Row Level Security: qué es y cómo proteger tus datos

Row Level Security (seguridad a nivel de fila, o RLS) es una función de las bases de datos que controla qué filas concretas de una tabla puede ver o modificar cada usuario, según reglas definidas una sola vez en la propia base de datos. En lugar de confiar en que cada aplicación filtre bien la información, la base de datos aplica la regla siempre, sin excepciones. Es una de las formas más sólidas de que cada persona vea solo lo que le corresponde.

¿Qué es Row Level Security explicado sin tecnicismos?

Imagina un archivador con todas las fichas de clientes de una gestoría. Sin RLS, quien abre el archivador ve todas las fichas. Con RLS, cada empleado abre el mismo archivador, pero solo ve las fichas de sus clientes asignados. El archivador es el mismo; lo que cambia es lo que cada persona tiene permiso de ver.

En términos técnicos, una tabla (por ejemplo, "facturas") guarda muchas filas. Una política de RLS dice algo como: "un usuario solo puede leer las filas donde el campo responsable sea él mismo" o "donde el campo centro coincida con su centro de trabajo".

¿Cómo funciona la seguridad a nivel de fila?

El funcionamiento básico tiene tres piezas:

• Identidad: la base de datos sabe quién hace la consulta (un empleado, un rol, un departamento).
• Política: una regla asociada a la tabla que decide qué filas son visibles o editables para esa identidad.
• Aplicación automática: cada consulta se filtra con esa regla antes de devolver resultados, aunque quien consulta pida "todo".

Sistemas como PostgreSQL, SQL Server u Oracle incluyen mecanismos de este tipo, y plataformas construidas sobre ellos, como Supabase, lo exponen de forma sencilla. Las políticas pueden separar lectura, inserción, modificación y borrado.

¿Por qué importa RLS en una empresa?

La información sensible rara vez debe estar abierta a todos. Algunos ejemplos reales de oficina:

• Una clínica: cada profesional accede a sus pacientes, no a los de todo el centro.
• Una pyme con varias sedes: cada responsable ve los datos económicos de su sede, y dirección ve el conjunto.
• Un despacho: cada equipo ve los expedientes de sus clientes y no los de otros equipos.
• Recursos humanos: un empleado ve su nómina y sus vacaciones, pero no las de sus compañeros.

Además, ayuda a cumplir principios del RGPD como la minimización de datos y la limitación de acceso: solo accede quien necesita acceder.

¿Qué ventajas tiene frente a filtrar en la aplicación?

Filtrar en cada pantalla o programa funciona hasta que alguien olvida un filtro. RLS reduce ese riesgo:

• Una sola fuente de verdad: la regla vive en la base de datos y no se duplica en cada herramienta.
• Menos errores humanos: un fallo en la aplicación no abre automáticamente todos los datos.
• Mejor auditoría: es más fácil revisar y demostrar quién puede ver qué.
• Coherencia: la misma regla vale para la web, el móvil, los informes o las automatizaciones.

¿Qué limitaciones tiene Row Level Security?

No es una solución mágica. Conviene tenerlo claro:

• Las políticas mal diseñadas pueden dejar huecos o bloquear a usuarios legítimos.
• Aplicarlas a tablas muy grandes puede afectar al rendimiento si no se diseñan con cuidado.
• Protege las filas, pero no sustituye al cifrado, las copias de seguridad ni la gestión de contraseñas.
• Requiere probar las reglas con distintos perfiles antes de ponerlas en producción.

¿Qué relación tiene RLS con la inteligencia artificial en la empresa?

Aquí está el punto que más se pasa por alto. Cuando conectas un asistente de IA a los datos de tu empresa, la pregunta clave es: ¿qué datos puede ver la IA cuando responde a cada persona? Si el asistente accede a todo con un acceso único, un empleado podría obtener, preguntando en lenguaje natural, información que no debería ver.

La respuesta correcta es que la IA herede los permisos de quien pregunta. Si María, de administración, consulta al asistente, este solo debe trabajar con lo que María puede ver. Mecanismos como RLS en la capa de datos son una forma robusta de lograrlo, porque el límite no depende de que la IA "se porte bien", sino de que la base de datos no entrega lo que no corresponde.

En PAOSBrain esta idea es central: el copiloto de IA trabaja sobre los datos propios de la organización y cada persona accede según su puesto, de modo que ordenar la información y automatizar tareas no signifique abrirla a todo el mundo.

¿Cómo empezar a aplicar este enfoque en tu empresa?

Un método sencillo, sin ser técnico:

• Mapea tus datos sensibles: clientes, pacientes, nóminas, contratos, económicos.
• Define roles: quién necesita ver qué y por qué (dirección, administración, responsables de sede, equipo).
• Escribe las reglas en lenguaje de negocio: "cada responsable ve su sede". Después se traducen a políticas técnicas.
• Prueba con usuarios reales: comprueba que cada perfil ve lo justo, ni más ni menos.
• Revisa periódicamente: cuando cambia el equipo o la estructura, cambian los permisos.

Para cerrar

Row Level Security no es solo un detalle de programadores: es lo que permite que una empresa comparta una base de datos común sin que todo el mundo lo vea todo. Y cuando se suma la IA, pasa a ser una condición para usarla con confianza. Tener un asistente que conoce tu empresa y respeta los permisos de cada persona ya es posible en tu organización.

Powered by PAOSBrain