La RLS es un método de control de acceso a los datos diseñado para restringir qué filas puede recuperar un usuario, un rol o un grupo de una tabla de base de datos en función de condiciones vinculadas a la identidad, el rol o los atributos contextuales del solicitante. A diferencia de los permisos a nivel de tabla, la RLS ayuda a aplicar límites de acceso a nivel de registro individual, lo que permite que diferentes usuarios que consultan la misma tabla reciban distintos subconjuntos de filas en función de su autorización. Puede ser una capacidad fundamental para el aislamiento de datos en plataformas compartidas, entornos multitenant y cargas de trabajo con datos regulados.

La seguridad a nivel de fila está diseñada para restringir qué registros puede recuperar un usuario de una tabla, filtrando los resultados en función de la identidad o el rol. La seguridad a nivel de columna (enmascaramiento de datos) ayuda a restringir qué campos de esos registros puede ver el usuario, ocultando o censurando los valores confidenciales para los usuarios no autorizados. Ambos mecanismos son complementarios: la RLS ayuda a controlar el acceso a nivel de registro, mientras que la seguridad a nivel de columna ayuda a controlar la visibilidad a nivel de campo dentro de los registros a los que el usuario tiene permiso de acceso. Muchas organizaciones aplican ambos simultáneamente para lograr una protección de datos por capas en entornos regulados.

Snowflake proporciona RLS a través de las políticas de acceso a filas (RAP), objetos a nivel de esquema disponibles en la Enterprise Edition o superior. Cada RAP define una expresión booleana; en el momento de la consulta, Snowflake envuelve el objeto protegido en una vista segura dinámica, evalúa el cuerpo de la política y devuelve únicamente las filas en las que la expresión es TRUE. Las RAP se ejecutan con el rol del propietario de la política, no con el del usuario que realiza la consulta, lo que ayuda a evitar la escalada de privilegios. Las RAP son reutilizables en varias tablas y se combinan con el enmascaramiento dinámico de datos para ofrecer protección simultánea a nivel de fila y de columna en la misma tabla.

Los mecanismos nativos de RLS suelen ser eficaces dentro de sus respectivas plataformas, pero pueden generar fragmentación de políticas en entornos con múltiples almacenes de datos. Cada almacén de datos requiere su propia configuración y mantenimiento de políticas. Los enfoques basados en vistas seguras conllevan penalizaciones en la optimización de las consultas. Las asignaciones de roles a las filas deben mantenerse sincronizadas con los cambios del proveedor de identidades. En entornos con múltiples almacenes de datos o un gran número de roles, el RLS nativo puede resultar operativamente complejo de mantener de forma coherente en toda la pila de datos.

Las capacidades de seguridad de datos e IA de Commvault ayudan a aplicar el RLS de forma centralizada en múltiples almacenes de datos —incluidos los almacenes de datos en la nube, las bases de datos locales y los lagos de datos— desde una única capa de políticas. Las políticas a nivel de fila utilizan atributos de identidad de proveedores de identidad conectados, como Okta, lo que permite tomar decisiones de acceso dinámicas y basadas en atributos sin necesidad de sincronizar los roles de la base de datos. Las políticas se aplican de forma coherente en todas las plataformas de datos del entorno, con registro de auditoría de los eventos de acceso y clasificación automática para ayudar a identificar qué filas contienen datos sensibles.

El RGPD, la HIPAA, la CCPA y la norma PCI DSS exigen controles demostrables sobre qué usuarios pueden acceder a registros personales, sanitarios y financieros. El RLS está diseñado para respaldar directamente el cumplimiento normativo, ya que ayuda a hacer cumplir los límites de acceso en el momento de la consulta, de modo que los usuarios no autorizados no reciban registros a los que no deberían acceder, de forma automática y sin depender de filtros de consulta aplicados por el usuario. Los registros de auditoría exhaustivos de los eventos de acceso ayudan a identificar quién consultó qué datos y cuándo, lo que contribuye a proporcionar las pruebas que requieren los auditores y a reducir el esfuerzo que supone la elaboración de informes de cumplimiento.