ENTORNO DE BASE DE ENTORNO DE BASE DE DATOSDATOS

OTROS PROCESOS OTROS PROCESOS AUXILIARESAUXILIARES

A lo largo del ciclo de vida de la base de dato se deberán controlar la formación que precisan tanto usuarios informáticos (administrador, analistas, programadores, etc.)

Hay que tener en cuenta que usuarios poco formados constituye uno de los peligros mas importante de un sistema. Esta formación no debería limitarse al área de la base de dato , sino que tendría que ser complementada con formación relativa a los conceptos de control y seguridad.

COMPONENTES DEL COMPONENTES DEL SGBDSGBD

Nucleo Kernel: es el catalogo (componente fundamental para asegurar la seguridad de las base de datos.Utilidad:Crear usuarioConceder privilegio resolver otras cuestiones relativas a la confidencialidad.Las que se encargan de la recuperación de la BD:RearranqueCopia de respaldoFichero diario (log).

SOFTWARE DE SOFTWARE DE AUDITORIAAUDITORIA

Son paquetes que pueden emplearse para facilitar la labor del auditor en cuanto a la extracción de datos de la base, el seguimiento de las transacciones. Datos de prueba etc. Hay productos muy interesantes que permiten cuadrar datos de diferentes entornos permitiendo realizar una verdadera auditoria de datos.

SISTEMA DE SISTEMA DE MONITORIZACIÓN Y MONITORIZACIÓN Y

AJUSTE (TUNING)AJUSTE (TUNING)Este tipo de sistemas complementa las facilidades ofrecidas por e propio SGBD, ofreciendo mayor información para optimizar el sistema, llegando a ser determinadas ocasiones verdaderos sistemas expertos que proporcionan la estructura óptima de la base de dato y de ciertos parámetros del SGBD DEL so.

La optimización de la base de dato, como ya hemos señalado ,es fundamental puesto que si actúa en un entorno concurrente puede degradarse fisilmente el nivel del servicio que haya podido establecer con los usuarios.

SISTEMAS OPERATIVOSSISTEMAS OPERATIVOSEl SO es una pieza clave del entorno, puesto que el SGBD se apoyará , en mayor o menor medida (según se trate de un SGBD independiente o dependiente) en los servicios que le ofrece el SO en cuanto a control de memoria, gestión de área de almacenamiento de almacenamiento intermedio (buffers), manejo de errores, control de confidencialidad, mecanismo de interbloqueo, etc. Desafortunadamente, el auditor informático tiene serias dificultades para controlar de manera rigurosa la interfaz entre el SGBD y el SO , debido a que, en parte, constituye información reservada del fabricante de los productos, además de requerir nos conocimientos excepcionales que entran en el campo de la técnica de sistemas.

MONITOR DE MONITOR DE TRANSACCIONESTRANSACCIONES

Algunos autores lo incluyen dentro del propio SGBD, pero actualmente puede considerarse un elemento mas del entorno con

responsabilidad de confidencialidad y rendimiento.

PROTOCOLOS Y SISTEMAS PROTOCOLOS Y SISTEMAS DISTRIBUIDOSDISTRIBUIDOS

Cada vez mas se esta accediendo a las bases de datos a través de redes, con lo que el riesgo de violación de la confidencialidad e integridad se acentúa. Tambien las bases de datos distribuidas

pueden presentar graves riesgos de seguridad.

PAQUETE DE PAQUETE DE SEGURIDADSEGURIDAD

Existe en el mercado varios productos que permiten la implantación efectiva de una política de seguridad, puesto que centraliza el control de acceso, la definición de privilegios, perfiles de usuario, etc. Un grave inconveniente de este tipo de software es que a veces no se encuentra bien integrado con el SGBD pudiendo resultar poco útil su implantación si los usuarios pueden saltarse los controles a través del propio SGBD.

DICCIONARIO DE DATODICCIONARIO DE DATOLos diccionarios se pueden auditar de manera análoga a las base de datos (puesto que son bases de metadatos), la diferencia entre no y otros residen principalmente en un fallo en una base de dato puede atentar contra la integridad de los datos y producir un mayor riesgo financiero , mientras que un fallo en un diccionario (o repositorio) , suele llevar consigo un perdida de integridad de los procesos; siendo mas peligroso los fallos en los diccionarios puesto que pueden producir errores de forma repetitiva a lo largo del tiempo, que son mas difícil de detectar, Perry(1991)

HERRAMIENTA CASE HERRAMIENTA CASE Suele llevar un diccionario de dato enciclopedia o repositorio) mas amplio que los mencionados anterior en los que se almacena además información de dato , programas, usuarios etc. Los diagramas, matrices, grafos de ayuda al diseño. Es una herramienta clave para que el auditor pueda revisar el diseño de la base de dato, comprobar si se a empleado correctamente la metodología y asegurar un nivel mínimo de calidad.

APLICACIONESAPLICACIONESEl auditor deberá controlar que las aplicaciones no

atenten contra la integridad de los datos de la base.

HERRAMIENTAS DE HERRAMIENTAS DE “MINERIA DE DATOS”“MINERIA DE DATOS”

En los últimos años ha explosionado el fenómeno de los almacene de datos datawarehoses y las herramientas para la explotación o minería de datos (datamining). Estas herramientas ofrecen soporte a la toma de decisiones sobre sobre datos de calidad integrados en el almacén de datos.

LENGUAJE DE CUARTA LENGUAJE DE CUARTA GENERACIÓN (L4G) GENERACIÓN (L4G)

INDEPENDIENTESINDEPENDIENTESAdemás de las herramientas que ofrezca el propio SGBD el auditor se

pude encontrar con una amplia gama de generadores de aplicaciones, de forma de informes, etc. Que actúan sobre la base de dato y que por

lo tanto, también son un elemento importante a considerar en el entorno del SGBD.

En efecto, uno de los peligros mas grave de los L4G es que no se aplique controles con el mismo rigor que a los programas desarrollados con

lenguajes de tercera generación.

TECNICAS PARA EL CONTROL DE BASES DE TECNICAS PARA EL CONTROL DE BASES DE DATOS EN UN ENTORNO COMPLEJODATOS EN UN ENTORNO COMPLEJO

Como se destaca en Clark (1991), el efecto de todo esto es debilitar la seguridad global del sistema reduciendo la fiabilidad e introduciendo un conjunto de controles descoordinados y solapados, difíciles de gestionar esta situación se acentúa mas si los diferentes componentes provienen de distintos fabricantes que se adapten a estándares muchas veces contrapuestos.

TECNICAS DE CONTROLTECNICAS DE CONTROL•Matrices de control: Sirve para identificar los conjuntos de datos del SI junto con los controles de seguridad o integridad implementados los mismos.•Análisis de los caminos de acceso: Con esta técnica se documenta el flujo, almacenamiento y procesamiento de los datos en todas las fases por la que pasan desde el mismo momento en que se introducen, identificando los componentes del sistema que atraviesan (tanto hardware como software) y los controles asociados.Con este marco el auditor puede identificar las debilidades que expongan los datos a riesgos de integridad, confidencialidad y seguridad las distintas interfaces entre componentes y la compleción de los controles.