El Desafío
¿Qué Datos Tengo?

La mayoría de las organizaciones se enfrentan a un obstáculo crítico de cumplimiento y seguridad: en realidad no saben dónde viven sus datos confidenciales. Sin embargo, con la llegada de la IA, ahora puede escanear fácilmente un esquema de base de datos completo en unos pocos minutos o menos.

El obstáculo de seguridad: La localización de información confidencial es un requisito previo absoluto para el enmascaramiento de datos, y es increíblemente valioso para todas las iniciativas de seguridad de bases de datos, control de actividad e incluso seguridad de aplicaciones.

La mina terrestre de cumplimiento: Sin un mapa claro de la expansión de datos confidenciales en su organización, no conoce el nivel de riesgo de cada base de datos, qué controles de seguridad son necesarios o incluso qué regulaciones de cumplimiento (como GDPR, HIPAA, SOX o PCI-DSS) está violando actualmente.

Todo esto se puede resolver en menos de 5 minutos y de forma gratuita. Suena un poco increíble, pero es simplemente el poder de la IA.

El método de IA
Convirtiendo el Esquema en Inteligencia

Más tarde discutiremos los métodos tradicionales y por qué no funcionan bien. El método de IA es diferente y mucho más poderoso. Implica un proceso de dos pasos:

1. Extraer el Diseño del Esquema: Haz que su DBA ejecute un script rápido pequeño, no intrusivo que lea el diccionario de datos y exporte los nombres de sus tablas y columnas (metadatos), pero no los registros de datos reales.
2. Clasificación de IA: Se alimenta ese diseño de esquema exportado a una IA con un mensaje especializado que instruye al Modelo de Lenguaje Grande (LLM) a buscar columnas que puedan contener información confidencial.

Al examinar la estructura del esquema de su base de datos, la IA puede evaluar cada columna en cada tabla, conectar los puntos e identificar columnas que podría considerar sensibles.

Hay dos razones por las que este método de IA es uno de los enfoques más poderosos para el descubrimiento de datos confidenciales:

• La IA entiende el contexto. Por ejemplo, en un esquema relacionado con la gestión de dinero y una tabla que trata de transacciones, la columna «cantidad» se referiría al dinero que cambió de manos. En un esquema de nómina, la «cantidad» podría ser el salario. Sin embargo, en un esquema que trata de datos atmosféricos, y la tabla relacionada con las precipitaciones, «cantidad» es el número de milímetros de lluvia. Otro ejemplo es de una tabla llamada T_105 con columnas que incluyen NAME y DOB. La IA entiende que la DOB es la fecha de nacimiento (Date of Birth) y que la tabla contiene PII, y debe ser examinada cuidadosamente.
• La IA entiende lo que significa sensible. La IA puede averiguarlo sin tener que explicar que las transacciones, salarios, tarjetas de crédito, PII, datos de atención médica y miles de otras piezas de información podrían ser sensibles. En nuestras pruebas, la IA a menudo destacó datos que podrían tratarse como sensibles, pero ni siquiera lo consideramos.

Un método Regex tradicional no puede hacer nada de esto. Si bien las soluciones de descubrimiento de datos de Regex pueden costar 6 cifras, no pueden competir con lo que una IA puede hacer de forma gratuita. Incluso con una larga lista de palabras clave de búsqueda de Regex, la IA ganará sin duda. La IA entenderá o inferirá nombres de tablas y columnas usando cualquier término o abreviatura en cualquier idioma. Se deducirá lo que significan en función del contexto, cómo podrían estar relacionados con la seguridad de los datos y qué regulaciones de cumplimiento pueden aplicarse. La IA simplemente hace que este tipo de búsqueda de Regex sea obsoleta.

Podría desarrollar el aviso y los scripts para exportar el diseño del esquema usted mismo. No es muy difícil. Sin embargo, ya hemos hecho el trabajo por ti y lo hemos probado. Simplemente ingrese su correo electrónico en la barra lateral para recibirlo en su buzón.

El Poder del Prompt

Creamos un mensaje de «bueno para todo» diseñado para identificar cualquier tipo de información confidencial (PII, PHI, registros financieros, etc.). En nuestras pruebas, descubrimos que una vez que la IA tiene una idea de lo que estás buscando, encontrará casi cualquier cosa.

Sin embargo, si conoce el tipo de datos que está buscando, o si su organización tiene requisitos únicos (como nombres de proyectos, números de pieza, etc.), puede extender fácilmente el aviso agregando más explicaciones y ejemplos de qué buscar.

Debido a que la IA entiende el lenguaje en lugar de solo emparejar patrones, puede agregar fácilmente a la lista de ejemplos: «Datos de propiedad: planos, números de pieza, códigos de proyecto».

Además, si necesita el informe en otro idioma, agregue, por ejemplo, «Escriba la salida en español».

Confianza en la IA
Seguridad y Privacidad

Al usar IA, debe tener cuidado con los datos que está cargando y hacia dónde van sus datos.

Este método nunca requiere cargar sus registros de datos reales (filas). Solo está exportando y cargando información de esquemas (metadatos), lo que reduce significativamente el perfil de riesgo del uso de IA.

Sin embargo, incluso solo la estructura de su base de datos (nombres de tablas y columnas) puede ser sensible y revelar información crítica sobre su aplicación, los datos que administra y, potencialmente, ayudar a penetrar su seguridad.

Hay tres categorías principales de IA que podrías usar:

• IA Interna de la Empresa: Si su organización tiene una instancia interna de un modelo, este es el lugar ideal para ejecutar estas comprobaciones. Asegúrese de que tenga una longitud de contexto lo suficientemente grande como para soportar el tamaño de su esquema.
• IA de Pago / Enterprise: Por lo general, la apuesta más segura. La mayoría de los niveles de pago garantizan que su información se mantiene confidencial y no se utiliza para entrenar a sus modelos.
• IA Gratuita: Muchos proveedores le permiten mejorar la privacidad y optar por no participar en la capacitación en datos. Compruebe la configuración de privacidad y los términos de servicio de la IA que pretende utilizar. Por ejemplo, Google Gemini afirma (en el momento de escribir esto) que no utilizan sus datos para la capacitación si desactiva su historial. En general, el uso de un chat temporal sin historial es recomendable para datos confidenciales.

Si su organización tiene una política interna de seguridad de IA, por favor sígala.

El Elemento Humano
Discute Tus Hallazgos

La IA es un punto de partida poderoso, pero recomendamos usarla como base para una conversación. Una vez que tenga su lista de columnas sensibles generada por IA, llévela a sus Administradores de Bases de Datos (DBA) y Propietarios de Aplicaciones.

La conversación tiene dos propósitos:

1. Validación: Obtenga la verificación de que las columnas que identificó contienen información confidencial y elimine los falsos positivos o las columnas en cuestión.
2. Expansión: Una vez que un DBA entiende lo que estás buscando, puede decir algo como: «Oh, si te importa eso, también deberías mirar la tabla ‘Legacy_Archive’ donde cambiamos el nombre de la columna SSN a USER_ID_EXT».

En tu conversación, busca activamente:

1. Datos Confidenciales Adicionales. Es posible que conozcan otras columnas en las mismas tablas, tablas adicionales o tipos de datos en los que no pensaste.
2. Bases de Datos Adicionales que Pueden Contener Este Tipo de Datos. Podrían ser copias replicadas, bases de datos relacionadas utilizadas por las mismas aplicaciones u otras bases de datos que utilizaron o de las que escucharon.
3. Copias de Estos Datos. Probablemente podrían decirle cuándo se exportan los datos a hojas de cálculo o copias de bases de datos entregadas al desarrollo, control de calidad, capacitación, etc.
4. Datos de Sombra. Pregunte a los DBA sobre las tablas «Temp», «Backup» o «Archive» creadas durante las migraciones, guardadas durante el mantenimiento o utilizadas para la retención a largo plazo. A menudo contienen datos confidenciales olvidados.

Este paso colaborativo convierte una buena lista en una auditoría completa y a prueba de balas. También transforma a un administrador de DBA y aplicaciones de un guardián en un administrador de datos. Al darles una valla generada por IA, estás haciendo de esto una revisión rápida en lugar de una tarea interminable. El cambio será más rápido y los resultados más precisos y completos.

Métodos Alternativos
¿Cómo se Compara la IA?

¿Qué Sigue?

• Ejecuta la Prueba: No esperes. Utiliza nuestros scripts hoy para descubrir datos confidenciales en su base de datos. Es fácil, rápido y gratis. También puede discutir sus hallazgos con los DBA y los gerentes de aplicaciones relevantes.
• Evaluar el Riesgo: Determine qué regulaciones de cumplimiento se aplican a sus hallazgos y el potencial de daño de estos datos que se filtran o se modifican (lo que los hace poco confiables).
• Enmascara Datos Fuera de Producción: Este es su siguiente paso más inmediato. Pregunte a sus DBA sobre copias de estos datos confidenciales (en entornos de desarrol, prueba o de entrenamiento). Esos datos son los más expuestos, sin ninguna seguridad en absoluto. Elimine los datos confidenciales y conserve la calidad de los datos con una solución de enmascaramiento de datos estáticos como Core Masking.
• Producción segura: Monitoree y controle quién toca datos confidenciales con una solución de Control de Actividad como Core Audit. Además, asegúrese de que sus DBA tengan una lista de las tablas y columnas que deberían requerir una autorización especial para otorgar acceso (acceso con menos privilegios).

¿Listo para empezar? Introduzca su correo electrónico en la barra lateral y reciba los scripts de Oracle/SQL Server y el mensaje de IA directamente en su bandeja de entrada del correo electrónico.