La globalización y los rápidos avances tecnológicos -desde la computación cloud a los servicios de localización, pasando por las redes sociales- han provocado un aumento significativo de la magnitud de los datos personales que las empresas privadas y las autoridades públicas recopilan y comparten.
Estas tendencias son los principales impulsores del GDPR, que entrará en vigor el 25 de mayo de 2018 y sustituirá a la Directiva de Protección de Datos de la UE promulgada en 1995. El RGPD moderniza las normas de protección de datos de la UE y establece una legislación única y armonizada de la UE, en sustitución del mosaico de leyes nacionales actualmente en vigor en los 28 países miembros de la UE.
Según el Departamento de Justicia y Consumidores de la Comisión Europea, se calcula que el RGPD reportará 2 300 millones de euros anuales en beneficios económicos al reducir la complejidad jurídica y facilitar a las empresas la expansión de sus operaciones en toda la UE.
El RGPD se aplicará a nivel local, y cada Estado miembro de la UE designará una autoridad de control de gestión. Su impacto también se dejará sentir más allá de las fronteras de la UE, ya que la legislación se aplica a cualquier organización que posea o procese datos de ciudadanos de la UE en relación con la oferta de bienes y servicios, o que supervise a personas dentro de la UE, independientemente de dónde tenga su sede dicha organización.
Vectra AI AI aumenta los equipos de ciberseguridad y proporciona capacidades técnicas clave necesarias para cumplir con el GDPR.
Visión general del GDPR: Principales características y ventajas
Entre las principales características del GDPR se incluyen:
- Los datos personales de los residentes en la UE están protegidos, independientemente de dónde se envíen, traten o almacenen, incluso fuera de la UE. Por "datos personales" se entiende cualquier información relativa a una persona física identificada o identificable.
Una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o a uno o más factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física. - Las organizaciones deben obtener el consentimiento explícito e informado de una persona para recoger y tratar sus datos personales.
- Las personas tienen derecho a la portabilidad de sus datos de un proveedor a otro, a la supresión de sus datos personales y a oponerse a que sus datos se utilicen para la elaboración de perfiles.
- Las personas tienen derecho a saber cuándo sus datos han sido pirateados; en casos de alto riesgo (por ejemplo, cuando el robo de identidad es una preocupación), las empresas y organizaciones deben notificar a las personas una violación de datos en un plazo de 72 horas.
Una violación de datos personales es un fallo de seguridad que provoca la destrucción accidental o ilícita, la pérdida, la alteración, la difusión no autorizada o el acceso a datos personales transmitidos, almacenados o tratados de otro modo. - Según el principio de "ventanilla única", una empresa con filiales en varios Estados miembros de la UE sólo tendrá que tratar con la autoridad supervisora del país donde tenga su sede o su establecimiento principal.
- Cualquier organización, esté o no establecida en la UE, tendrá que aplicar la ley de protección de datos de la UE si quiere ofrecer bienes y servicios en la UE o controlar el comportamiento de los residentes en la UE.
- Los encargados y responsables del tratamiento sólo podrán transferir datos fuera de la UE si establecen las garantías adecuadas y si las personas tienen derechos y recursos legales exigibles.
El encargado del tratamiento es una persona física o jurídica, autoridad pública, agencia u otro organismo que trata datos personales por cuenta del responsable del tratamiento.
El responsable del tratamiento es la persona física o jurídica, autoridad pública, agencia u otro organismo que, solo o conjuntamente con otros, determina los fines y medios del tratamiento de datos personales. - Las autoridades supervisoras del GDPR tienen una serie de sanciones a su disposición, incluidas advertencias por escrito, auditorías y multas punitivas de hasta 20.000.000 de euros o el 4% de los ingresos anuales mundiales, lo que sea mayor. Las siguientes secciones destacan los aspectos de protección de datos y evaluación de impacto del GDPR y detallan cómo la plataforma de detección y respuesta a amenazas impulsada por IA de Vectra contribuye al cumplimiento del GDPR y ayuda a proteger los datos personales proporcionando vigilancia y detección de amenazas continua y automatizada en toda la red de una organización. Al automatizar la búsqueda de ciberatacantes ocultos dentro de las redes y permitir una respuesta más rápida a los incidentes para detener las amenazas activas, Vectra condensa semanas y meses de trabajo en minutos para que los equipos de seguridad puedan actuar con rapidez para evitar el robo o daño de datos.
Requisitos clave del GDPR en materia de protección de datos
El GDPR es un robusto conjunto de regulaciones que cubre derechos y responsabilidades, que incluyen un amplio requisito de que las organizaciones proporcionen "protección de datos por diseño y por defecto."
Es decir, se espera que las organizaciones integren la seguridad en sus operaciones y utilicen tecnologías y servicios que incorporen salvaguardias de protección de datos y ajustes por defecto que respeten la privacidad, como en las redes sociales o las aplicaciones móviles.
El GDPR ofrece sugerencias específicas sobre qué tipo de acciones de seguridad podrían considerarse adecuadas al riesgo, entre las que se incluyen:
- Cifrar los datos personales y/o hacerlos anónimos o utilizar un identificador numérico o de otro tipo como seudónimo del nombre de una persona.
- Garantizar la confidencialidad, integridad, disponibilidad y resistencia permanentes de los sistemas y servicios de procesamiento.
- Restablecer a tiempo la disponibilidad y el acceso a los datos personales en caso de incidente físico o técnico.
- Comprobar, valorar y evaluar periódicamente la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
Además, el RGPD exige la designación de un responsable de la protección de datos (RPD). La persona que desempeña esta función es responsable de la aplicación de la protección de datos, su cumplimiento y la elaboración de informes dentro de una organización. El RPD puede desempeñar otras tareas y funciones. Por ejemplo, un jefe de seguridad de la información también puede ser RPD.
Vectra AI ayuda a las organizaciones a abordar el GDPR
Cumplir con el GDPR requiere poner en marcha tecnologías y procesos adecuados. Vectra AI aumenta los equipos de ciberseguridad y proporciona las capacidades técnicas clave necesarias para cumplir con el GDPR.
Vectra AI respalda la protección de datos mediante la supervisión continua y sin interrupciones del tráfico de red, la detección de amenazas en tiempo real, el triaje y la notificación de incidentes. Gracias a la inteligencia artificial y al análisis del comportamiento de los atacantes, Vectra AI caza automáticamente las ciberamenazas activas en toda la red de la empresa, desde las cargas de trabajo de cloud y el centro de datos hasta los dispositivos de los usuarios y del IoT.
Vectra AI automatiza muchas de las tareas intensivas en mano de obra que suelen ser responsabilidad de los analistas de ciberseguridad de nivel 1 y de los equipos de respuesta a incidentes. Al automatizar estas tareas, Vectra AI reduce drásticamente el tiempo dedicado a la investigación de amenazas hasta en un 90%, lo que permite a los equipos de seguridad centrarse en la prevención y mitigación de la pérdida de datos. Las capacidades clave de la plataforma impulsada por Vectra AI de Vectra incluyen:
- Supervisión y análisis continuos de todo el tráfico de red, incluido el tráfico con destino a Internet y el tráfico de red interno entre hosts físicos y virtuales con una dirección IP -como portátiles, servidores, impresoras, BYOD y dispositivos IoT-, independientemente del tipo de dispositivo, sistema operativo o aplicación.
- La visibilidad en tiempo real del tráfico de red mediante la extracción de metadatos de los paquetes, en lugar de realizar una inspección profunda de los mismos, permite la protección sin husmear en información personal o sensible de la carga útil.
- Análisis de metadatos de paquetes capturados con algoritmos de detección de comportamientos que detectan atacantes ocultos y desconocidos, tanto si el tráfico está cifrado como si no.
- Identificación determinista de comportamientos de ataque, incluido el uso de troyanos de acceso remoto, túneles cifrados, comportamientos de botnet, ransomware, atacantes internos y amenazas avanzadas dirigidas.
Vectra AI rastrea de forma persistente las amenazas a lo largo del tiempo y en todas las fases de un ataque, desde el comando y control (C&C), el reconocimiento interno, el movimiento lateral y, de forma crítica para GDPR, los comportamientos de exfiltración de datos. - Correlación automática de amenazas con dispositivos host atacados y detalles de detección de amenazas que incluyen el contexto del host, capturas de paquetes, la gravedad de la amenaza y puntuaciones de certeza.
- Apoyo a la ciberseguridad adaptativa mediante un proceso iterativo de mejora que aprovecha el trabajo de los Vectra Threat Labs™, un grupo de investigadores de seguridad altamente cualificados, así como algoritmos de detección del comportamiento que aprenden constantemente del entorno local y de las tendencias globales.
Cómo Vectra AI cumple los requisitos clave del GDPR
La siguiente tabla detalla las diversas formas en que Vectra AI ayuda a las organizaciones a abordar elementos específicos de los requisitos del GDPR.
Vectra AI ayuda a hacer cumplir las normas de tratamiento de datos alertando al personal de ciberseguridad cuando los datos se transfieren entre las partes de una manera que viola o no es coherente con las prácticas establecidas.
Vectra AI permite al personal de seguridad ver lo que está burlando sus defensas mediante alertas sobre comportamientos precursores de amenazas.
Los equipos de seguridad reciben explicaciones concisas de cada detección, incluidos los posibles desencadenantes, las causas raíz, las repercusiones para la empresa y los pasos para verificarla.
Vectra AI supervisa constantemente la comunicación entre aplicaciones, herramientas y sistemas.
Protección de datos personales en el marco del GDPR con Vectra AI
La aplicación uniforme del RGPD en todos los Estados miembros de la UE debería facilitar a las organizaciones el establecimiento de regímenes de seguridad de los datos y procedimientos de notificación de infracciones. Es fundamental disponer de las herramientas y tecnologías adecuadas.
Por desgracia, la detección y respuesta a los ciberataques suele ser un asunto lento. Según el informe M-Trends 2016, se tarda una media de 146 días en detectar una brecha. Y el 53 % de ellas solo se descubren tras la notificación de una parte externa, según el informe.
La plataforma de detección y respuesta a amenazas Vectra AI reduce los procesos de notificación y respuesta a amenazas de semanas o días a minutos. Gracias a la inteligencia artificial, identifica las amenazas de forma proactiva y en tiempo real.
Al automatizar tareas intensivas en mano de obra que suelen ser responsabilidad de los analistas de ciberseguridad de nivel 1 y los equipos de respuesta a incidentes, Vectra AI reduce drásticamente el tiempo dedicado a la investigación de amenazas hasta en un 90%, lo que permite a los equipos de seguridad centrarse en la prevención y mitigación de la pérdida de datos.
Eficaz y económica, Vectra AI ofrece a los equipos de seguridad informática visibilidad en tiempo real de todo el tráfico de la red, detecta atacantes ocultos y desconocidos, y pone el contexto de los eventos de seguridad al alcance de su mano.
Al dar a los equipos de ciberseguridad la capacidad de identificar e intervenir contra las primeras etapas de un ataque, mucho antes de que se produzca una violación de datos, Vectra AI reduce el riesgo de violaciones de datos notificables GDPR.
Del mismo modo, estas mismas capacidades de detección y alerta Vectra AI contribuyen a la evaluación y forman parte de una arquitectura de ciberseguridad técnica adecuada que respalda el cumplimiento del GDPR.
Con la confianza de expertos y empresas de todo el mundo
Preguntas frecuentes
¿Cuáles son los principales componentes del cumplimiento del GDPR?
El cumplimiento del RGPD implica garantizar la protección de los datos personales mediante medidas como la obtención del consentimiento explícito, la portabilidad de los datos, la notificación de las infracciones en un plazo de 72 horas y la protección de datos desde el diseño. Las organizaciones deben nombrar a un responsable de la protección de datos (RPD), adherirse a los principios de minimización de datos y aplicar medidas técnicas y organizativas adecuadas para salvaguardar los datos personales.
¿Cuáles son las principales características del artículo 25 del RGPD?
El artículo 25 del RGPD hace hincapié en "la protección de datos desde el diseño y por defecto". Esto significa que las organizaciones deben integrar los principios de protección de datos en sus actividades de procesamiento desde el principio, garantizando que solo se procesen los datos personales necesarios. Medidas como la seudonimización y la minimización de datos son necesarias para proteger los derechos y libertades de los interesados.
¿Cuál es el proceso para notificar una violación de datos con arreglo al RGPD?
Con arreglo al RGPD, las violaciones de datos deben notificarse a la autoridad de control pertinente en un plazo de 72 horas a partir del momento en que se tenga conocimiento de la violación. La notificación debe incluir la naturaleza de la violación, los interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas para hacer frente a la violación. Si la violación supone un alto riesgo para las personas, también se les debe informar.
¿Cuáles son las sanciones por incumplimiento del RGPD?
Las sanciones por incumplimiento del RGPD pueden ser severas, incluidas multas de hasta 20 millones de euros o el 4 % del volumen de negocios global anual de una organización, la cifra que sea más alta. Otras sanciones incluyen advertencias, reprimendas y órdenes de ajustar las actividades de tratamiento a la normativa. La gravedad de la sanción depende de factores como la naturaleza, gravedad y duración de la infracción.
¿Qué papel desempeña un delegado de protección de datos (RPD) en el cumplimiento del RGPD?
Un RPD es responsable de supervisar la estrategia de protección de datos de una organización y garantizar el cumplimiento del RGPD. Esto incluye realizar evaluaciones de impacto de la protección de datos, formar al personal sobre los requisitos del RGPD, supervisar el cumplimiento y actuar como enlace con las autoridades de control. El RPD ayuda a integrar la protección de datos en todas las actividades de tratamiento y asesora sobre las obligaciones legales relacionadas.
¿Cómo ayuda Vectra AI en la detección de amenazas en tiempo real?
Vectra AI ayuda en la detección de amenazas en tiempo real mediante la monitorización continua del tráfico de red, utilizando inteligencia artificial y análisis de comportamiento para identificar y priorizar las amenazas. Esto incluye la detección de atacantes ocultos, movimientos inusuales de datos y señales de ciberataques. La plataforma de Vectra AI AI automatiza muchas tareas, reduciendo significativamente el tiempo necesario para la investigación de amenazas y permitiendo respuestas más rápidas.
¿Cómo afecta el RGPD a las organizaciones de fuera de la UE?
El RGPD afecta a las organizaciones de fuera de la UE si tratan datos personales de residentes en la UE en relación con la oferta de bienes o servicios o el control del comportamiento dentro de la UE. Las organizaciones no pertenecientes a la UE deben cumplir los estrictos requisitos de protección de datos del RGPD, incluida la designación de un representante en la UE, para evitar multas y sanciones sustanciales.
¿Cómo proteger los datos por diseño y por defecto?
La protección de datos desde el diseño implica incorporar medidas de protección de datos en el desarrollo de procesos y sistemas empresariales. Por defecto, sólo deben tratarse los datos personales necesarios para fines específicos. Esto incluye minimizar la recopilación de datos, restringir el acceso y utilizar técnicas como la seudonimización y el cifrado para salvaguardar los datos.
¿Cómo automatiza Vectra AI la detección de amenazas y la respuesta a las mismas?
Vectra AI automatiza la detección y respuesta ante amenazas aprovechando la IA para analizar continuamente el tráfico de red e identificar comportamientos maliciosos. La plataforma proporciona alertas en tiempo real, prioriza las amenazas y ofrece un contexto detallado para cada detección, lo que permite a los equipos de seguridad responder con rapidez y eficacia, reduciendo el tiempo y los recursos necesarios para las investigaciones manuales.
¿Cómo garantiza Vectra AI la privacidad de los datos mientras supervisa el tráfico de la red?
Vectra AI garantiza la privacidad de los datos analizando los metadatos del tráfico de red en lugar de inspeccionar el contenido de los paquetes de datos. Este enfoque permite una detección eficaz de las amenazas sin vulnerar la información personal o sensible. La plataforma de Vectra AI AI se centra en la identificación de patrones y comportamientos indicativos de ciberamenazas, manteniendo la privacidad al tiempo que se protege la red.