Separar administración, uso y auditoría

La segregación de funciones en sistemas de bases de datos críticas se articula en tres roles estrictamente separados:

1. Administración de infraestructura (DBA): Gestiona índices, almacenamiento, copias de seguridad y afinamiento de rendimiento, pero tiene prohibido consultar o modificar datos de negocio sensibles.
2. Uso de aplicación (Data Consumer): Realiza operaciones transaccionales (DML) requeridas por las aplicaciones, pero no puede alterar estructuras de tablas ni crear usuarios.
3. Auditoría y seguridad (Security Officer): Define políticas de registro, audita eventos y revisa accesos, sin facultades para alterar datos ni parámetros operativos.

La matriz de segregación define las tareas permitidas y las acciones estrictamente vetadas para cada perfil operativo.

Abre el laboratorio y lee segregacion-funciones.txt. Identifica el rol operativo cuya función es gestionar usuarios y auditoría pero tiene estrictamente prohibido modificar almacenamiento técnico.

Los privilegios para alterar parámetros de auditoría no deben concederse a los administradores de infraestructura habituales.

Examina roles-db.txt y localiza el rol de base de datos que cuenta con permiso activo para modificar políticas de log.

Para impedir que los administradores con privilegios de sistema lean tablas salariales, los motores modernos incorporan mecanismos de confinamiento (como Oracle Database Vault o PostgreSQL column-level encryption).