W H I T E P A P E R

Mejores prácticas de Dynamic Data MaskingProtección de bases de datos y aplicaciones de producción en tiempo real

Este documento contiene información comercial secreta, confidencial y propiedad de Informatica Corporation (“Información confidencial”) y no se puede copiar, distribuir, duplicar o reproducir en modo alguno sin el consentimiento previo por escrito de Informatica.

Aunque se ha intentado por todos los medios garantizar la precisión y compleción de la información aquí presentada, este documento puede contener errores tipográficos o imprecisiones técnicas. Informatica no asume la responsabilidad por ningún tipo de pérdida derivada del uso de la información incluida en este documento. La información incluida en este documento está sujeta a cambios sin previo aviso.

La incorporación de los atributos de los productos mencionados en este documento en cualquier versión o actualización de cualquier producto de software de Informatica, así como la fecha de dichas versiones o actualizaciones, quedan sujetas al criterio exclusivo de Informatica.

Protegido por una o más de las siguientes patentes de EE. UU.: 6,032,158; 5,794,246; 6,014,670; 6,339,775; 6,044,374; 6,208,990; 6,208,990; 6,850,947; 6,895,471; o por las siguientes patentes en trámite de EE. UU: 09/644,280; 10/966,046; 10/727,700.

Edición publicada en octubre de 2011.

1Mejores prácticas de enmascaramiento dinámico de datos: Protección de bases de datos y aplicaciones de producción en tiempo real

White paper

ContenidoResumen ejecutivo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2

La necesidad del enmascaramiento dinámico de datos . . . . . . . . . . . . . . . . 2

Introducción al enmascaramiento dinámico de datos . . . . . . . . . . . . . . . . . 3

El enmascaramiento dinámico de datos en comparación con otras tecnologías de seguridad . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

Mejores prácticas de enmascaramiento dinámico de datos . . . . . . . . . . . . . 5

Una completa solución de enmascaramiento dinámico de datos . . . . . . . . . 6

Informatica Dynamic Data Masking en acción . . . . . . . . . . . . . . . . . . . . . . . 7

Protección de los entornos de producción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

Minimización de los riesgos de la subcontratación . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

Protección de las cuentas generales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

Conclusión . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

2

Resumen ejecutivoLos datos sensibles, como los registros financieros y la información personal de clientes y empleados, se deben proteger, tanto para salvaguardarlos de la consulta no autorizada como para cumplir con un creciente número de normativas de privacidad en todo el mundo. A su vez, los entornos empresariales son cada vez más heterogéneos y complejos, por lo que requieren mayores costes y esfuerzos para supervisar y proteger los datos que contienen. El enmascaramiento dinámico de datos o Dynamic Data Masking (DDM) añade una capa adicional de seguridad de datos mediante la personalización del grado de cifrado, bloqueo o enmascaramiento de datos a nivel individual. Con DDM, las organizaciones de IT pueden conceder a los usuarios autorizados el nivel adecuado de acceso a los datos sin cambiar una sola línea del código fuente o de la base de datos.

La necesidad del enmascaramiento dinámico de datosSe han creado las normativas de privacidad PCI-DSS, GLBA, Basilea II, la directiva de protección de datos personales de la UE e HIPAA, entre otras, en respuesta a un problema cada vez mayor: la exposición y el robo de la información sensible y personal. Estas normativas obligan a las organizaciones a limitar el acceso a los datos según la función de negocio del usuario. Sin embargo, es difícil aplicar esta metodología, sobre todo en entornos que incluyen usuarios externos y empleados a tiempo parcial y subcontratados.

Por ejemplo:

Una organización que utiliza PeopleSoft para gestionar los recursos humanos debe conceder •a los administradores y consultores el acceso necesario para realizar las tareas en materia de RR. HH., pero debe limitar el acceso a la totalidad de los datos a los usuarios con privilegios.

Un gran banco necesita conservar en el anonimato la información relacionada a una •cuenta en su entorno de base de datos para proteger la privacidad del cliente sin interferir en el trabajo diario de sus diseñadores, consultores, contratistas, desarrolladores y administradores de bases de datos.

Una aplicación heredada crítica para el negocio pone en riesgo la seguridad de la política •de confidencialidad de clientes y los datos financieros de una importante aseguradora porque incluye únicamente las funciones más básicas de gestión de derechos de usuario.

En la mayoría de los casos, la restricción del acceso a información sensible en herramientas de desarrollo y administración de bases de datos y aplicaciones es excesivamente costosa y requiere mucho tiempo. Muchas soluciones de supervisión del acceso a las bases de datos (DAM por sus siglas en inglés) pueden realizar auditorías del acceso de usuarios y ayudar a identificar filtraciones de datos una vez que se produzcan, pero no puede mantener en el anonimato la información sensible para impedir ponerla en peligro desde el principio. Otras tecnologías requieren grandes cambios en las aplicaciones, producen problemas inaceptables de rendimiento y no son capaces de proteger la gran cantidad de tipos de datos personales que necesitan protección.

Se necesita un método de seguridad diferente; uno que proporcione reglas más estrictas, auditorías más precisas y un control de acceso pormenorizado, sin perder la transparencia, para los usuarios. Dynamic Data Masking, un término acuñado por Gartner en su informe titulado “Cool Vendors in Application Security, 2010” (Proveedores innovadores en la seguridad de aplicaciones, 2010), es la solución.

White Paper

3Mejores prácticas de enmascaramiento dinámico de datos: Protección de bases de datos y aplicaciones de producción en tiempo real

Introducción al enmascaramiento dinámico de datos Dynamic Data Masking es el proceso de enmascaramiento, cifrado, ocultamiento, auditoría o bloqueo del acceso a los datos a nivel de cada usuario individual. Una solución DDM es un software proxy que se aloja en un solo servidor en la intersección entre las aplicaciones de negocio, las herramientas de elaboración de informes y desarrollo. y las bases de datos.

Dado que las solicitudes a la aplicación se desplazan por la capa de DDM, la solución las analiza en tiempo real y enmascara los datos sensibles según la función del usuario, la responsabilidad y otras reglas definidas por el equipo de IT. También se puede aplicar seguridad a nivel de fila o columna y restringir el número de filas que se devolverán en respuesta a una consulta. De este modo, DDM garantiza que los usuarios de negocio, usuarios externos, empleados a tiempo parcial, socios comerciales, equipos de IT y consultores subcontratados acceden a los datos sensibles en la medida exacta y con el nivel de seguridad necesario para hacer su trabajo, nada más.

En este gráfico que ilustra el modo en que funciona DDM, tres usuarios acceden a un sistema interno de administración de nóminas. A la izquierda se encuentra el director de recursos humanos, que cuenta con autorización para ver información personal como los nombres, los datos de la cuenta y el salario desglosado. En el centro se encuentra un empleado a tiempo parcial del departamento de nóminas, que solamente está autorizado para ver los datos con un formato enmascarado, de modo que pueda realizar sus labores administrativas. A la derecha está el desarrollador, administrador de bases de datos o personal de soporte a la producción, el cual necesita información en el formato adecuado para fines de IT, y la recibirá de la solución DDM con los valores cifrados para cumplir las normativas de protección de la privacidad.

4

El enmascaramiento dinámico de datos en comparación con otras tecnologías de seguridadEl cifrado se puede implantar en diversos componentes de infraestructura. Sin embargo, aunque el cifrado de la capa final es transparente para el usuario, no protege los datos en la capa de la aplicación. A su vez, el cifrado de la capa de la aplicación requiere un descifrado completo para que los datos se puedan utilizar, por lo que surge la posibilidad de un acceso no autorizado. También requiere cambios en el código fuente o en la base de datos, lo que dificulta y encarece el uso con aplicaciones comunes.

El cifrado de almacenamiento no proporciona privacidad a la aplicación, ya que solamente protege los datos cuando están en reposo. Los datos se descifran para que se puedan leer y para que las herramientas y aplicaciones de negocio puedan mostrarlos, por lo que quedan completamente expuestos cuando se están utilizando.

La utilización de un token para reemplazar los datos sensibles con datos ficticios de una base de datos, protege los números de tarjeta de crédito, pero no mantiene en el anonimato nombres, direcciones u otra información no referencial. Además, precisa de cambios en el código fuente y en las bases de datos, que son costosos y requieren mucho tiempo.

La gestión del acceso a bases de datos, que crea una auditoría detallada del momento en que se accede a la información personal y de quién accede a la misma, también proporciona bloqueo de peticiones SQL básicas, pero no al nivel necesario para las aplicaciones de negocio de la empresa que procesan cientos de peticiones SQL por segundo.

En comparación, DDM emplea servidores proxy SQL en línea para trabajar a nivel protocolo de base de datos, por lo que el funcionamiento es completamente transparente. Las aplicaciones activas ven la solución DDM como una base de datos de origen, mientras que las bases de datos la contemplan como una aplicación. Como resultado, DDM funciona en todas las aplicaciones, así como en herramientas de elaboración de informes y de desarrollo, sin necesidad de cambiar la base de datos ni acceder al código fuente de la aplicación.

White Paper

5Mejores prácticas de enmascaramiento dinámico de datos: Protección de bases de datos y aplicaciones de producción en tiempo real

Mejores prácticas de enmascaramiento dinámico de datosSi se siguen las mejores prácticas, paso a paso, en este proceso, una organización puede instalar, probar y poner en funcionamiento una implementación DDM en cuestión de días:

Clasifique los datos en tres categorías para determinar los datos que necesitan protección:1.

Datos sumamente sensibles (números de tarjeta de crédito, números de pasaporte, •apellidos, direcciones, números de cuenta, números de la Seguridad Social, etc.)

Datos medianamente sensibles (nombres, fechas de nacimiento, informes financieros, etc.)•

Datos no sensibles•

Identifique las aplicaciones que emplean datos privados. Cualquier aplicación que 2. incluya información personal identificable (PII por sus siglas en inglés) es candidata a la implementación de una iniciativa DDM. Priorice las aplicaciones que poseen la mayor cantidad de datos sensibles y el mayor número de usuarios.

Defina los escenarios de aceptación. ¿Cómo determinará su implementación DDM aquello 3. que debe enmascararse y para quién? En este paso, decidirá las aplicaciones, los informes y los procesos de batch que deben protegerse, los campos que deben enmascararse, los criterios del enmascaramiento de datos y los procesos que se deben configurar para que siempre reciban datos no enmascarados.

Asigne los datos mediante la ejecución de escenarios a través del modo de auditoría y 4. registro de la solución DDM.

Desarrolle reglas de enmascaramiento y pruébelas para constatar que funcionan en todas 5. las pantallas correspondientes de las herramientas y aplicaciones en cuestión.

Pruebe la funcionalidad de las aplicaciones. La implementación DDM no sirve si afecta a 6. las funciones de otras aplicaciones o si interrumpe la integridad referencial. Para proteger el rendimiento, plantéese limitar el número de enmascaramientos por cada aplicación.

Realice una auditoría del proceso. La capacidad de llevar un seguimiento de las personas 7. que han accedido a datos enmascarados y del momento en que lo han hecho es fundamental para fines de cumplimiento de normativas, sobre todo para empresas que utilizan empleados internos y subcontratados.

Amplíe las reglas de enmascaramiento de datos desde la producción hasta entornos de 8. clonación, copia de seguridad y formación para aumentar la seguridad de datos en toda la empresa.

6

Una completa solución de enmascaramiento dinámico de datosInformatica Dynamic Data Masking es el primer producto de enmascaramiento dinámico de datos del mercado. Se trata de una solución independiente para todas las aplicaciones y bases de datos dirigida a aquellos clientes empresariales que necesitan un rápido enmascaramiento de datos en tiempo real y una supervisión del acceso a las bases de datos con un impacto mínimo en el rendimiento de la red. Informatica DDM se puede instalar y configurar en tan solo cinco minutos, y se integra perfectamente en las aplicaciones de negocio más conocidas, por ejemplo, Siebel, PeopleSoft, SAP, Oracle Apps ERP Suite, Clarify y Cognos, entre otras.

El enfoque de Informatica permite enmascarar datos en tiempo real en función de los privilegios de red del usuario final, y funciona perfectamente con el software existente de ActiveDirectory, LDAP y la gestión de accesos e identidades para garantizar que cada inicio de sesión en la red individual de cada usuario active las reglas de enmascaramiento de datos adecuadas según el tipo de información cuyo acceso tenga autorizado el usuario. Este proceso de verificación se adapta con facilidad a bases de datos adicionales a medida que aumenta el número de usuarios finales, mientras el proceso se lleva a cabo en tan solo 0,15 milisegundos, un retraso tan breve que su impacto no se nota en los recursos de red.

Informatica DDM emplea diversos métodos de enmascaramiento, cifrado y bloqueo de datos, ya sea individualmente o en combinaciones, tal y como exigen las necesidades de seguridad de una organización:

Informatica Dynamic Data Masking funciona con transparencia para el usuario final, tal y como se observa aquí en la aplicación PeopleSoft Enterprise de Oracle

White Paper

7Mejores prácticas de enmascaramiento dinámico de datos: Protección de bases de datos y aplicaciones de producción en tiempo real

Sustitución de datos: reemplaza un valor con datos ficticios•Corte, cifrado, ocultamiento o anulación: reemplaza un valor con un valor NULO o *****•Aleatorización: reemplaza un valor con datos aleatorios•Desviación: modifica los datos numéricos mediante un cambio aleatorio•Enmascaramiento de subcadenas de caracteres: crea una máscara personalizada para •determinados datosLimitación de las filas devueltas: proporciona solamente un pequeño subconjunto de las •respuestas disponiblesEnmascaramiento basado en otra información referencial: modifica solamente algunas •respuestas en función de las reglas predefinidas (por ejemplo, enmascaramiento de los nombres de personas VIP mientras que el resto queda visible)

Además, Informatica DDM incluye la capacidad de supervisar y registrar el acceso a nivel de usuario final, así como de elaborar informes y pistas de auditoría. Simplifica el cumplimiento de normativas de privacidad de datos y las necesidades internas de elaboración de informes, a la par que reduce drásticamente el riesgo de filtraciones de datos.

Informatica Dynamic Data Masking en acciónEn estos tres ejemplos se ilustra el modo en que Informatica Dynamic Data Masking protege la privacidad de forma rápida y sencilla en tiempo real en las aplicaciones de negocio y las bases de datos de producción:

Protección de los entornos de producciónLos clientes de una de las empresas de telecomunicaciones más grandes del mundo esperan un servicio de alto nivel. Eso significa que los desarrolladores, administradores de bases de datos, diseñadores de aplicaciones y consultores de la empresa de telecomunicaciones necesitan acceso ilimitado a las aplicaciones y bases de datos de producción para solucionar rápidamente los problemas críticos. Sin embargo, diversas leyes de protección de la privacidad prohíben al personal de soporte a la producción el acceso a direcciones, números de tarjeta de crédito y otros datos sensibles personales de los clientes. Gracias a Informatica DDM, la empresa de telecomunicaciones ya puede enmascarar o cifrar completamente datos sensibles en tiempo real, de modo que el equipo de IT pueda detectar y solucionar problemas rápidamente sin poner en riesgo la privacidad del cliente. Asimismo, ahora la empresa de telecomunicaciones mantiene una pista de auditoría completa para el cumplimiento de normativas y la gestión de datos.

Minimización de los riesgos de la subcontratación Una gran empresa internacional de fabricación confía en miles de empelados subcontratados y en el extranjero que acceden a datos de producción mediante pantallas de la aplicación, informes preconfigurados y herramientas de desarrollo y de administración de bases de datos. Actualmente, el fabricante utiliza Informatica DDM para identificar a esos empleados a fin de enmascarar y cifrar así todos los datos sensibles en tiempo real a medida que acceden a ellos. Esto ayuda a la organización a mantener un estricto control sobre su activo más valioso (la información) a la vez que le permite cumplir los requisitos legales para proteger los datos personales identificables.

Protección de las cuentas generalesUna organización se percató de que, aunque poseer cuentas generales de inicio de sesión como “Facturación” o “Aplicaciones” facilitaba a los desarrolladores y administradores de bases de datos el acceso y la supervisión de las bases de datos de producción y las aplicaciones de negocio, también se podía acceder con demasiada facilidad a los sistemas críticos para el negocio y los datos sensibles. No obstante, estas cuentas generales eran necesarias para ejecutar informes operacionales fundamentales. La organización cerró la brecha de seguridad con el uso de Informatica DDM para establecer auditorías y definir reglas de aplicación de seguridad. Ahora los inicios de sesión en bases de datos desde cuentas generales se bloquean, y unos mensajes de alerta indican a los usuarios que inicien sesión en sus propias cuentas individuales, mientras que los trabajos de procesamiento de datos siguen ejecutándose sin dificultades. La solución DDM también proporciona una pista de auditoría detallada para fines de cumplimiento de normativas.

8

ConclusiónEn el actual mercado hipercompetitivo, la seguridad de datos y el rendimiento rápido no deben ser excluyentes. Con Dynamic Data Masking, las organizaciones pueden aumentar sus recursos rápidamente para proteger información sensible y privada en tiempo real, sin tener que condenar al equipo de IT a realizar costosos cambios en aplicaciones y bases de datos que requieren mucho tiempo, y que pueden influir en la productividad. Y, lo que es más importante, sin interferir en la capacidad de los empleados para cumplir con sus responsabilidades.

Informatica Dynamic Data Masking es verdaderamente la primera solución de enmascaramiento dinámico de datos, la cual no solo tiene su reconocimiento en el informe de proveedores innovadores en 2010 de Gartner, sino que también ha sido finalista en los premios de la revista SC Magazine en 2011 por su innovación en la seguridad de la información. Además de aprovechar la arquitectura de integración de datos flexible y altamente escalable de Informatica, su tecnología ya ha sido probada en algunos de los entornos de IT más complejos de las empresas más grandes del mundo.

Informatica Dynamic Data Masking e Informatica Persistent Data Masking (para entornos diferentes al de producción), conforman la solución de protección total de la privacidad de la empresa, y están diseñadas para proteger los datos y garantizar el cumplimiento de normativas de principio a fin en todo el entorno de IT, desde las fases de desarrollo y prueba hasta las aplicaciones de producción más exigentes. Al usar estos productos de Informatica para implementar las mejores prácticas de enmascaramiento de datos, su organización podrá garantizar que los datos sensibles queden restringidos a los usuarios autorizados en base a sus necesidades de información.

White Paper

9Mejores prácticas de enmascaramiento dinámico de datos: Protección de bases de datos y aplicaciones de producción en tiempo real

Más informaciónObtenga más información sobre la plataforma de Informatica. Visítenos en www.informatica.com/es o llame al 917 876 140.

Acerca de InformaticaInformatica Corporation (NASDAQ: INFA) es el proveedor independiente líder mundial de software y servicios de integración de datos. Empresas de todo el mundo confían en Informatica para lograr una ventaja competitiva en la actual economía global de la información con datos oportunos, pertinentes y fiables para cumplir sus principales imperativos de negocio. Más de 4.440 empresas de todo el mundo dependen de Informatica para obtener soluciones de integración de datos, calidad de datos y Big Data que permitan acceder, integrar y poder confiar en los activos de información guardados en entornos locales y en el cloud. Para obtener más información, llame al 902 882 062 o visite www.informatica.com/es. Conéctese a Informatica en http://www.facebook.com/InformaticaCorporation, http://www.linkedin.com/company/informatica y http://twitter.com/InformaticaCorp.

W H I T E P A P E R

Informatica en España: Albasanz 15, 28037 Madrid • Constitución 1, 08960 Sant Just Desvern, Barcelona Teléfono: 902 882 062. Fax: 933 714 895. www.informatica.com/esSede central mundial: 100 Cardinal Way, Redwood City, CA 94063 (Estados Unidos)

Teléfono: + (1) 650.385.5000. Fax: 650.385.5500. Número gratuito en Estados Unidos: 1.800.653.9871 www.informatica.com

© 2011 Informatica Corporation. Todos los derechos reservados. Impreso en España. Informatica, el logotipo de Informatica y The Data Integration Company son marcas comerciales o marcas comerciales registradas de Informatica Corporation en los Estados Unidos y en jurisdicciones de todo el mundo. Todos los demás nombres de compañías y productos pueden ser nombres comerciales o marcas comerciales de sus respectivos propietarios. Primera publicación: octubre de 2011 1844ES (27/10/2011)