Encontrar el nivel de inversión «correcto» para la seguridad de bases de datos no es sencillo. A diferencia de los antivirus, no se trata de una simple comparación entre varios proveedores. Los modelos de precios no coinciden y las características son mucho más complejas e imposibles de comparar. Para colmo, rara vez sabemos exactamente lo que necesitamos.

Este artículo pretende orientarle para que pueda estimar si su gasto es «razonable». Ni excesivo ni insuficiente. Con el aumento de las amenazas y los presupuestos limitados, es fundamental ajustar sus gastos.

En una era de crecientes amenazas y presupuestos cada vez más reducidos, ajustar sus gastos es vital. La seguridad de las bases de datos, la principal protección de sus datos, debe estar perfectamente optimizada. Gastar de más genera un despilfarro que da una falsa sensación de seguridad, mientras que gastar de menos le deja peligrosamente expuesto.

Gasto en Software

Para una sola instancia de base de datos de producción que contiene información confidencial, se espera un gasto inferior a 10 000 USD. A continuación, el desglose:

Para una única base de datos que no sea de producción (que requiera enmascaramiento de datos) o una base de datos de producción sin información confidencial (que requiera algunos controles básicos), debería esperar pagar entre un cuarto y un tercio de lo que paga por una instancia de producción confidencial:

Estos precios incluyen licencias, soporte, servicios, etc. Sin embargo, no son para compras individuales ni para plataformas complejas. Podrías pagar más si tienes una plataforma de base de datos poco conocida o por cantidades muy pequeñas.

¿Por qué el límite de USD $10,000?

Seamos honestos: es fácil gastar dinero. Puedes comprar 20 soluciones y los proveedores estarán encantados de añadir servicios y funciones adicionales, acumulando todo lo que puedas. Pero $10,000 son suficientes para comprar más seguridad de la que puedes usar.

Costos Menores: Infraestructura

Las soluciones de seguridad requieren computadoras (CPU, memoria), almacenamiento en disco, etc. Sin embargo, con la virtualización, estos requisitos tienden a ser menores y se absorben fácilmente en el presupuesto general de TI. En los últimos años, las soluciones de seguridad también se han vuelto más eficientes, lo que hace que estos costos sean insignificantes.

Los Costos «Ocultos»: Personal

El personal puede ser la partida presupuestaria más grande. Esta es una de las razones por las que invertir más en software puede ser una buena idea si su personal es más eficiente. La compensación depende de la región y es difícil de estimar, pero la proporción de personal por base de datos es algo que se puede predecir mejor.

Estas proporciones dependen significativamente del nivel de personal, el nivel de seguridad esperado y la presión que se aplique:

• Enfoque proactivo/estratégico: 1 persona por cada 10-15 bases de datos de producción. Con estas proporciones, el administrador de bases de datos (DBA) o el responsable de seguridad tiene tiempo suficiente para dedicarse a cada base de datos, haciendo todo lo que sus habilidades y el software le permitan. También es posible dividir el trabajo con un DBA y un responsable de seguridad para asegurar 30 bases de datos juntas.
• Enfoque reactivo/de mantenimiento: 1 persona por cada 40-60 bases de datos de producción. Con estas proporciones, se depende en gran medida de la automatización y no se puede prestar mucha atención a cada entorno. En este caso, es más probable que se utilice más personal de seguridad y menos DBA, ya que el objetivo es minimizar los costos. Sin embargo, es beneficioso contar con personal de bases de datos cualificado disponible para aportar los conocimientos y las habilidades adicionales necesarios.

Determinar quién es responsable de la seguridad y cuántas personas asignar es un tema mucho más amplio de lo que este artículo aborda. Pero, a grandes rasgos, puede estimar su situación en cuanto a capital humano.

Las bases de datos que no son de producción o que carecen de información confidencial requieren mucho menos trabajo, alcanzando ratios extremos. En realidad, suelen gestionarse como una tarea secundaria para el personal de seguridad o administrador de bases de datos (DBA).

Una Rápida Evaluación de la Realidad

Existen varios errores mentales comunes que conviene considerar:

• ¿Está comprando una «casilla de verificación» o una «defensa»? Si solo necesita una casilla de verificación de cumplimiento, podría gastar menos (dependiendo de su auditor). Sin embargo, suele ser más económico pagar la multa por incumplimiento que realizar el trabajo. El principal riesgo no es incumplir, sino sufrir una vulneración. Si busca evitar el gasto de una vulneración multimillonaria, ninguno de estos costos es significativo.
• La trampa del personal: Si gasta $9,000 en software pero no tiene a nadie capacitado o capaz de usarlo, esos $9,000 se desperdician. Es mucho más fácil gastar el dinero que realizar el trabajo y controlar sus datos. Si se compromete con un proyecto, comprometa a las personas y el tiempo que lo harán exitoso.
• La ilusión de la perfección: Si le venden una solución de seguridad que lo hace todo por arte de magia y no requiere tiempo ni esfuerzo, es una estafa. Bueno, quizás no sea una estafa, pero definitivamente no es una buena seguridad. Incluso con el auge de la IA, no existe una solución eficaz que no requiera atención ni tiempo. Una solución que nunca envía una alerta es una solución que no la enviaría si se produjera una vulneración.

Reflexión Final: Romper el Ciclo de la Inercia

En la seguridad de bases de datos, la inercia es un arma de doble filo. A menudo nos quedamos con una solución no porque sea la mejor, sino porque ya está ahí. Nos convencemos de que «funciona» cuando, en realidad, solo estamos evitando la fricción del cambio. Frecuentemente, nos mantenemos con un proveedor de seguridad por la misma razón que seguimos en un mal banco: el papeleo para irse parece más difícil que el dolor de quedarse.

El peligro de esta mentalidad de «mantener el rumbo» es que conduce al estancamiento de la seguridad mientras los costos siguen aumentando. Debemos recordar que la seguridad es un proceso, no una compra permanente. No es necesario realizar un «borrón y cuenta nueva» cada año, pero sí adoptar una política de curiosidad activa:

• Auditoría Anual: No se limite a renovar la orden de compra. Pregunte a su equipo si realmente utilizan las funciones por las que está pagando para asegurar que su dinero esté comprando protección, no solo familiaridad.
• La Conversación «Base Cero»: Cada 18 a 24 meses, hable con un competidor. No para «traicionar» a su proveedor actual, sino para recalibrar su entendimiento de lo que el mercado ofrece hoy por su inversión. Manténgase ágil y conserve sus puntos de referencia actualizados.
• Reduzca las Barreras al Cambio: Si su infraestructura actual es tan compleja que no puede abandonarla, usted no es un cliente, es un rehén. Esa no es una posición estratégica y debería buscar activamente cómo cambiarla.

El objetivo no es vivir en un flujo constante, sino en un estado de preparación. Al mantener la puerta abierta a las alternativas, garantiza que su postura de seguridad esté definida por sus necesidades reales y no simplemente por su historial.