integridad de los datos y producir
un mayor riesgo financiero, mientras que
un fallo en un diccionario(o
repositorios), suele llevar consigo un
perdida de integridad de los procesos;
siendo más peligrosos los fallos en los
diccionarios puesto que pueden
introducir errores de forma repetitiva a lo
largo del tiempo y son mas difíciles
de detectar.
Seguridad en bd
Es un mecanismo que protege a la bd
frente a cualquier amenaza. Esto para
garantizar su confiabilidad(privacidad),
integridad(evita que los datos sean
falseado) y su disponibilidad(acsesible)
Niveles de seguridad en la bd
 Físico:los equipos informáticos
deben protegerse contra fallos
físicos
 Humano: todos los usuarios
deben estar bien identificado y
definido
 Sistema operativo debe ser
robusta
 Red dado que muchas sgbd
permiten el acceso remoto la
seguridad anivel red es muy
importante
 Sistema gestor de bd; que se
cumplan sus privilegios
Problemas de seguridad de bd
 El robo y el fraude:: alteración
en los datos
 Perdida de
confidencialidad:mantener en
secreto ciertos datos críticosde
la organizacion
 perdida privacidad:proteger los
datos acerca delpersonal

2.  Perdida de integridad:se refiere
a datos invalidos o falseados
Mecanismo de seguridad de la bd
Aunque los dbms cuentan con mecanimos
de seguridad como por ejemplo
 Protección al
accesos(autentificacion)
 Control de acceso
discrecional(otorgar, revocar
privilrgios)
 Recuperación ante fallo(copias
de seguridad)
 Cifrado de dato(encriptacion)
También es necesario tener buenas
practicas para la implementación y una
adecuada seguridad a nivel
red(cortafuegos, permisos,ips.)
Limitaciones de seguridad de una bd
 Hay extensiones para
proporcionar controlde acceso
en el nivel de las filas y para
trabajar con gran número de usuarios
pero aún no están normalizadas.
 Utilizar vistas para restringir la
información
 No se puede establecer
privilegios a nivel de fila (p. ej.
cada alumno sólo vea sus notas
Establecer la seguridad en
aplicaciones de BD:
- Usuarios
Usuarios de domino / de gestor
con sus privilegios
Usuarios de dominio / de
gestor con rol de aplicación
Usuario único con privilegios
- Crear BD de seguridad donde
se establece con detalle las
acciones que cada usuario
de aplicación puede hacer
Código de aplicación se
entremezcla con el de
autorización
Más difícilde garantizar la
existencia de “agujeros” de
seguridad
Estrategias de seguridad
Uso de vistas y funciones
Dar permisos a vistas y
funciones en lugar de a las
propias tablas
Ocultan la complejidad de la
BD
Permiten gestionar el acceso a
nivel de columna
Uso de procedimientos
almacenados
Impiden operaciones
incorrectas asegurando las
reglas de negocio
Los usuarios no necesitan
tener permiso para acceder a
las tablas, solo
permiso de ejecución de los
procedimientos
Permiten establecer elnivel de
seguridad más fino (contexto)