Un proveedor SaaS de salud tenía doce analistas de datos responsables de crear paneles de analítica para los clientes e informes internos de inteligencia de negocio. Al equipo de analítica se le había otorgado acceso de lectura a la base de datos de producción cuando se creó la función, una decisión pragmática que le permitía consultar los datos que necesitara para los informes que se le pedían. En cuatro años, el equipo había pasado de tres a doce analistas, la base de datos de producción había llegado a contener registros de más de doscientos clientes empresariales y la concesión de acceso nunca se había revisado. Cada analista podía consultar los historiales de pacientes, los datos clínicos o la información administrativa de cualquier cliente sin restricción, registro ni revisión. El acceso era técnicamente de solo lectura: sin escrituras ni eliminaciones. También carecía por completo de restricciones: cualquiera de los doce analistas podía consultar cualquier registro de cualquier cliente en cualquier momento sin aprobación, sin justificación y sin revisión de auditoría. Una investigación de una violación de datos, iniciada cuando un bloguero del sector de la salud publicó información que parecía provenir del interior del sistema, acabó rastreando el origen hasta un analista que llevaba más de un año consultando registros fuera del alcance de su trabajo. Los controles de acceso siempre lo habían permitido. Nadie estaba vigilando.
¿Qué es realmente el problema del riesgo del acceso analítico de los proveedores?
El riesgo del acceso analítico surge cuando el acceso a datos otorgado a los equipos de analítica (las personas responsables de crear paneles, informes y modelos analíticos) es mucho más amplio de lo que requiere cualquier tarea analítica específica y se mantiene sin los controles de acceso, el registro y la periodicidad de revisión que se aplican a otras formas de acceso privilegiado a datos. El acceso analítico suele implementarse de forma amplia al crear la función (“denle al equipo de analítica acceso de lectura a la base de datos”) y rara vez se revisa a medida que el equipo crece, los datos a los que accede se vuelven más sensibles y evoluciona lo que cada analista realmente necesita para su función específica.
La falla del mínimo privilegio es la brecha de gobernanza central. En la mayoría de las organizaciones, el acceso privilegiado (cuentas administrativas, acceso de escritura a sistemas de producción, acceso al procesamiento de pagos) está sujeto a una delimitación cuidadosa, flujos de aprobación y revisión periódica. El acceso analítico suele tratarse como una categoría aparte que no requiere una gobernanza equivalente porque es de solo lectura y aparentemente de menor riesgo. La caracterización como de solo lectura es exacta: los analistas normalmente no pueden modificar ni eliminar datos. La caracterización como de menor riesgo requiere matices: el acceso de lectura a conjuntos de datos completos que contienen información personal sensible, registros financieros o datos de salud es de menor riesgo que el acceso de escritura a los mismos datos, pero no es de bajo riesgo en ningún sentido absoluto. El analista que leyó historiales de pacientes para divulgarlos sin autorización no necesitó acceso de escritura. Necesitó el acceso de lectura que todos habían considerado irrelevante.
El problema del alcance agrava el problema del acceso. En los entornos SaaS multiinquilino, los equipos de analítica suelen tener acceso a los datos de toda la base de clientes en lugar de a clientes específicos, porque crear paneles e informes es más fácil cuando el analista puede consultar el conjunto de datos completo. Un proveedor SaaS de salud cuyo equipo de analítica necesita crear un panel de resultados clínicos para el Cliente A no necesita técnicamente acceder a los datos del Cliente B para hacer ese trabajo, pero si la concesión de acceso permite leer toda la base de datos, la consulta pensada para el Cliente A puede leer los registros del Cliente B con la misma facilidad. La función analítica requería un acceso delimitado. La concesión de acceso otorgó un acceso sin delimitar. El alcance nunca importó hasta que el analista decidió salirse de él.
En los entornos de los proveedores, los riesgos del acceso analítico se concentran en cinco patrones de falla específicos:
- Acceso amplio de lectura a bases de datos para funciones de analítica: equipos de analítica con acceso de lectura a bases de datos de producción completas en lugar de un acceso limitado a los conjuntos de datos específicos que requieren sus tareas analíticas concretas
- Acceso analítico entre clientes en entornos multiinquilino: equipos de analítica con acceso a los datos de toda la base de clientes cuando las tareas analíticas solo requieren acceso a los datos de clientes específicos
- Acceso analítico excluido de la revisión de accesos: el acceso analítico de solo lectura no se incluye en las revisiones periódicas de accesos porque se percibe como intrínsecamente de menor riesgo que el acceso de escritura
- Sin registro a nivel de consulta del acceso analítico: las consultas analíticas no se registran a nivel de registro, lo que impide detectar accesos no autorizados a datos dentro del alcance de lectura autorizado
- Acceso analítico que persiste tras el cambio de función: los analistas que cambian de función o dejan la organización conservan el acceso a la base de datos de analítica porque los procesos de desvinculación se centran en el acceso a los sistemas y pasan por alto las credenciales de la plataforma de analítica
Por qué es importante
El riesgo del acceso analítico es importante para la TPRM porque el escenario de amenaza interna con más probabilidades de producir una violación de datos significativa de clientes en un proveedor SaaS multiinquilino no es un ataque externo sofisticado: es un usuario de analítica autorizado que tiene acceso de lectura sin restricciones a todo el conjunto de datos de clientes y decide usar ese acceso fuera del alcance previsto. Los controles diseñados para proteger la aplicación principal (autenticación, acceso basado en roles, registro de auditoría) se aplican a los usuarios autorizados que acceden a los datos a través de la interfaz de la aplicación. No impiden que un usuario de analítica autorizado consulte cualquier registro de la base de datos con las credenciales de lectura que se le otorgaron para un trabajo legítimo.
La dimensión multiinquilino amplifica el riesgo de forma significativa. Un proveedor SaaS de salud cuyo equipo de analítica puede consultar cualquier historial de paciente de cualquiera de sus doscientos clientes empresariales ha concentrado el riesgo de acceso a datos de los doscientos clientes en un equipo de doce personas cuyo acceso nunca se ha revisado. Cada uno de esos doscientos clientes evaluó la postura de seguridad de datos del proveedor y concluyó que los datos de sus pacientes estaban adecuadamente protegidos. Ninguno evaluó si el equipo de analítica del proveedor podía consultar los historiales de sus pacientes sin ninguna restricción.
Para los profesionales de TPRM, esto crea una obligación de evaluación específica que va más allá de confirmar los controles de acceso. La pregunta no es solo si el proveedor tiene controles de acceso basados en roles, sino si esos controles se aplican a la función de analítica con el mismo rigor que a otros roles de acceso a datos, incluidos la delimitación del alcance, la periodicidad de revisión y el registro a nivel de consulta que permite detectar patrones de acceso no autorizado dentro de una concesión de acceso autorizada.
Dónde se equivocan la mayoría de los equipos
La falla más constante es aceptar el acceso de solo lectura como equivalente a un acceso de bajo riesgo y, por lo tanto, no aplicar al acceso analítico el mismo escrutinio de gobernanza que al acceso con privilegios de escritura. El acceso de solo lectura a conjuntos de datos sensibles completos es una concesión de acceso a datos significativa: la capacidad de leer cada registro de cliente, cada transacción y cada campo sensible es la misma capacidad necesaria para exfiltrar esos datos, aunque la escritura y la eliminación estén deshabilitadas. La restricción de escritura reduce el radio de impacto si se hace un mal uso del acceso, pero no reduce la exposición si los datos se leen y se divulgan.
La segunda falla es no preguntar por el registro a nivel de consulta del acceso analítico. Los registros de acceso a nivel de infraestructura confirman que un analista se autenticó en la base de datos. Los registros a nivel de consulta confirman qué registros recuperó realmente durante su sesión. La diferencia entre esos dos niveles de registro es la diferencia entre saber que alguien estuvo en la sala y saber qué leyó mientras estuvo allí. Para un acceso analítico que abarca un conjunto de datos de clientes multiinquilino, el registro a nivel de consulta es el único mecanismo capaz de detectar un acceso no autorizado entre clientes dentro de una concesión de acceso autorizada.
- Considerar el acceso de solo lectura como intrínsecamente de menor riesgo: el acceso de lectura a datos sensibles completos basta para permitir la exfiltración
- Acceso analítico excluido del mínimo privilegio: acceso amplio a la base de datos otorgado por comodidad funcional en lugar de limitarse a los requisitos de tareas específicas
- Sin registro a nivel de consulta de las sesiones de analítica: los registros de infraestructura confirman la autenticación, pero no el acceso a nivel de registro dentro de la sesión
- Acceso analítico no revisado con la periodicidad de revisión de accesos: el acceso de solo lectura se trata como una categoría aparte y de menor prioridad
- Acceso entre clientes sin delimitar: el acceso analítico multiinquilino no se restringe al subconjunto de clientes relevante para el trabajo de cada analista
Cómo se ve una buena práctica
Una gobernanza madura del acceso analítico aplica el mínimo privilegio a las funciones de analítica con el mismo rigor que al acceso con privilegios de escritura: delimita el acceso a los datos necesarios para tareas analíticas específicas, revisa ese alcance periódicamente a medida que cambian las tareas e implementa un registro a nivel de consulta que permite detectar patrones de acceso incompatibles con el alcance del trabajo autorizado.
- Mínimo privilegio aplicado al acceso analítico: acceso limitado a los conjuntos de datos, subconjuntos de clientes o categorías de datos específicos que requiere la función concreta del analista, no lectura de toda la base de datos
- Registro de auditoría a nivel de consulta: cada consulta analítica se registra con la identidad del usuario, la marca de tiempo, las tablas consultadas y el número de registros, y se revisa en busca de patrones anómalos
- Acceso analítico con la misma periodicidad de revisión que el acceso de escritura: revisiones periódicas que confirman que el alcance del acceso analítico sigue siendo proporcional a la función actual
- Restricción del acceso entre clientes en entornos multiinquilino: acceso analítico restringido a subconjuntos específicos de clientes para los que el analista tiene una justificación de negocio respecto de los datos de cada cliente
- Desvinculación del acceso a las plataformas de analítica: credenciales de las bases de datos de analítica incluidas explícitamente en las listas de verificación de desvinculación junto con el acceso a los sistemas principales
Herramientas
Gobernar el acceso analítico requiere tanto herramientas de control de acceso detallado para la infraestructura de analítica como herramientas de monitoreo que capturen la actividad a nivel de consulta.
Control de acceso a plataformas de analítica: Databricks Unity Catalog, AWS Lake Formation, dbt
Las plataformas de analítica modernas ofrecen un control de acceso detallado que permite delimitar el acceso analítico a nivel de tabla, columna y fila, restringiendo a cada analista a las categorías de datos específicas que requiere su trabajo. AWS Lake Formation ofrece seguridad a nivel de columna y fila para entornos de analítica basados en S3. Databricks Unity Catalog ofrece una gobernanza de acceso unificada sobre las tablas de Delta Lake con control de acceso basado en atributos. Para los profesionales de TPRM, preguntar si la plataforma de analítica del proveedor usa un control de acceso detallado en lugar de acceso de lectura a toda la base de datos saca a la luz la arquitectura de gobernanza de su modelo de acceso analítico.
Monitoreo de actividad de bases de datos: Imperva, IBM Guardium
Las plataformas de DAM capturan la actividad a nivel de consulta en las bases de datos, incluidas las consultas analíticas, y proporcionan la pista de auditoría a nivel de registro que los registros de infraestructura no ofrecen. Imperva, en concreto, aplica analítica del comportamiento de los usuarios a los patrones de consulta de las bases de datos y detecta volúmenes de acceso anómalos y patrones inusuales de consultas entre clientes. Para los profesionales de TPRM, preguntar si las consultas analíticas se registran a nivel de registro y si se aplica detección de anomalías a los patrones de acceso analítico saca a la luz la profundidad del monitoreo que respalda el acceso analítico.
Gobernanza de identidades: SailPoint, Saviynt
Las plataformas de IGA incluyen las credenciales de las plataformas de analítica en sus flujos de revisión de accesos, lo que garantiza que el acceso analítico se revise con la misma periodicidad que otros roles de acceso a datos en lugar de quedar fuera del alcance de la revisión como categoría de “solo lectura”. Para los profesionales de TPRM, preguntar si el acceso a la plataforma de analítica está incluido en el programa de gobernanza de identidades y revisión de accesos del proveedor es una pregunta específica de inclusión en la gobernanza.
Desafíos de gobernanza
El desafío de gobernanza del acceso analítico es la tensión con la productividad. Los equipos de analítica necesitan un acceso a los datos rápido y flexible para hacer bien su trabajo exploratorio: las restricciones de consulta y los flujos de aprobación para cada nuevo análisis reducen la velocidad que da valor a la función de analítica. La respuesta de gobernanza no es eliminar la flexibilidad del acceso analítico, sino delimitarla adecuadamente: dar acceso a las categorías de datos y los subconjuntos de clientes que requiere la función del analista y restringir el acceso a los datos fuera de ese alcance. Las restricciones no eliminan la capacidad analítica. Eliminan el acceso a datos que el analista no tiene ningún motivo de negocio para consultar.
Para los programas de TPRM, el enfoque práctico de gobernanza consiste en incluir el acceso analítico en la evaluación de los controles de acceso del proveedor como una categoría de acceso diferenciada, sin presuponer que lo cubre la confirmación general de los controles de acceso, y preguntar específicamente por la delimitación del alcance, la periodicidad de revisión y el registro a nivel de consulta. La concesión amplia de acceso analítico que nunca se revisó es el riesgo de acceso oculto dentro de un programa de control de accesos bien gobernado.
- Incluir el acceso analítico en la evaluación de los controles de acceso del proveedor, sin presuponer que lo cubre la confirmación general del acceso basado en roles
- Preguntar por la delimitación del acceso analítico: si es de lectura a toda la base de datos o está limitado a tablas, columnas o subconjuntos de clientes específicos
- Exigir registro a nivel de consulta del acceso analítico: pista de auditoría a nivel de registro, no solo registros de autenticación
- Preguntar por la periodicidad de revisión del acceso analítico: si se incluye en las revisiones periódicas de accesos o se trata como una categoría aparte de menor prioridad
- Confirmar la desvinculación analítica: credenciales de la plataforma de analítica incluidas en el proceso de desvinculación
Si usted forma parte de un equipo pequeño
Añada a su evaluación de los controles de acceso de proveedores una pregunta dirigida específicamente a la función de analítica: ¿cuántas personas de su equipo de analítica tienen acceso a datos de clientes en producción, cuál es el alcance de ese acceso y cuándo se revisó por última vez? En el caso de proveedores multiinquilino, pregunte además si los analistas pueden consultar datos de clientes distintos de aquellos con los que se relaciona su trabajo. Esas dos preguntas sacan a la luz la amplitud del acceso analítico a la que nunca llegan las evaluaciones estándar de controles de acceso.
- Preguntar cuántos analistas tienen acceso a la base de datos de producción y cuál es su alcance
- Preguntar si el acceso analítico se revisa con la misma periodicidad que el acceso con privilegios de escritura
- Preguntar si existe registro a nivel de consulta de las sesiones de analítica
- En el caso de proveedores multiinquilino, preguntar si el acceso analítico está restringido a subconjuntos específicos de clientes
Qué exigir
Pregunte directamente:
“¿Cuántas personas de su equipo de analítica tienen acceso de lectura a bases de datos de producción que contienen datos de clientes? ¿Ese acceso es de lectura a toda la base de datos o está limitado a tablas, categorías de datos o subconjuntos de clientes específicos?”
“¿Las consultas analíticas se registran a nivel de registro? En concreto, ¿pueden identificar qué analista consultó qué registros de clientes en una sesión determinada? ¿Y se revisa ese registro en busca de patrones anómalos?”
“¿El acceso a las bases de datos de analítica está incluido en sus revisiones periódicas de accesos? ¿Cuándo se revisó por última vez la proporcionalidad del alcance del acceso del equipo de analítica?”
Evidencia que debe esperar
- Documentación del alcance del acceso analítico: número de analistas, amplitud del acceso y restricción por clientes
- Confirmación del registro a nivel de consulta de las sesiones de analítica
- Historial de revisión del acceso analítico: incluido en las revisiones periódicas, con la fecha de la última revisión
- Confirmación de la restricción del acceso entre clientes en entornos multiinquilino
Un proveedor que responde a la pregunta sobre el alcance del acceso analítico con “nuestro equipo de analítica solo tiene acceso de lectura” ha confirmado el tipo de acceso. Pregunte específicamente si ese acceso de lectura abarca toda la base de datos de producción o se limita a categorías de datos específicas. Solo lectura y acceso delimitado son decisiones de gobernanza distintas. Ambos son de solo lectura. Solo uno aplica el mínimo privilegio.
Cómo demostrarlo
La gobernanza del acceso analítico se aborda implícitamente en los principios de minimización de datos y limitación de la finalidad del GDPR, en los requisitos de mínimo privilegio del PCI-DSS y en los estándares de acceso mínimo necesario de la HIPAA. Demostrar la debida diligencia requiere evidencia de que el acceso analítico se evaluó como una categoría de acceso diferenciada, con su propia gobernanza de alcance y revisión.
- Registros de evaluación de proveedores que documentan las preguntas sobre el alcance, el registro y la periodicidad de revisión del acceso analítico
- Confirmación del registro a nivel de consulta de las sesiones de analítica
- Evidencia de la restricción del acceso entre clientes en proveedores multiinquilino
- Inclusión del acceso analítico en el programa de IGA o de revisión de accesos
Conclusión clave
El acceso de lectura a todo sigue siendo acceso a todo. El analista que leyó historiales de pacientes fuera del alcance de su trabajo no necesitó acceso de escritura para hacerlo. Necesitó el acceso de lectura que tenían doce personas y que nadie había revisado en cuatro años. El acceso analítico es la concesión de acceso amplia, normalizada y nunca cuestionada que existe porque era más fácil decir “denle al equipo de analítica acceso de lectura a la base de datos” que definir lo que cada analista necesita realmente. El mínimo privilegio se aplica al acceso de lectura tanto como al de escritura cuando los datos que se leen son sensibles. El registro a nivel de consulta se aplica a las sesiones de analítica tanto como a las sesiones administrativas cuando los registros que se leen pertenecen a clientes que confían en que el proveedor controle quién los consulta.