Seguridad y GDPR en el IBM i (AS/400) 
La seguridad de nuestros datos es cada vez más importante. Ya no basta con controlar el acceso al sistema desde una pantalla verde y menús de los cuales el usuario no se podía desviar. Ahora las posibilidades de acceso a los datos se han multiplicado y con ellas, los requerimientos de seguridad. Llevamos en el bolsillo teléfonos inteligentes con más capacidad de proceso que un ordenador de hace veinte años. Teléfonos, tabletas y todo tipo de dispositivos con aplicaciones que se conectan a nuestras bases de datos mediante protocolos de comunicación, sin las restricciones del usuario/contraseña de una pantalla verde.
Tampoco basta con hacer copias de seguridad. Además debemos asegurarnos de que, aunque esa copia cayera en manos de terceros, los datos seguirían estando protegidos. Y también necesitamos poder averiguar quién, cuándo y qué se ha hecho con un dato concreto.
En resumen, tenemos que implementar una buena política de seguridad que debería cubrir los siguientes aspectos:
PROTECCIÓN DE DATOS
Protección de datos
- Control de acceso. Tanto al sistema como a los datos. Esto implica una buena gestión de las autorizaciones a objetos, protocolos de red (ODBC, JDBC, DDM, DRDA, etc.), protocolos de código abierto (JSON, Node.js, Python, etc.), sentencias SQL, acceso a mandatos, etc.
- Protección de acceso a datos confidenciales. Ningún usuario debería poder ver más que los datos a los que está autorizado, en especial si son de carácter sensible (números de tarjetas de crédito, datos de salud, números de la seguridad social, etc.). Para ello utilizaremos herramientas como la encriptación, el enmascaramiento y la ofuscación.
- Autorizaciones adoptadas. Es importante limitar el uso de esta potente herramienta a los casos estrictamente necesarios y justo el tiempo de ejecutar la tarea/consulta para la que se requiere dicha autorización especial.
REGISTRO DE LA ACTIVIDAD Y DETECCIÓN DE VIOLACIONES DE SEGURIDAD
Registro de la actividad y detección de violaciones de seguridad
Registrar la actividad relacionada con los accesos al sistema y a los datos, y detectar intrusiones o violaciones de la seguridad lo más rápidamente posible. Para ello monitorizaremos:
- Cambios en los datos fuera del horario de trabajo
- Cambios en datos específicos y sensibles (tarjetas de crédito, rangos de descuentos, precios, etc.)
- Cambios en los perfiles de usuario, valores del sistema, listas de autorizaciones, etc. Intentos de acceso al sistema fuera de horas
- Transferencias de objetos y ficheros no programadas
- Acceso a o uso de ficheros con datos confidenciales
- etc.
EVALUACIÓN DE RIESGOS
Evaluación de riesgos
¿Cómo podemos saber si estamos bien protegidos? ¿Hemos puesto las barreras necesarias? ¿Tomado las medidas correctas? Las respuestas a estas preguntas nos las dará un buen plan de evaluación de riesgos que debería consistir en un ciclo continuo de tres pasos:
- Definición de las distintas políticas de seguridad que deberíamos tener implementadas en función de nuestras necesidades y de los reglamentos existentes para nuestra industria.
- Revisión periódica del nivel de cumplimiento alcanzado. Para ello deberemos auditar el nivel de seguridad de nuestros datos y sistemas mediante distintos informes de actividad.
- Finalmente, y en función de la información obtenida, aplicación de las medidas necesarias para eliminar los riesgos potenciales y, en caso necesario, revisión/mejora de nuestras políticas.
La buena noticia es que, si cumplimos con estos tres aspectos estaremos cumpliendo con el nuevo Reglamento General de Protección de Datos europeo (GDPR por sus siglas en inglés).
A modo de resumen, el cuadro siguiente muestra los distintos capítulos de la GDPR y los elementos o herramientas que nos pueden ayudar a cumplir con este reglamento:
En Software Greenhouse somos especialistas en seguridad, integradores de soluciones para la protección del IBM i, de fabricantes punteros como HelpSystems, Precisely o Townsend, y podemos ayudarles en sus proyectos de seguridad.
Solicita ahora tu Security Audit gratuito, y uno de nuestros expertos analizará tu sistema. Te facilitaremos una evaluación de tus principales riesgos y el asesoramiento de nuestros expertos en Seguridad Informática, de forma completamente gratuita y sin compromiso.
Assure Security: Seguridad Completa IBM i y Cumplimiento
White Paper: The essentials Layers of IBM i Security