Es importante tener una
estrategia global que se adapte fácilmente a este panorama regulatorio en
constante cambio.
El hecho de que existan más y más
regulaciones de seguridad se puede explicar, en parte, por el aumento en las
brechas de datos y los incidentes de seguridad cibernética. Ya sea que
impliquen espionaje, crimen organizado o delitos relacionados con información
privilegiada, los cibercriminales están obteniendo beneficios ilícitos de los
mal diseñados sistemas de tecnología de la información. Esto finalmente
pone en peligro el libre flujo de información, que es una de las claves para
una economía y una sociedad prósperas.
GDPR promueve el uso de mejores
prácticas y conceptos de seguridad bien establecidos. GDPR requiere
"controladores" (como un cliente contratando servicios) y
"procesadores" (como proveedores de servicios en la nube) para
adoptar medidas de seguridad adecuadas diseñadas para garantizar un nivel de
seguridad apropiado al nivel de riesgo que pueda afectar los derechos y
libertades de los individuos cuyos datos está siendo recopilados y utilizados
por el controlador ("sujetos de datos"). La ley entonces insiste en
el análisis de riesgos y la implementación de medidas de seguridad (también
conocidas como controles de seguridad) para abordar esos riesgos.
Oracle tiene una larga historia y
un historial comprobado de seguridad de datos y sistemas. La seguridad de
Oracle incluye un conjunto completo de soluciones híbridas en la nube, desde el
chip hasta las aplicaciones, que ayudan a prevenir, detectar, responder y
predecir amenazas de seguridad; también puede ayudar a abordar regulaciones
como el GDPR.
Los beneficios de implementar
estratégicamente la tecnología correcta, con controles de seguridad efectivos,
pueden ayudar:
En última instancia, la implementación
de una seguridad efectiva ofrecerá a las organizaciones la oportunidad de
mejorar su seguridad de TI y su organización de seguridad de TI.
Con 99 artículos y 173
considerandos, GDPR incluye algunos requisitos clave que afectan directamente
la forma en que las organizaciones implementan la seguridad de TI.
La protección de las personas
cuyos datos personales se recopilan y procesan es un derecho fundamental que
necesariamente incorpora la seguridad de TI. En la sociedad moderna, los
sistemas de TI son omnipresentes y los requisitos de GDPR requieren una buena
seguridad de TI.
En particular, para proteger los datos personales, es necesario, lo siguiente:
- Sepa dónde residen
los datos (inventario de datos)
- Revise y,
cuando sea necesario, modifique las aplicaciones existentes (modificación de la
aplicación)
- Integrar la
seguridad en la arquitectura de TI (integración de arquitectura)
- Comprender la exposición al riesgo (conciencia del riesgo)
En la siguiente tabla destaca los
artículos de GDPR más relevantes que hablan sobre seguridad de TI:
Categoría Seguridad
|
Referencia a artículo del la GDPR
|
Conciencia
del riesgo
|
Art.
35 Evaluación de impacto de la protección de datos Solicitud
|
Inventario
de datos
|
Art.
30 Registros de procesamiento
|
Modificación
de la aplicación
|
Art.
15 Derecho de acceso del interesado
Art. 16 Derecho a la rectificación
Art. 17 Derecho a borrado ('derecho al olvido')
Art. 18 Derecho a la restricción del procesamiento
Art. 19 Obligación de notificación con respecto a la rectificación o borrado
de
datos personales o restricción del procesamiento
Art. 20 Derecho a la portabilidad de datos
|
Arquitectura
de integración
|
Art.
5 Principios relacionados con el
procesamiento de datos personales
Art. 24 Responsabilidad del controlador
Art. 25 Protección de datos por diseño y por defecto
Art. 28 Procesador
Art. 32 Seguridad del procesamiento
Art. 34 Comunicación de una violación de datos personales al sujeto de los
datos
|
La creación y mantenimiento de un
inventario de datos es un requisito en virtud del artículo 30 (registros de
procesamiento) del GDPR, y más generalmente, también el punto de partida de
cualquier actividad relacionada con la recopilación y el manejo de datos
personales.
La mitigación de riesgos es una
parte importante de la buena seguridad de TI. Las organizaciones deben mitigar
los riesgos que pueden conducir a una violación de datos personales y deben
considerar ejecutar una evaluación de seguridad y riesgo.
Para ciertos derechos del
sujeto de los datos (artículos 15 a 20), es posible que deba implementar cambios que
habiliten estos derechos (por ejemplo, "derecho al olvido"). Debido a
que los cambios se implementan dentro de aplicaciones específicas que pueden
contener información de los sujetos de datos, es necesario conocer el modelo de
datos específico y la lógica de negocios para ejecutar la función solicitada.
Se pueden implementar medidas
adicionales dentro de la arquitectura. Por ejemplo, este es el caso del cifrado
de red o cifrado base de datos. Las medidas que es posible implementar en la
arquitectura son normalmente más sencillas y menos costosas que las
modificaciones de la aplicación, y en general son más sólidas porque no están
limitadas por la necesidad de conocer los modelos de datos de la aplicación y
la lógica empresarial. En las multinacionales (si, las que estamos pensando todos), donde a menudo ocurre una "profunda" estratificación del sistema de TI y falta de conocimiento de la
aplicación, este puede ser un enfoque más fácil para ayudar a proteger los
datos personales.
Oracle Security Solutions y GDPR
El
siguiente diagrama proporciona una representación de alto nivel del marco de
soluciones de seguridad de Oracle, que incluye una amplia gama de productos y
servicios en la nube.
Descubrimiento. Productos locales y servicios en la nube que pueden ayudar a descubrir datos personales y flujos de datos de mapas. Esta la tecnología incluye la disciplina del gobierno de datos y proporciona capacidades tales como el linaje de datos, el activo
inventario y descubrimiento de datos.
Enriquecimiento. El enriquecimiento incluye modificaciones de la aplicación que pueden ser necesarias para cumplir con los derechos de los datos
sujeto (Art. 15-20). Además, puede ser necesario consolidar los datos del cliente para obtener una vista única de los datos sujetos en toda la organización.
Fundamento. El conjunto completo de tecnologías operacionales maduras que forman parte del ADN de Oracle para habilitar buena seguridad de TI con énfasis en la disponibilidad y el rendimiento de los servicios. Esto incluye la nube híbrida soluciones desde arquitectura de máxima disponibilidad y sistemas diseñados hasta sistemas operativos y procesadores. Estas soluciones pueden ayudar a abordar la "disponibilidad y resistencia de los sistemas y servicios de procesamiento; y la capacidad de
restablecer la disponibilidad y el acceso a los datos personales de manera oportuna en el caso de una falla física o técnica incidente "(Art. 32).
Realización. Las tecnologías en la nube híbrida de Oracle que imponen políticas de seguridad y controles que protegen a las personas, software y sistemas. Esto abarca productos y servicios que brindan información predictiva, preventiva, detectivesca y controles de seguridad receptivos a través de la seguridad de la base de datos, gestión de identidad y acceso, monitoreo, administración, y análisis de comportamiento del usuario.
Soluciones de seguridad
(aplicación)
Los controladores y procesadores
de datos deben implementar medidas de seguridad adecuadas diseñadas para
garantizar que el nivel de seguridad sea apropiado para los riesgos asociados
con los datos que se procesan, como se describe en el artículo 32 GDPR
("seguridad del procesamiento").
El artículo 32 hace referencia a
la seudonimización y al cifrado como ejemplos de posibles medidas de seguridad
apropiadas. El GDPR finalmente deja la decisión y la responsabilidad a las
organizaciones responsables de implementar un marco de seguridad para elegir
las medidas apropiadas que garanticen la confidencialidad, la integridad, la
disponibilidad y la capacidad de recuperación de datos y sistemas. Una idea
errónea común, a menudo dispersada por los proveedores de seguridad, es que el
GDPR enumera las tecnologías específicas que se aplicarán. En realidad, el GDPR
responsabiliza al controlador y al controlador y requiere que consideren los
riesgos asociados con los datos que manejan y adopten los controles de
seguridad adecuados para mitigar estos riesgos. Las organizaciones no
necesariamente abordan incluso los controles de seguridad más básicos que
incluyen, por ejemplo:
- Cifrar datos confidenciales en
reposo y en tránsito
- Sistemas de parches dentro de un
marco de tiempo razonable
- Recoge los registros del sistema
para encontrar actividad anómala
- Mantener el "privilegio
mínimo" o "separación de deberes" para cuentas privilegiadas
- Controlar el acceso a, o la
distribución de, credenciales de usuario de producción
- Máscaras de datos de producción
que se copian en entornos de desarrollo
La sección de aplicación del
marco de soluciones de Oracle incluye cuatro grupos que abarcan medidas de
seguridad básicas que las organizaciones deberían considerar implementar.
Protege los datos. La implementación del cifrado para datos en reposo y en movimiento es uno de los primeros pasos más comunes para la protección de datos, ya que es relativamente simple y eficaz. La encriptación a menudo se implementa porque está diseñada para evitar el acceso no autorizado, es transparente para las aplicaciones y los usuarios, proporciona un fuerte control preventivo y las soluciones modernas suelen experimentar un impacto de bajo rendimiento. Las tecnologías adicionales de protección de datos incluyen la gestión de claves de cifrado, la redacción de datos de capa de aplicación y el enmascaramiento de datos de producción sensibles para su uso en entornos no productivos con fines de prueba y desarrollo.
Controles de acceso. El cifrado de datos sin controles de seguridad que determinan quién tiene acceso autorizado no tiene sentido. Por lo tanto, es necesario implementar tecnología de acceso y gestión de identidades tanto para los usuarios de la aplicación como para el personal de TI, incluidos los administradores del sistema.
Monitorear, bloquear y auditar. Con las amenazas de seguridad innovadoras de hoy en día, es fundamental implementar una supervisión inteligente y automatizada de incidentes de seguridad y rendimiento. Los componentes y aplicaciones de software producen registros y pistas de auditoría. Para mitigar las infracciones de datos, es fundamental recopilar y analizar feeds y registros de amenazas internas y externas para detectar y mitigar las amenazas.
Configuraciones seguras. Para una seguridad de seguridad adecuada, el software debe actualizarse, configurarse correctamente y parchearse regularmente. La gestión de configuración segura se requiere cada vez más como parte de las mejores prácticas internacionales porque los ciberdelincuentes a menudo aprovechan las vulnerabilidades del software no parcheado para robar datos confidenciales
.
Estos cuatro requisitos de seguridad forman parte de muchos requisitos normativos globales y de las mejores prácticas de seguridad conocidas:
- ISO 27000
- NIST 800-53
- PCI-DSS 3.2
- OWASP
Productos de seguridad de Oracle que pueden ayudar a la dirección GDPR
Oracle ofrece productos de seguridad en las instalaciones y en la nube para entornos de nube híbrida que están diseñados para ayudar a proteger los datos, administrar las identidades de los usuarios y supervisar y auditar los entornos de TI. La siguiente tabla proporciona una descripción breve del producto organizada por el tipo de medida de seguridad. Cada producto ofrece más funcionalidades que las descritas, por lo que debe consultar con su representante de ventas de Oracle para obtener más detalles.
