Antes de conectar una herramienta de BI autohospedada a una base de datos: lista de verificación de mínimo privilegio

Empieza por trazar la conexión

Esta es una lista general de planificación, no una descripción de los controles disponibles en todas las aplicaciones de BI o bases de datos. Consulta la documentación de los productos, las versiones y el método de conexión que tienes previsto utilizar.

Antes de configurar la conexión, registra qué aplicación de BI se conectará, qué cuenta de base de datos utilizará, cómo llegará a la base de datos y quién podrá abrir las preguntas o los paneles guardados. Considera por separado los permisos de la aplicación y los de la base de datos.

• Indica la instancia de BI y las bases de datos a las que se conectará.
• Registra quién puede iniciar sesión, crear o editar informes y ver paneles compartidos.
• Identifica dónde se almacenan las credenciales y quién puede modificarlas.
• Esboza la ruta de red y anota qué sistemas o equipos administra cada parte.

Distingue los roles de la aplicación de los permisos de la base de datos

Consulta la documentación de tu aplicación de BI y verifica qué pueden hacer las cuentas que planeas usar. Por separado, confirma qué permisos tiene la cuenta de base de datos configurada para la conexión.

Incluye las preguntas guardadas, los paneles, las exportaciones o las consultas programadas que formen parte de tu plan. No des por sentado que un rol de la aplicación determina los permisos otorgados en la base de datos.

• Enumera los roles de la aplicación y las acciones que esperas permitir a cada uno.
• Documenta los privilegios de la cuenta de conexión de BI.
• Prueba los informes y métodos de uso compartido previstos con cuentas representativas.
• Anota las cuestiones que no puedas verificar.

Crea una cuenta de base de datos para BI con un alcance limitado

Utiliza una cuenta dedicada para la conexión de BI, en lugar de conectarte como root o usar una cuenta con acceso de escritura. Una [guía de Basedash para crear paneles a partir de datos de MySQL](https://www.basedash.com/blog/how-to-build-dashboards-on-mysql-data) recomienda un usuario dedicado de solo lectura con privilegios mínimos.

Define el alcance de lectura que necesita tu equipo y consulta la documentación de la base de datos sobre las opciones disponibles. Si no tienes claro qué permisos se aplican, pide a un administrador de bases de datos que los revise; no presupongas que la aplicación de BI establece esos límites.

• Crea una cuenta independiente para la conexión de BI.
• Prefiere los privilegios de solo lectura para los informes habituales.
• Limita el acceso a los datos de informes que el equipo haya aprobado, según las opciones documentadas para tu base de datos.
• Pide a un administrador de bases de datos que revise los permisos efectivos.

Decide cómo gestionar los campos y las filas sensibles

Identifica los campos y registros que no deberían estar ampliamente disponibles a través de los análisis, utilizando las políticas de tu organización para determinar qué es sensible. Esta lista no prescribe ninguna norma legal o regulatoria concreta.

Para cada elemento, documenta si el diseño previsto lo excluirá, lo presentará de forma reducida o aplicará otras restricciones que tus sistemas admitan. Si necesitas limitar el acceso por fila, consulta dónde puede configurarse y comprueba el resultado en la conexión de BI que utilizarás.

• Enumera los campos sensibles y los grupos de registros antes de crear informes.
• Decide qué elementos excluir, reducir o restringir a usuarios específicos, según las opciones que hayas verificado.
• Prueba las restricciones en el punto donde se pretende aplicarlas.
• Revisa informes, exportaciones y paneles compartidos para comprobar que reflejen el diseño previsto.

Evalúa las consultas antes del uso habitual

Incluye en tu revisión el posible impacto de los informes sobre el sistema de origen. El acceso de solo lectura, por sí solo, no responde a las preguntas sobre las consecuencias de ejecutar informes en tu entorno.

Define qué informes y patrones de actualización esperas utilizar, y consulta la documentación de la aplicación de BI y la base de datos sobre los controles pertinentes. Si tienes dudas sobre el impacto, acuerda con la persona responsable de la base de datos cómo probar casos representativos antes del uso habitual.

• Identifica los informes que podrían analizar o agregar grandes cantidades de datos.
• Anota la frecuencia de actualización prevista y el posible uso simultáneo.
• Registra qué controles de consultas has podido verificar y qué cuestiones siguen pendientes.

Planifica los cambios de credenciales y la titularidad

Registra quién es responsable de la conexión de BI y quién está autorizado a cambiar sus credenciales. Anota qué informes o tareas programadas dependen de la conexión, si corresponde.

Documenta el procedimiento para cambiar o revocar las credenciales. Consulta la documentación de la aplicación para saber qué debes tener en cuenta y prueba la conexión y los informes importantes después de cualquier cambio.

• Asigna una persona responsable de la conexión y otra de los permisos de la base de datos.
• Registra el propósito, el alcance y el procedimiento de cambio de las credenciales, sin guardar su secreto en la lista de verificación.
• Identifica los paneles y las consultas programadas que dependan de la conexión, si los hay.

Utiliza una matriz de pruebas previa al lanzamiento

Una conexión satisfactoria no responde por sí sola a todas las preguntas de acceso y visibilidad. Usa la matriz siguiente para registrar las comprobaciones pertinentes para tu diseño y distinguir los resultados verificados de las cuestiones pendientes.

Si no puedes confirmar una restricción importante, reconsidera el alcance de los datos o el diseño antes de habilitar la conexión para el público previsto.

• Lectura permitida: confirma que la conexión puede acceder a los datos de informes aprobados.
• Lectura denegada: cuando corresponda, comprueba que no puede acceder a datos fuera del alcance aprobado.
• Acceso de usuarios: prueba cuentas representativas con los informes que deberían y no deberían poder ver.
• Datos sensibles: revisa que los informes probados se ajusten a las restricciones definidas.
• Consultas: registra las comprobaciones realizadas para los informes y las actualizaciones previstos.
• Cambios de credenciales: prueba el procedimiento documentado para cambiarlas o revocarlas.
• Anota la fecha de la prueba, la persona responsable, el resultado y las preguntas pendientes.

Trata el alojamiento y la gobernanza de datos como decisiones independientes

Una implementación gestionada puede reducir el trabajo necesario para operar la infraestructura de la aplicación, pero no determina qué registros de la base de datos debería leer la conexión de BI ni quién debería ver los resultados. El equipo debe definir y revisar esas decisiones de acceso y gobernanza.

Airbip ofrece implementaciones gestionadas para las aplicaciones de su catálogo público, con instancias que se ejecutan como cargas de trabajo de Docker en servidores en la nube de Airbip. Automatiza el enrutamiento y los certificados TLS e incluye comprobaciones de DNS, gestión del ciclo de vida de los servicios y copias de seguridad diarias, semanales y mensuales configurables. Estas capacidades de infraestructura no sustituyen el diseño de permisos mínimos en la base de datos ni la verificación de los controles de la aplicación de BI elegida.