Tema 21
La seguridad de bases de datos no se agota en controles técnicos. También debe alinearse con obligaciones legales, reglas internas, principios de privacidad y decisiones de gobierno que definan quién es responsable del dato, cómo puede usarse y bajo qué condiciones debe protegerse a lo largo de todo su ciclo de vida.
Una base de datos puede estar técnicamente endurecida y aun así operar de forma incorrecta desde la perspectiva del cumplimiento o de la privacidad. Por ejemplo, puede conservar más datos de los necesarios, permitir accesos que no tienen base funcional, exportar información a terceros sin controles suficientes o no poder demostrar cómo se protege y audita el tratamiento de datos sensibles.
Por eso la seguridad de bases de datos necesita dialogar con otro plano: el de las obligaciones regulatorias, las políticas internas y el gobierno de la información. Este plano define qué datos existen, qué nivel de sensibilidad tienen, quién decide su uso, cuánto tiempo deben conservarse, cómo se comparten y qué evidencia debe mantenerse.
En este tema veremos cómo el cumplimiento normativo, la privacidad y el gobierno de datos complementan la seguridad técnica y permiten convertir un conjunto de controles en una gestión responsable del activo informacional.
El cumplimiento normativo es la capacidad de una organización para operar de acuerdo con leyes, regulaciones, contratos, estándares internos y compromisos externos aplicables al tratamiento de datos. En bases de datos, esto se traduce en requisitos sobre seguridad, retención, acceso, privacidad, trazabilidad y disponibilidad.
No todas las organizaciones están alcanzadas por las mismas normas, pero casi todas enfrentan algún tipo de obligación sobre información sensible, datos personales, registros financieros, evidencia operativa o información crítica del negocio.
Privacidad y seguridad están estrechamente relacionadas, pero no son lo mismo. La seguridad se enfoca en proteger el dato contra accesos indebidos, alteración o pérdida. La privacidad se enfoca en que el dato se recolecte, use, comparta y conserve de forma legítima, proporcional y transparente respecto de las personas a las que refiere.
Una base puede ser técnicamente segura y aun así invadir privacidad si almacena datos sin necesidad, los retiene demasiado tiempo o permite usos incompatibles con el propósito declarado. Del mismo modo, una organización puede tener buenas intenciones de privacidad y fallar si no aplica controles técnicos suficientes.
En la práctica, ambos planos deben reforzarse mutuamente.
Más allá del marco regulatorio específico, existen principios ampliamente aceptados que ayudan a diseñar un tratamiento más responsable de la información.
Estos principios tienen impacto directo sobre diseño de esquemas, políticas de acceso, backups, anonimización, retención y auditoría.
El gobierno de datos es el conjunto de roles, reglas, procesos y decisiones que definen cómo se administra la información dentro de la organización. No se limita al área técnica. Involucra dueños del dato, áreas de negocio, seguridad, cumplimiento, legal y operación.
En bases de datos, el gobierno ayuda a responder preguntas clave:
El cumplimiento real depende en gran medida de que la organización sepa qué datos trata y cuál es su sensibilidad. Por eso la clasificación vista en temas anteriores no es solo una buena práctica técnica: es también una base para aplicar obligaciones adecuadas.
| Tipo de información | Impacto de cumplimiento | Controles esperables |
|---|---|---|
| Datos personales | Privacidad, derechos del titular, trazabilidad | Acceso restringido, minimización, retención controlada |
| Datos financieros | Integridad, evidencia, trazas de cambio | Auditoría reforzada, segregación de funciones |
| Datos de salud o sensibles especiales | Protección reforzada y alta confidencialidad | Cifrado, control granular, monitoreo específico |
| Logs y evidencia | Retención, integridad, investigación | Protección contra alteración y acceso controlado |
Una práctica madura de gobierno define responsables claros. No basta con que el área técnica "administre la base". Debe existir una distinción entre quien opera la plataforma y quien define valor, propósito y sensibilidad de la información.
En términos generales suelen intervenir:
Cuando estos roles no están definidos, proliferan accesos sin dueño, retenciones indefinidas, tablas heredadas y usos secundarios de datos sin control suficiente.
Una parte importante del cumplimiento consiste en decidir cuánto tiempo debe conservarse un dato y qué debe ocurrir al final de su vida útil. Guardar información indefinidamente por costumbre suele aumentar riesgo, costos y exposición innecesaria.
Una política madura debería definir:
En muchos marcos de privacidad existen derechos vinculados al acceso, corrección, actualización, portabilidad, restricción o eliminación de datos personales. Aunque la regulación aplicable varíe, estos derechos suelen exigir que la organización conozca dónde están los datos y pueda operar sobre ellos con trazabilidad.
Desde la perspectiva técnica, esto implica que la base de datos y su gobierno deben permitir:
La privacidad no se resuelve solo con políticas escritas. También requiere capacidad operativa sobre el dato.
Muchas bases de datos alimentan integraciones, proveedores, herramientas analíticas, plataformas de marketing, socios o sistemas externos. Cada transferencia agrega una dimensión de cumplimiento y de gobierno: no solo importa proteger el dato dentro del entorno propio, sino también controlar cómo y bajo qué reglas sale de él.
Conviene revisar:
Un tercerizado o integrador mal gobernado puede convertirse en extensión del riesgo sobre la base original.
Cumplir no es solo hacer las cosas bien; también es poder demostrarlo. En materia de bases de datos, esto exige contar con políticas, evidencias, registros y procesos verificables.
Algunas evidencias típicas incluyen:
La demostrabilidad es importante porque transforma afirmaciones generales de seguridad en un marco auditable y defendible.
No toda organización puede operar siempre bajo un modelo perfecto. Aparecen urgencias, integraciones especiales, accesos temporales, pruebas extraordinarias y requisitos heredados. Lo importante es que esas excepciones no se conviertan en reglas permanentes invisibles.
Un gobierno maduro de excepciones debería contemplar:
Las excepciones mal gestionadas son una de las fuentes más comunes de incumplimiento práctico.
El cumplimiento normativo, la privacidad y el gobierno de datos convierten la seguridad de bases de datos en una práctica responsable y sostenible. Gracias a ellos, los controles técnicos se integran con decisiones organizativas sobre valor, propósito, acceso, retención y evidencia.
En el próximo tema estudiaremos la respuesta a incidentes, el análisis forense y el plan de mejora continua, donde toda la preparación técnica y de gobierno se pone a prueba frente a eventos reales.