La empresa moderna depende de los datos para impulsar todo, desde las decisiones operativas hasta las iniciativas estratégicas. Las organizaciones recurren cada vez más a plataformas de datos en la nube como Snowflake para escalar, y obtener más rendimiento y flexibilidad.
Sin embargo, muchos equipos de seguridad empresarial asumen erróneamente que, como Snowflake es un sistema seguro, no necesitan tomar medidas para proteger sus datos en Snowflake. La realidad es que los datos en Snowflake son vulnerables si no se toman las medidas de seguridad adecuadas.
En 2024, una campaña a gran escala dirigida a los usuarios de Snowflake provocó brechas de datos en aproximadamente 165 empresas. En esta publicación, hablaremos del modelo de responsabilidad compartida y de cómo puede proteger sus datos sensibles en Snowflake para evitar brechas de datos.
Como la mayoría de las plataformas en la nube, Snowflake utiliza un modelo de responsabilidad compartida para la seguridad de los datos.
Snowflake mantiene una seguridad robusta para la plataforma subyacente, incluida la seguridad de la infraestructura, el cifrado de datos en reposo y en tránsito, y proporciona los mecanismos para el control de acceso. Sin embargo, es responsabilidad de los clientes utilizar los controles de acceso de Snowflake y otras herramientas para asegurarse de que:
Modelo tradicional de responsabilidad compartida
Snowflake proporciona funciones nativas de gobernanza y seguridad de datos, como el control de acceso basado en roles, la supervisión del uso, la seguridad a nivel de columna y fila, y las políticas de red. También admite inicio de sesión único (SSO) y autenticación multifactor (MFA).
Sin embargo, las organizaciones con entornos complejos en Snowflake tienen dificultades para proteger sus datos en la plataforma cuando utilizan únicamente estas capacidades nativas por estos motivos:
Las organizaciones se ven obligadas a crear procesos de seguridad ad hoc o a aceptar la falta de visibilidad sobre dónde se encuentran sus datos confidenciales, el acceso excesivamente amplio de los usuarios y la incapacidad de detectar la actividad maliciosa, como amenazas internas y credenciales comprometidas.
Snowflake carece de capacidades robustas y nativas de clasificación de datos para descubrir y clasificar automáticamente información sensible. Los administradores deben confiar en las etiquetas y comentarios de Snowflake para clasificar y etiquetar manualmente las bases de datos, esquemas, tablas y columnas.
Estos procesos manuales se vuelven completamente imprácticos incluso para entornos de Snowflake de tamaño mediano.
En Snowflake, los roles definen tanto el conjunto de objetos a los que un usuario puede acceder como el conjunto de privilegios (Creación, Lectura, Actualización, Eliminación) que los usuarios tienen para cada objeto.
Se pueden asignar roles a los usuarios, así como a otros roles, creando cadenas de herencia con permisos que se propagan hacia abajo. Un usuario obtiene los permisos de los roles que se le asignaron, así como todos los permisos de todos los roles otorgados a los roles que se asignaron al usuario.
Los aspectos más desafiantes de los controles de acceso a Snowflake son:
Consecuencia no deseada: Nuestro analista de datos ahora tiene acceso a datos de PII que nunca solicitó y probablemente ni siquiera sabe que existen.
Este escenario no es teórico: ocurre todo el tiempo en grandes empresas donde las estructuras de roles evolucionan de manera orgánica con el tiempo. El equipo de marketing simplemente estaba tratando de habilitar campañas más efectivas, sin intenciones maliciosas ni conciencia de las implicaciones de seguridad.
Sin embargo, el resultado es una clara violación de los principios de privilegios mínimos que la organización es responsable de mantener bajo el modelo de responsabilidad compartida. Además, podría constituir una violación del GDPR y otras regulaciones de privacidad de datos, lo que podría someter a la empresa a multas y daños a la reputación.
A medida que las organizaciones adoptan el aprendizaje automático y la IA, el exceso de permisos se convierte en una amenaza inmediata en lugar de un riesgo potencial. Antes de la era de la IA, era posible que un usuario con permisos excesivos nunca accediera a los datos confidenciales a los que no debería haber tenido acceso.
La mayoría de las personas suelen acceder solo a lo que necesitan para sus tareas inmediatas, y no utilizan los permisos excesivos. La IA hace que sea mucho más probable que el acceso con permisos excesivos lleve a la exposición:
En la era de la IA, la exposición de datos debido a permisos excesivos ya no es un riesgo, es una certeza. Si un sistema de IA puede acceder a datos confidenciales, lo hará: los procesará, los almacenará y los expondrá.
Por lo tanto, para las organizaciones que ejecutan sistemas de IA con datos en Snowflake, ocuparse de los usuarios con permisos excesivos es un imperativo urgente en lugar de un ejercicio de reducción de riesgo o cumplimiento de normas.
Si bien Snowflake ofrece amplias capacidades de registros que cubren consultas, historial de eventos de acceso a nivel de objeto e historial de inicio de sesión, es el cliente quien debe interpretar los datos de los registros para determinar qué es normal, qué es inusual y qué es malicioso. Sin embargo, esto es extremadamente difícil de hacer, especialmente en grandes implementaciones de Snowflake.
Hay tres desafíos clave:
Aunque los nombres de bases de datos, esquemas y tablas de Snowflake pueden indicar que contienen datos confidenciales, puede haber columnas, vistas y objetos de datos que no estén claramente etiquetados pero que contengan datos confidenciales o altamente regulados como PII, PHI o PCI.
Además, a medida que los canales de datos evolucionan y se ingieren nuevos conjuntos de datos, la información sensible puede aparecer en ubicaciones inesperadas. Esto significa que no puede confiar en los nombres de bases de datos, esquemas, tablas y columnas para identificar datos confidenciales, sino que debe encontrar una manera de escanear continuamente todo el entorno de Snowflake e identificar datos confidenciales tan pronto como ingresen a su instancia de Snowflake.
Debe poder identificar todos sus datos confidenciales en Snowflake, determinar quién puede acceder a ellos y establecer los permisos adecuados para que solo los usuarios que realmente necesitan acceder a un recurso en particular lo obtengan.
Sin embargo, dado que el modelo de acceso basado en roles de Snowflake crea cadenas de herencia complejas en las que los usuarios acumulan permisos a través de múltiples asignaciones de roles, la revisión manual y el establecimiento de los permisos efectivos adecuados de cada usuario en todas las rutas de herencia se vuelve imposible a medida que crece su implementación de Snowflake.
La mayoría de las brechas de datos involucran credenciales vulneradas o amenazas internas.
Las organizaciones deben tener una manera de analizar los patrones de comportamiento de los usuarios en Snowflake para asegurarse de que los derechos de acceso solo se utilicen con fines legítimos.
Esto es especialmente crítico en la era de la IA, donde los sistemas automatizados pueden acceder a grandes cantidades de datos de formas que difieren significativamente de los patrones normales de uso humano. Sin embargo, Snowflake no proporciona monitoreo nativo de actividad y solo ofrece logs de eventos sin procesar que llegan con un retraso de 45 minutos a 3 horas y se conservan solo hasta 90 días.
Varonis permite a los equipos de seguridad y a los administradores de datos identificar datos confidenciales, lograr y mantener el privilegio mínimo, y detectar y prevenir actividades no autorizadas en entornos de Snowflake.
Varonis ofrece a las organizaciones seguridad, visibilidad y control completos sobre los datos confidenciales en Snowflake, brindando las capacidades automatizadas necesarias para asegurar los datos de Snowflake a escala empresarial. Varonis ayuda a las organizaciones:
Varonis utiliza modelos avanzados de IA y coincidencia de patrones para descubrir y clasificar automáticamente datos confidenciales en todas las bases de datos, esquemas, tablas y columnas de Snowflake. Esto incluye datos estructurados que pueden no estar etiquetados de manera obvia como confidenciales, como campos personalizados, tablas derivadas, datos que se vuelven confidenciales cuando se combinan con otros conjuntos de datos, así como datos no estructurados como campos de texto libre y almacenes de archivos.
La clasificación de IA identifica tipos de datos novedosos, mientras que nuestra amplia biblioteca de más de 100 políticas de clasificación listas para usar identifica eficientemente PII, PHI, datos financieros y otra información regulada.
En lugar de requerir un análisis manual de estructuras de roles complejas, Varonis analiza automáticamente las complejas jerarquías de roles de Snowflake y determina los permisos efectivos para cada usuario en cada recurso de datos. Este enfoque automatizado permite a las organizaciones lograr y mantener el principio de privilegio mínimo, incluso en entornos complejos de Snowflake.
Varonis establece fundamentos de comportamientos para cada usuario y sistema que accede a Snowflake, al detectar patrones anormales que pueden indicar una violación, amenazas internas o sistemas de IA que acceden a los datos de manera inapropiada.
Por ejemplo, aunque es normal que un analista de datos ejecute informes de marketing regulares, es sospechoso si de repente accede a tablas de PII de clientes que nunca ha utilizado antes, especialmente si esto ocurre fuera del horario laboral habitual o implica extracciones de datos inusualmente grandes.
Varonis reduce drásticamente los falsos positivos al enfocar las alertas específicamente en las amenazas a los datos confidenciales y proporcionar un contexto enriquecido sobre lo que hace que cada actividad sea sospechosa.
Para proteger sus datos confidenciales en Snowflake, debe ser capaz de identificar dónde se encuentran, determinar quién puede acceder a ellos y detectar cómo se accede a ellos y cómo se los modifica.
Solo Varonis proporciona todas estas capacidades críticas en una sola plataforma, al abordar los desafíos clave de la identificación de datos confidenciales y la detección de acceso anormal con los que las herramientas nativas de Snowflake tienen dificultades.
Si le preocupan los riesgos potenciales en su entorno de Snowflake, una evaluacion de riesgo sobre los datos gratuita es el mejor primer paso. En menos de 24 horas, tendrá una visión integral basada en el riesgo de sus activos de datos más críticos y una hoja de ruta clara hacia la remediacion automatizada que fortalezca su postura de seguridad mientras se mantiene la productividad comercial.