La globalizzazione e i rapidi sviluppi tecnologici - dal cloud computing ai servizi di localizzazione ai social network - hanno portato a un aumento significativo della portata dei dati personali che le aziende private e le autorità pubbliche raccolgono e condividono.
Queste tendenze sono i principali fattori alla base del GDPR, che entrerà in vigore il 25 maggio 2018, sostituendo la direttiva sulla protezione dei dati dell'UE emanata nel 1995. Il GDPR modernizza le norme dell'UE in materia di protezione dei dati e stabilisce un'unica legge europea armonizzata, che sostituisce il mosaico di leggi nazionali attualmente in vigore nei 28 Paesi membri dell'UE.
Secondo le stime del Dipartimento Giustizia e consumatori della Commissione europea, il GDPR produrrà benefici economici per 2,3 miliardi di euro all'anno grazie alla riduzione della complessità giuridica e alla maggiore facilità di espansione delle attività delle imprese in tutta l'UE.
Il GDPR sarà attuato a livello locale, con la nomina di un'autorità di controllo da parte di ogni Stato membro dell'UE. Il suo impatto si farà sentire anche al di fuori dei confini dell'UE, poiché la normativa si applica a qualsiasi organizzazione che detenga o elabori dati di cittadini dell'UE in relazione all'offerta di beni e servizi o che effettui il monitoraggio di individui all'interno dell'UE, indipendentemente dal luogo in cui ha sede l'organizzazione.
Vectra AI integra i team di cybersecurity e fornisce le principali capacità tecniche necessarie per conformarsi al GDPR.
Panoramica sul GDPR: Caratteristiche e vantaggi principali
Le caratteristiche principali del GDPR includono:
- I dati personali dei residenti nell'UE sono protetti, indipendentemente dal luogo in cui vengono inviati, elaborati o conservati, anche al di fuori dell'UE. Per "dati personali" si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile.
Per persona fisica identificabile si intende una persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più fattori specifici dell'identità fisica, fisiologica, genetica, mentale, economica, culturale o sociale di tale persona fisica. - Le organizzazioni devono ottenere il consenso esplicito e informato di un individuo per raccogliere ed elaborare i suoi dati personali.
- Le persone hanno il diritto alla portabilità dei dati da un fornitore a un altro, alla cancellazione dei propri dati personali e all'opposizione all'utilizzo dei propri dati a fini di profilazione.
- Le persone hanno il diritto di sapere se i loro dati sono stati violati; nei casi ad alto rischio (ad esempio, quando si teme il furto di identità), le aziende e le organizzazioni devono notificare alle persone una violazione dei dati entro 72 ore.
Una violazione dei dati personali è una violazione della sicurezza che comporta la distruzione accidentale o illegale, la perdita, l'alterazione, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, memorizzati o altrimenti trattati. - In base al principio dello "sportello unico", un'azienda con filiali in diversi Stati membri dell'UE dovrà trattare solo con l'autorità di vigilanza del Paese in cui ha la sede centrale o il suo stabilimento principale.
- Qualsiasi organizzazione, che abbia o meno sede nell'UE, dovrà applicare la legge sulla protezione dei dati dell'UE se vuole offrire beni e servizi nell'UE o monitorare il comportamento dei residenti nell'UE.
- Gli incaricati del trattamento e i responsabili del trattamento possono trasferire i dati al di fuori dell'UE solo se adottano garanzie adeguate e se le persone dispongono di diritti e mezzi di ricorso applicabili.
L'incaricato del trattamento è una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che tratta i dati personali per conto del responsabile del trattamento.
Il responsabile del trattamento è la persona fisica o giuridica, l'autorità pubblica, l'agenzia o altro organismo che, da solo o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali. - Le autorità di vigilanza del GDPR hanno a disposizione una serie di sanzioni, tra cui avvertimenti scritti, audit e multe punitive fino a un massimo di 20.000.000 di euro o del 4% del fatturato mondiale annuo. Le sezioni seguenti evidenziano gli aspetti relativi alla protezione dei dati e alla valutazione dell'impatto del GDPR e illustrano in dettaglio come la piattaforma di rilevamento e risposta alle minacce guidata dall'intelligenza artificiale di Vectra contribuisca alla conformità al GDPR e aiuti a proteggere i dati personali fornendo una sorveglianza e un rilevamento continui e automatizzati delle minacce nella rete di un'organizzazione. Automatizzando la caccia agli aggressori informatici nascosti all'interno delle reti e consentendo una risposta più rapida agli incidenti per bloccare le minacce attive, Vectra condensa settimane e mesi di lavoro in pochi minuti, consentendo ai team di sicurezza di agire rapidamente per prevenire il furto o il danneggiamento dei dati.
Requisiti chiave per la protezione dei dati GDPR
Il GDPR è un solido insieme di norme che copre diritti e responsabilità, tra cui un ampio requisito che impone alle organizzazioni di fornire "protezione dei dati per progettazione e per impostazione predefinita".
In altre parole, le organizzazioni devono progettare la sicurezza nelle loro operazioni e utilizzare tecnologie e servizi che abbiano salvaguardie integrate per la protezione dei dati e impostazioni predefinite favorevoli alla privacy, come ad esempio nei social network o nelle applicazioni mobili.
Il GDPR fornisce suggerimenti specifici su quali tipi di azioni di sicurezza potrebbero essere considerate adeguate al rischio, tra cui:
- Criptare i dati personali e/o renderli anonimi o utilizzare un codice numerico o un altro identificativo come pseudonimo per il nome di una persona.
- Garantire la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di elaborazione.
- Ripristinare tempestivamente la disponibilità e l'accesso ai dati personali in caso di incidente fisico o tecnico.
- Verificare, valutare e verificare regolarmente l'efficacia delle misure tecniche e organizzative per garantire la sicurezza del trattamento.
Inoltre, il GDPR richiede la designazione di un responsabile della protezione dei dati (DPO). La persona che ricopre questo ruolo è responsabile dell'attuazione della protezione dei dati, della conformità e del reporting all'interno di un'organizzazione. Il DPO può svolgere altri compiti e mansioni. Ad esempio, il responsabile della sicurezza delle informazioni può essere anche un DPO.
Vectra AI aiuta le organizzazioni ad affrontare il GDPR
La conformità al GDPR richiede la messa in atto di tecnologie e processi adeguati. Vectra AI integra i team di cybersecurity e fornisce le principali capacità tecniche necessarie per conformarsi al GDPR.
Vectra AI supporta la protezione dei dati fornendo un monitoraggio continuo e senza interruzioni del traffico di rete, il rilevamento delle minacce in tempo reale, il triage e la segnalazione degli incidenti. Grazie all'intelligenza artificiale e all'analisi del comportamento degli aggressori, Vectra AI dà automaticamente la caccia alle minacce informatiche attive in tutta la rete aziendale, dai carichi di lavoro cloud e del data center ai dispositivi utente e IoT.
Vectra AI automatizza molte delle attività ad alta intensità di lavoro che sono tipicamente di competenza degli analisti di cybersecurity di livello 1 e dei team di risposta agli incidenti. Automatizzando queste attività, Vectra AI riduce drasticamente il tempo dedicato alle indagini sulle minacce fino al 90%, consentendo ai team di sicurezza di concentrarsi sulla prevenzione e sulla riduzione della perdita di dati. Le principali funzionalità della piattaforma Vectra AI includono:
- Monitoraggio e analisi continui di tutto il traffico di rete, compreso quello diretto a Internet e quello interno tra host fisici e virtuali con indirizzo IP, come laptop, server, stampanti, dispositivi BYOD e IoT, indipendentemente dal tipo di dispositivo, dal sistema operativo o dall'applicazione.
- La visibilità in tempo reale del traffico di rete, grazie all'estrazione dei metadati dai pacchetti piuttosto che all'ispezione approfondita dei pacchetti, consente di proteggere le informazioni personali o sensibili del payload.
- Analisi dei metadati dei pacchetti acquisiti con algoritmi di rilevamento comportamentale che individuano gli aggressori nascosti e sconosciuti, indipendentemente dal fatto che il traffico sia criptato o meno.
- Identificazione deterministica dei comportamenti di attacco, compreso l'uso di Trojan di accesso remoto, tunnel criptati, comportamenti di botnet, ransomware, insider attacker e minacce avanzate mirate.
Vectra AI tiene traccia delle minacce nel tempo e in tutte le fasi di un attacco, dal comando e controllo (C&C), alla ricognizione interna, al movimento laterale e, cosa fondamentale per il GDPR, ai comportamenti di esfiltrazione dei dati. - Correlazione automatica delle minacce con i dispositivi host sotto attacco e dettagli sul rilevamento delle minacce che includono il contesto dell'host, la cattura dei pacchetti, la gravità della minaccia e i punteggi di certezza.
- Supporto alla cybersecurity adattiva attraverso un processo iterativo di miglioramento che sfrutta il lavoro dei Vectra Threat Labs™, un gruppo di ricercatori di sicurezza altamente qualificati, nonché algoritmi di rilevamento comportamentale che imparano costantemente dall'ambiente locale e dalle tendenze globali.
Come Vectra AI supporta i principali requisiti del GDPR
La tabella seguente illustra i vari modi in cui Vectra AI aiuta le organizzazioni ad affrontare elementi specifici dei requisiti del GDPR.
Vectra AI aiuta a far rispettare gli standard di gestione dei dati, avvisando il personale della cybersecurity quando i dati vengono trasferiti tra le parti in un modo che viola o non è coerente con le pratiche stabilite.
Vectra AI consente al personale addetto alla sicurezza di capire cosa sta superando le difese, fornendo avvisi sui comportamenti precursori delle minacce.
I team di sicurezza ricevono spiegazioni concise su ogni rilevamento, compresi i possibili fattori scatenanti, le cause principali, gli impatti sull'azienda e le fasi di verifica.
Vectra AI monitora costantemente la comunicazione tra applicazioni, strumenti e sistemi.
Protezione dei dati personali ai sensi del GDPR con Vectra AI
L'applicazione uniforme del GDPR in tutti gli Stati membri dell'UE dovrebbe rendere più facile per le organizzazioni stabilire regimi di sicurezza dei dati e procedure di notifica delle violazioni conformi. È fondamentale disporre di strumenti e tecnologie adeguati.
Purtroppo, il rilevamento e la risposta agli attacchi informatici sono spesso lenti. Secondo il rapporto M-Trends 2016, ci vogliono in media 146 giorni prima che venga rilevata una violazione. E il 53% di queste viene scoperto solo dopo la notifica da parte di un soggetto esterno, si legge nel rapporto.
La piattaforma di rilevamento e risposta alle minacce Vectra AI riduce i processi di notifica e risposta alle minacce da settimane o giorni a minuti. Grazie all'intelligenza artificiale, identifica le minacce in modo proattivo e in tempo reale.
Automatizzando le attività ad alta intensità di lavoro che sono tipicamente responsabilità degli analisti di cybersecurity di livello 1 e dei team di risposta agli incidenti, Vectra AI riduce drasticamente il tempo dedicato alle indagini sulle minacce fino al 90%, consentendo ai team di sicurezza di concentrarsi sulla prevenzione e sulla mitigazione della perdita di dati.
Efficiente ed economico, Vectra AI offre ai team di sicurezza IT visibilità in tempo reale su tutto il traffico di rete, individua gli aggressori nascosti e sconosciuti e mette a portata di mano il contesto degli eventi di sicurezza.
Offrendo ai team di cybersecurity la capacità di identificare e intervenire nelle prime fasi di un attacco, ben prima che si verifichi una violazione dei dati, Vectra AI riduce il rischio di violazioni dei dati segnalabili ai sensi del GDPR.
Allo stesso modo, le stesse capacità di rilevamento e di allarme Vectra AI contribuiscono alla valutazione e fanno parte di un'architettura tecnica di cybersecurity adeguata che supporta la conformità al GDPR.
Fiducia da parte di esperti e aziende di tutto il mondo
DOMANDE FREQUENTI
Quali sono le componenti principali della conformità al GDPR?
La conformità al GDPR prevede la protezione dei dati personali attraverso misure quali l'ottenimento di un consenso esplicito, l'abilitazione della portabilità dei dati, la notifica delle violazioni entro 72 ore e la garanzia di una protezione dei dati fin dalla progettazione. Le organizzazioni devono nominare un responsabile della protezione dei dati (DPO), aderire ai principi di minimizzazione dei dati e implementare misure tecniche e organizzative adeguate per salvaguardare i dati personali.
Quali sono le caratteristiche principali dell'articolo 25 del GDPR?
L'articolo 25 del GDPR enfatizza la "protezione dei dati per progettazione e per impostazione predefinita". Ciò significa che le organizzazioni devono integrare i principi di protezione dei dati nelle loro attività di trattamento fin dall'inizio, assicurando che vengano trattati solo i dati personali necessari. Misure come la pseudonimizzazione e la minimizzazione dei dati sono necessarie per proteggere i diritti e le libertà degli interessati.
Qual è la procedura per la segnalazione di una violazione dei dati ai sensi del GDPR?
Ai sensi del GDPR, le violazioni dei dati devono essere segnalate all'autorità di vigilanza competente entro 72 ore dal momento in cui se ne viene a conoscenza. La notifica deve includere la natura della violazione, gli interessati e i registri interessati, le probabili conseguenze e le misure adottate o proposte per affrontare la violazione. Se la violazione presenta un rischio elevato per le persone, anche queste devono essere informate.
Quali sono le sanzioni per la mancata conformità al GDPR?
Le sanzioni per la mancata conformità al GDPR possono essere severe, tra cui multe fino a 20 milioni di euro o al 4% del fatturato globale annuo di un'organizzazione, se superiore. Altre sanzioni includono avvertimenti, richiami e ordini di rendere conformi le attività di trattamento. La gravità della sanzione dipende da fattori quali la natura, la gravità e la durata della violazione.
Che ruolo ha il responsabile della protezione dei dati (DPO) nella conformità al GDPR?
Il DPO è responsabile della supervisione della strategia di protezione dei dati di un'organizzazione e della conformità al GDPR. Ciò include la conduzione di valutazioni d'impatto sulla protezione dei dati, la formazione del personale sui requisiti del GDPR, il monitoraggio della conformità e il ruolo di collegamento con le autorità di vigilanza. Il DPO aiuta a integrare la protezione dei dati in tutte le attività di trattamento e fornisce consulenza sui relativi obblighi legali.
In che modo Vectra AI contribuisce al rilevamento delle minacce in tempo reale?
Vectra AI aiuta a rilevare le minacce in tempo reale monitorando continuamente il traffico di rete, utilizzando l'intelligenza artificiale e l'analisi comportamentale per identificare e dare priorità alle minacce. Ciò include il rilevamento di aggressori nascosti, movimenti di dati insoliti e segnali di attacchi informatici. La piattaforma di Vectra AI automatizza molte attività, riducendo significativamente il tempo necessario per le indagini sulle minacce e consentendo risposte più rapide.
Qual è l'impatto del GDPR sulle organizzazioni al di fuori dell'UE?
Il GDPR interessa le organizzazioni al di fuori dell'UE se trattano dati personali di residenti nell'UE in relazione all'offerta di beni o servizi o al monitoraggio del comportamento all'interno dell'UE. Le organizzazioni extra-UE devono conformarsi ai severi requisiti del GDPR in materia di protezione dei dati, compresa la nomina di un rappresentante nell'UE, per evitare multe e sanzioni sostanziali.
Come si possono proteggere i dati in fase di progettazione e per impostazione predefinita?
La protezione dei dati in fase di progettazione consiste nell'incorporare le misure di protezione dei dati nello sviluppo dei processi e dei sistemi aziendali. Per impostazione predefinita, solo i dati personali necessari dovrebbero essere elaborati per scopi specifici. Ciò comporta la riduzione al minimo della raccolta dei dati, la limitazione dell'accesso e l'utilizzo di tecniche come la pseudonimizzazione e la crittografia per salvaguardare i dati.
In che modo Vectra AI automatizza il rilevamento e la risposta alle minacce?
Vectra AI automatizza il rilevamento e la risposta alle minacce sfruttando l'intelligenza artificiale per analizzare continuamente il traffico di rete e identificare i comportamenti dannosi. La piattaforma fornisce avvisi in tempo reale, assegna priorità alle minacce e offre un contesto dettagliato per ogni rilevamento, consentendo ai team di sicurezza di rispondere in modo rapido ed efficace, riducendo il tempo e le risorse necessarie per le indagini manuali.
In che modo Vectra AI garantisce la privacy dei dati durante il monitoraggio del traffico di rete?
Vectra AI garantisce la privacy dei dati analizzando i metadati del traffico di rete anziché ispezionare il contenuto dei pacchetti di dati. Questo approccio consente di rilevare efficacemente le minacce senza violare le informazioni personali o sensibili. La piattaforma di Vectra AI si concentra sull'identificazione di modelli e comportamenti indicativi di minacce informatiche, mantenendo la privacy e proteggendo la rete.