UNIVERSIDAD TECNOLÓGICA DE PANAMÁ

FACULTAD DE INGENIERÍA DE SISTEMAS

COMPUTACIONALES

LICENCIATURA EN INGENIERÍA DE SISTEMAS Y COMPUTACIÓN

Base de datos II
Charla Magistral
Administración de la Seguridad de Base de datos

Gionella Araujo
Facilitador

Elaborado por
Agustín
Yennipsi Castillo 2-739-1362
Williams Thomas 8-942-263

Grupo 1IL-133
II Semestre 2019
Índice

Introducción ....................................................................................................................................... 3
Administración de la Seguridad de Base de datos ..................................................................... 4
1. Conceptos de seguridad en base de datos ...................................................................... 4
2. Gestión de Usuarios y sus privilegios ............................................................................... 6
2.1 Creación de usuarios ....................................................................................................... 7
2.2 Asignación y revocación de privilegios sobre tablas y otros objetos de la base de
datos 7
2.3 Creación de Roles ............................................................................................................ 8
3. Control de seguridad por medio de respaldos ................................................................. 9
3.1 Conceptos de respaldos y log de transacciones ......................................................... 9
3.2 Modelo de recuperación de una base de datos........................................................... 9
3.3 Respaldos, restauración y recuperación de una base de datos ............................... 9
Conclusión ....................................................................................................................................... 10
Referencias bibliográficas ............................................................................................................. 11
 Introducción

La información es uno de los activos más importantes de las entidades, y de modo

especial en algunos sectores de actividad. En esta investigación se definirán
varios conceptos importantes en base de datos para la seguridad se la
información.

Es indudable que cada día las entidades dependen de mayor medida de la

información y de la tecnología, y que los sistemas de información están más
soportadas por la tecnología, frente a la realidad de hace pocas décadas.

La seguridad en una base de datos es un parte muy importante dentro del

proyecto, ya que se debe mantener un control de los datos que entran y salen de
ella, de las personas que puedan acceder a la base de datos, que en caso de un
daño físico del equipo o del software tener copias de seguridad para su
restauración, del peligro de virus informáticos y demás.
 Administración de la Seguridad de Base de datos

1. Conceptos de seguridad en base de datos

Una base de datos es un conjunto de información almacenada en
la memoria auxiliar que permite el acceso directo a un conjunto de programas que
manipulan los datos .
La mayoría de las bases de datos actuales permiten hacer listados, consultas,
crear pantallas de visualización de Las bases de datos han evolucionado durante
los pasados 30 años desde sistemas de archivos rudimentarios hasta sistemas
gestores de complejas estructuras de datos, una biblioteca puede considerarse
una base de datos compuesta en su mayoría por documentos y textos impresos
en papel e indexados para su consulta.
La información es uno de los activos más importantes de las entidades, y de modo
especial en algunos sectores de actividad.

Es indudable que cada día las entidades dependen de mayor medida de la

información y de la tecnología, y que los sistemas de información están más
soportadas por la tecnología, frente a la realidad de hace pocas décadas.
Por otra parte, hace unos años la protección era más fácil, con arquitecturas
centralizadas y terminales no inteligentes, pero hoy en día los entornos son
realmente complejos, con diversidad de plataformas y proliferación de redes, no
sólo internas sino también externas, incluso con enlaces internacionales.
Entre las plataformas físicas (hardware) pueden estar: ordenadores grandes
y medios ordenadores departamentales y personales, solos o formando parte
de red, e incluso ordenadores portátiles. Esta diversidad acerca la información a
los usuarios, si bien hace mucho más difícil proteger los datos, especialmente
porque los equipos tienen filosofías y sistemas operativos diferentes, incluso a
veces siendo del mismo fabricante.
Al hablar de seguridad hemos preferido centrarnos en la información misma,
aunque a menudo se hable de seguridad informática, de seguridad de los
sistemas de información o de seguridad de las tecnologías de la información.
La seguridad de datos, también conocida como seguridad de la información o
seguridad informática, es un aspecto esencial de TI en organizaciones de
cualquier tamaño y tipo. Se trata de un aspecto que tiene que ver con la protección
de datos contra accesos no autorizados y para protegerlos de una posible
corrupción durante todo su ciclo de vida.

Seguridad de datos incluye conceptos como encriptación de datos, tokenización y

prácticas de gestión de claves que ayudan a proteger los datos en todas las
aplicaciones y plataformas de una organización.
Hoy en día, organizaciones de todo el mundo invierten fuertemente en la
tecnología de información relacionada con la ciberdefensa con el fin de proteger
sus activos críticos: su marca, capital intelectual y la información de sus clientes.
En todos los temas de seguridad de datos existen elementos comunes que todas
las organizaciones deben tener en cuenta a la hora de aplicar sus medidas: las
personas, los procesos y la tecnología.
En cualquier caso hay tres aspectos principales, como distintas vertientes de la
seguridad.
 La confidencialidad: se cumple cuando solo las personas autorizadas (en su
sentido amplio podríamos referirnos también a sistemas)pueden conocer
los datos o la información correspondiente.
Podemos preguntarnos ¿qué ocurriría si un soporte magnético con los
datos de nuestros empleados o clientes fuera cedido a terceros? ¿Cuál
podría ser su uso final? ¿Habrá una cadena de cesiones
o ventas incontroladas de esos datos, que podría incluir datos como
domicilios o perfil económico, o incluso datos médicos?¡y si alguien se
hiciera con un disquete con lo que perciben los directivos de nuestra
entidad?
 La integridad: consiste en que sólo las personas autorizadas puedan variar
(modificar o borrar) los datos. Además deben quedar pistas para control
posterior y para auditoria.
 La disponibilidad: se cumple si las personas autorizadas pueden acceder a
tiempo a la información.
El disponer de la información después del momento necesario puede
equivaler a la no disponibilidad. Otro tema es disponer de la información a
tiempo pero que esta no sea correcta, e incluso que no se sepa, lo que
puede originar la toma de decisiones erróneas.
 2. Gestión de Usuarios y sus privilegios
Usuarios

Un objetivo principal de un sistema de bases de datos es recuperar información y

almacenar nueva información en la base de datos. Las personas que trabajan con
una base de datos se pueden catalogar como usuarios de bases de datos o como
administradores de bases de datos.

Un usuario es todo aquel que tenga contacto con el sistema de bases de dato

Se tienen 3 clases generales de usuarios:

 Programador de aplicaciones
 Usuario final
 Administrador de bases de datos o DBA

Podemos definir a los usuarios como toda persona que tenga todo tipo de contacto
con el sistema de base de datos desde que éste se diseña, elabora, termina y se
usa.

Entendemos por usuario a cualquier persona que accede al sitio web. Los
usuarios se pueden agrupar en roles en función de las operaciones que se les
permite realizar. Es decir, que cada rol se caracteriza por disponer de una serie
concreta de permisos

Privilegios

Un privilegio es un derecho para ejecutar un tipo particular de sentencia ó para

acceder un objeto de otro usuario.

Un usuario puede recibir los privilegios de dos maneras:

 Explícitamente
 Se asignan privilegios a un rol (un conjunto nominado de privilegios) y luego
se asignan estos roles a uno o más usuarios.
 2.1 Creación de usuarios
Como entidad de seguridad, se pueden conceder permisos a los usuarios. El
ámbito de un usuario es la base de datos. Para establecer conexión con una base
de datos concreta de la instancia de SQL Server, un inicio de sesión debe estar
asignado a un usuario de la base de datos. Los permisos dentro de la base de
datos se conceden y deniegan al usuario de la base de datos, no al inicio de
sesión.

Utilice el comando CREATE USER para crear un nuevo usuario de base de datos.
Al crear un nuevo usuario, debe especificar el nombre del usuario nuevo y una
contraseña. La contraseña es obligatoria. Debe tener entre 8 y 64 caracteres y
debe incluir al menos una letra en mayúscula, una letra en minúscula y un número.

Con el siguiente comando: CREATE USER 'nombre_usuario'@'localhost'

IDENTIFIED BY 'tu_contrasena'.

2.2 Asignación y revocación de privilegios sobre tablas y otros objetos de la

base de datos
Establezca los privilegios de bases de datos para determinar la autorización que
debe tener para crear o acceder a las tablas de los almacenes de datos para las
bases de datos de SQL Server.

La sintaxis para dar privilegios a un usuario seria:

GRANT { ALL [ PRIVILEGES ] }

| Permisos [ ON [ clase :: ] asegurable ] TO principal [ ,…n ]

[ WITH GRANT OPTION ]

Ejemplo:

GRANT Select, Update, Insert to Usuario 1 (El usuario debe haberse creado
previamente)

La sintaxis para quitar privilegios a un usuario seria:

<permission> [ ,...n ]

[ ON [ <class_type> :: ] securable ]
 [ FROM | TO ] principal [ ,...n ]

[ CASCADE ]

Ejemplo:

REVOKE Select, Update, Insert to Usuario 1

2.3 Creación de Roles

Cada rol se caracteriza por disponer de una serie concreta de permisos. Se
entiende por permiso la posibilidad de ejecutar determinadas operaciones o no
sobre los diferentes elementos de la base de datos.

Los roles de la base de datos tienen la siguiente funcionalidad:

-Un rol puede tener privilegios del sistema y privilegios de objetos del schema.

-Un rol se puede asignar a otros roles (excepto a sí mismo directa o

indirectamente).

-A cualquier usuario de la base de datos se le puede asignar cualquier rol.-Un rol

asignado a un usuario se puede habilitar o inhabilitar en cualquier momento.

-Un rol garantizado indirectamente puede ser explícitamente habilitado o

inhabilitado al usuario.

En la base de datos debe haber roles como: Visitante, Editor y un Administrador.

Aunque pueden estar muchos más.

En general se emplean para asignar los privilegios relacionados con los usuarios
finales de las aplicaciones de un sistema o para asignar roles a otros roles.

La sintaxis para crear un rol es:

CREATE ROLE role_name [ AUTHORIZATION owner_name ]

Ejemplo:

Create role Asignaciones Authorization Usuario 1

 3. Control de seguridad por medio de respaldos

3.1 Conceptos de respaldos y log de transacciones

Ya sea que se trate tu propio sitio o que administres uno, dependiendo de la
cantidad del contenido y de las veces que éste se actualice, necesitarás hacer
copias de respaldo.

Si el sitio en cuestión se actualiza varias veces en el día, tendrás que por lo menos
hacer una copia de respaldo diaria.

El concepto básico de un log transaccional es aquel que la define como aquella

tabla de la base de datos donde todos los cambios a los datos son registrados.

El uso de áreas log tiene como fundamento el concepto transaccional. Todos los
manejadores de datos deben controlar las transacciones de los usuarios como
unidades de trabajo, y en general se entiende como una transacción el conjunto
de uno o más comandos de insert-update-delete que se realizan de forma exitosa
o fallida como unidad.

Una transacción se puede delimitar por medio de comandos begin transaction y

commit transaction según cada manejador. Esto permite garantizar la
consistencia y la posibilidad de recuperación.

3.2 Modelo de recuperación de una base de datos

Hay 2 tipos de recuperación: Simple y Full.

Se utiliza modelo de recuperación full cuando requieres recuperar la base de datos

en un punto específico en el tiempo, y el modelo de recuperación simple cuando
no requieres una recuperación de un punto preciso en el tiempo, y cuando tu
último respaldo diferencial es suficiente como un punto de referencia para la
recuperación. (También existe otro modelo de recuperación llamado bulk logged )

Por otro parte, asumiendo que la base de datos está en modelo de recuperación
full, pueden aparecer errores porque no estas realizando respaldos frecuentes del
log de transacciones, cuando el registro de transacciones no se respalda continua
creciendo físicamente ( de acuerdo a la configuración de auto crecimiento y
máximo tamaño permitido).

3.3 Respaldos, restauración y recuperación de una base de datos

Las empresas hacen una copia de seguridad (respaldo) de los datos que
consideran vulnerables en caso de software defectuoso, corrupción de datos, falla
de hardware, piratería maliciosa (hacking), error de usuario u otros eventos
imprevistos. Las copias de seguridad capturan y sincronizan una instantánea de
un punto en el tiempo que luego se usa para devolver los datos a su estado
anterior.

Las pruebas de copia de seguridad y recuperación examinan las prácticas y

tecnologías de una organización para la seguridad y la replicación de datos. El
objetivo es garantizar una recuperación de datos rápida y confiable en caso de
que surja la necesidad. El proceso de recuperación de archivos de datos
respaldados se conoce como restauración de archivos.

Los términos copia de seguridad de datos y protección de datos a menudo se

usan indistintamente, aunque la protección de datos abarca los objetivos más
amplios de continuidad empresarial, seguridad de datos, administración del ciclo
de vida de la información y prevención de malware y virus informáticos.

Conclusión
Referencias bibliográficas