¿Qué es un RLS? Row Level Security explicado fácil

Un RLS (del inglés Row Level Security, «seguridad a nivel de fila») es un mecanismo de las bases de datos que decide qué filas de una tabla puede ver o modificar cada usuario. Así, dos personas pueden consultar la misma tabla y recibir resultados distintos según sus permisos, sin que nadie tenga que filtrar la información a mano.

> Nota: «RLS» también son las siglas en inglés del síndrome de piernas inquietas (restless legs syndrome). Este artículo trata del RLS en seguridad de datos y software.

¿Qué significa RLS en una base de datos?

Una base de datos guarda la información en tablas, y cada fila es un registro: un cliente, una factura, un expediente, una cita. Lo habitual es controlar el acceso a nivel de tabla entera: o ves la tabla o no la ves.

Con RLS el control es más fino. La propia base de datos aplica reglas del tipo:

• Cada comercial ve solo los clientes de su cartera.
• Cada profesional ve solo las citas de su agenda.
• Cada responsable de centro ve únicamente los datos de su centro.
• Dirección ve todo.

La regla vive en la base de datos, no en la pantalla. Aunque alguien intente consultar los datos por otra vía, el filtro se sigue aplicando.

¿Cómo funciona un RLS paso a paso?

El funcionamiento, simplificado, es este:

• Se activa la protección sobre una tabla concreta (por ejemplo, la de clientes).
• Se definen políticas: condiciones que una fila debe cumplir para ser visible o editable por un usuario. Por ejemplo, «el campo responsable coincide con el usuario que consulta».
• Cada consulta se evalúa con la identidad de quien la lanza. La base de datos añade el filtro automáticamente y devuelve solo las filas permitidas.
• Se pueden separar acciones: una persona puede leer ciertas filas pero no modificarlas ni borrarlas.

El resultado es que la seguridad no depende de que cada programa o informe se acuerde de filtrar bien. Está en el origen del dato.

¿Para qué sirve el RLS en una empresa?

No hace falta ser técnico para entender su valor. El RLS responde a una pregunta de negocio muy simple: ¿quién debe ver qué?

Ejemplos de oficina real:

• Una gestoría: cada gestor accede a los expedientes de sus clientes, y los datos fiscales de otros clientes quedan fuera de su vista.
• Una clínica: el personal administrativo ve agenda y datos de contacto, pero no el historial que solo corresponde a un profesional.
• Una pyme industrial con varias plantas: cada jefe de planta ve su producción y sus costes, y dirección ve la consolidación.
• Un despacho: cada abogado trabaja con sus asuntos, y se evita que información sensible circule sin necesidad.

Beneficios habituales, en términos cualitativos:

• Menos riesgo de accesos indebidos por error o por curiosidad.
• Mejor encaje con el principio de minimización de datos del RGPD: cada persona accede solo a lo necesario para su trabajo.
• Menos filtros manuales y menos «versiones» de la misma información repartidas en Excel.

¿Qué diferencia hay entre RLS y los permisos normales?

Los permisos normales suelen funcionar por tabla o por aplicación: se concede o se niega el acceso a un módulo entero. El RLS trabaja por registro.

• Permisos por tabla: «el equipo comercial puede ver la tabla de clientes». Ven todos los clientes.
• RLS: «el equipo comercial puede ver la tabla de clientes, pero cada uno solo las filas que le pertenecen».

No se excluyen: lo habitual es combinarlos. Los roles definen qué áreas se usan, y el RLS afina qué datos concretos aparecen dentro de ellas.

¿Qué limitaciones y errores comunes tiene un RLS?

El RLS es potente, pero conviene usarlo con criterio:

• Mal diseño de las políticas: una regla demasiado permisiva anula la protección, y una demasiado estricta bloquea el trabajo diario.
• Falta de pruebas: hay que verificar con usuarios reales de cada perfil qué ven y qué no.
• Activarlo y olvidarlo: cuando cambian los puestos, los equipos o las estructuras, las reglas deben revisarse.
• Creer que sustituye a todo lo demás: no reemplaza el cifrado, las copias de seguridad, la gestión de contraseñas ni la formación del personal.

¿Por qué importa el RLS cuando usas inteligencia artificial en la empresa?

Aquí el concepto se vuelve especialmente relevante. Un asistente de IA con acceso a los datos de tu empresa es muy útil, pero plantea una duda legítima: si cualquiera puede preguntarle cualquier cosa, ¿qué impide que un empleado obtenga información que no le corresponde?

La respuesta correcta es que la IA debe respetar los mismos límites que la persona que le pregunta. Si un empleado no puede ver las nóminas, su copiloto tampoco debería poder contárselas, por mucho que se lo pida en lenguaje natural.

Ese es el principio que hay detrás del RLS —que cada persona acceda solo a lo que su puesto requiere— y es el criterio que conviene exigir a cualquier herramienta de IA corporativa. En PAOSBrain partimos de esa idea: un sistema operativo de IA que reúne la información dispersa de la empresa y la pone al servicio de cada equipo, pero con acceso adaptado a cada rol, para que el copiloto ayude sin abrir de más la puerta.

Al evaluar una plataforma, merece la pena preguntar:

• ¿El asistente hereda los permisos de cada usuario o trabaja con acceso global?
• ¿Puedo definir qué ve cada puesto, equipo o centro?
• ¿Dónde se almacenan los datos y quién puede acceder a ellos?
• ¿Queda registro de quién consulta qué?

¿Necesito saber programar para aplicar un RLS?

Para configurarlo directamente en una base de datos, sí: se escriben políticas en lenguaje técnico y se prueban con cuidado. Pero como responsable de negocio no necesitas hacerlo tú. Lo importante es que definas las reglas del negocio (quién debe ver qué) y que el software, o el equipo técnico, las traduzca en controles reales.

Un buen ejercicio de partida es hacer una tabla sencilla con tres columnas: tipo de dato, quién necesita verlo y quién no. Con eso ya tienes la base para cualquier configuración de permisos, con o sin IA.

En resumen

Un RLS es una forma de que la seguridad viaje con el dato: cada usuario ve solo las filas que le corresponden. Aplicado bien, reduce riesgos y facilita cumplir el RGPD. Y cuando incorporas IA a tu empresa, deja de ser un detalle técnico para convertirse en una condición básica: un copiloto que conoce tu negocio, pero que respeta quién es cada persona y qué le toca ver. Es algo que ya se puede tener funcionando en tu empresa.

Powered by PAOSBrain