regulación europea de protección de datos y como oracle ...3enterprise data quality 4application...

Copyright © 2015, Oracle and/or its affiliates. All rights reserved. |

Regulación Europea de Protección de Datosy como Oracle puede ayudar

Xavier MartorellSecurity Sales ExecutiveOracle Iberia

Copyright © 2017, Oracle and/or its affiliates. All rights reserved. 2

¿Están protegidos debidamente?

Algunas preguntasiniciales

¿Dónde están los datos?1

2

¿Debo invertir?3

¿Por dónde empiezo?4

Protección de Datos


Dispositivos InfraestructuraAplicacionesContenidosUsuarios

Cloud Service ProvidersClientes

¿Dónde se almacenan los datos?


¿Dónde reside la información sensible?

79%de las empresas están implementando activamente soluciones en la nube para entornos de nube pública, privada o híbrida

Fuente 2016 Cloud Security Research Report, Crowd Researc:h Partner


La Base de Datos como foco de amenazas

Support

Actores

Hackers

OS Admin

DBA

Test & Dev

End-UsersRansomware

Procedimiento

SQL Injection

XSS / Malware

Robo de credenciales

Privilege Escalation

Network Sniffing

Physical Theft

Almacenamiento

Objetivos

Aplicaciones

Middleware

Bases de Datos

Sistema operativo

Network

Backup


La importancia de invertir en Seguridad TI

• Garantía de cumplimiento

• Reducción del riesgo

• Protección de marca

• Reducción de costes en controlesSegún un estudio liderado por Clusit y PMI (NIC Northern Italy Chapter) en 2015, las inversiones en seguridad fueron debidas a: 47.8% por razones de cumplimiento y 48% por razones de reducción de riesgo.

... y para permitir la transformación empresarial y digital

La innovación no es posible sin seguridad

¿por dónde empiezo?


Cumplimiento normativo

LOPD GDPR (Mayo18)SANCIONES

DPO

CONSENTIMIENTO

NOTIFICACIÓN

PRIVACIDAD desde el DISEÑO y por DEFECTO

Assessments de Seguridad

Entre 900€ y 600.000€

No es obligatorio

Tácito

No existe obligación

Depende tipo de dato y ttmo.

DPIAs no obligatorio

Hasta 20M€

Obligatorio en múltiples supuestos

Clara acción afirmativa

Obligación comunicación en 72h

Cada Cia. debe diseñar y aplicar

Obligatorio para ciertos tratamientos


Los incidentes de ciberseguridad aparecen de forma evidente en los informes internacionales y en prensa

.. y existen muchas otras leyes europeas importantes, por nombrar algunas:

– Directiva sobre seguridad de redes y sistemas de información (NIS)

– Ley 20/2017, del 27 Octubre, de derechos y deberes de usuarios y profesionales del sistema sanitario sobre la historia clínica

– Reglamento sobre identificación electrónica y servicios de confianza (eIDAS)

– Directiva sobre servicios de pago en el mercado interior (PSD2)

9

GDPR -Nueva ley de privacidad y seguridad

CAUSA EFECTO


¿Qué tienen estas leyes y regulaciones en común?

10

1. Requieren enfoque multidisciplinar (de legal a tecnológico)

2. Debe abordarse de manera integral, no uno por uno

3. Responsabilidad de entidades y consejos de administración

4. Requieren de una buena TI y buena seguridad

5. Hacia mejores prácticas y conceptos internacionales


Garantizar la seguridad al sujeto del dato

Garantizar los derechos al sujeto del dato

11

Ruta hacia GDPR – A vista de pájaro

Derecho a serinformado

1 2Derecho de

Acesos

3Derecho de

Rectificación

4Derecho de

Borrado

5Derecho a

restringir el procesamiento

6Derecho a la

Portabilidad de Datos

7Derecho a Oponerse

8Derecho a decisiones

automatizada y elaboración de

perfiles

Proteger la información

1 2Control de Aceso

3Monitorizar, Bloquear y

Auditar

4Configuraciones

Seguras


Ruta hacia GDPR – Tareas y actividadesM

AN

TEN

ER (

CR

EAR

) U

N R

EGIS

TRO

DE

PR

OC

ESA

MIE

NTO

(A

.30

)

DESCUBRIMIENTO DE DATOS SENSIBLES

CREAR INVENTARIO DE PROGRAMAS Y

SISTEMAS

LA APLICACIÓN Y EL ALCANCE DE

LOS DATOS ESTÁN

DISPONIBLES Y DEFINIDOS DE

FORMA INCREMENTAL

Metadata y Data Discovery completamente automatizable.

Crear un registro de procesamiento centralizado, que incluya todos los sistemas e inventario de software y procesos, además de información adicional proveniente de la evaluación de seguridad.

El glosario y el linaje (ciclo de vida) de datos se pueden actualizar de forma incremental con información delta.

Gobierno de datos

12


Ruta hacia GDPR – Tareas y actividades

13

MA

NTE

NER

(C

REA

R)

UN

REG

ISTR

O D

E P

RO

CES

AM

IEN

TO (

A.3

0)



SISTEMAS


LOS DATOS ESTÁN


FORMA INCREMENTAL

CONTROL DE ACCESO

PROTEGER EL DATO

MONITORIZA, BLOQUEA Y AUDITA

CONFIGURACIÓN SEGURA

IMP

LEM

ENTA

R L

AS

MED

IDA

S A

DEC

UA

DA

S D

E SE

GU

RID

AD

(A

.32

, A

.25

)

Modernizar la administración de identidades para garantizar la autenticación y autorización tanto para el usuario de negocios como para el personal de TI

Proteger los datos donde sea que estén (cifrado A.32) y evitar el uso de datos reales cuando no sean necesarios (A.5 y A.26)

Recolectar, asegurar y analizar registros de auditoría e implementar defensas de límites

Configuraciones seguras, remediar vulnerabilidades y controlar las líneas base de producción

Gobierno de datos Seguridad del dato



14

MA

NTE

NER

(C

REA

R)

UN

REG

ISTR

O D

E P

RO

CES

AM

IEN

TO (

A.3

0)

DOCUMENTAR Y MANTENER CUMPLIMIENTO (A.24)

EVALUAR LAS MODIFICACIONES DE APLICACIÓN REQUERIDAS PARA GARANTIZAR LOS DERECHOS DEL ASUNTO DE DATOS (A.15-20)

APLICAR ADECUADO TI Y ADECUADA SEGURIDAD A TRAVÉS DE LA PILA (A.32, A.25)



SISTEMAS

ADAPTAR EL PROCESO DE RESPUESTA A INCIDENTES (A.33; A.34) Y LAS PRÁCTICAS DE RIESGO DE LA COMPAÍA, INCLUIDA LA DPIA (A.35)


LOS DATOS ESTÁN


FORMA INCREMENTAL

CONTROL DE ACCESO

PROTEGER EL DATO



IMP

LEM

ENTA

R L

AS

MED

IDA

S A

DEC

UA

DA

S D

E SE

GU

RID

AD

(A

.32

, A

.25

)

¿Cómo podemos ayudar desde Oracle?


Oracle y GDPR

–Participación en organizaciones industriales con iniciativas de GDPR

–Organiza conferencias presenciales y on line fomentar la concienciación

–Desde 2015 – Participación activa en observatorio GDPR y blog colectivo externo (europrivacy.info)

–Mejora de productos y servicios para ayudar en el cumplimiento GDPR

– Iniciativas de servicios y cooperación con partners

16



17

MA

NTE

NER

(C

REA

R)

UN

REG

ISTR

O D

E P

RO

CES

AM

IEN

TO (

A.3

0)






SISTEMAS



LOS DATOS ESTÁN


FORMA INCREMENTAL

CONTROL DE ACCESO

PROTEGER EL DATO



IMP

LEM

ENTA

R L

AS

MED

IDA

S A

DEC

UA

DA

S D

E SE

GU

RID

AD

(A

.32

, A

.25

)


Ruta hacia GDPR – Detalle de productos

18

MA

NTE

NER

(C

REA

R)

UN

REG

ISTR

O D

E P

RO

CES

AM

IEN

TO (

A.3

0)






SISTEMAS



LOS DATOS ESTÁN


FORMA INCREMENTAL

CONTROL DE ACCESO

PROTEGER EL DATO



IMP

LEM

ENTA

R L

AS

MED

IDA

S A

DEC

UA

DA

S D

E SE

GU

RID

AD

(A

.32

, A

.25

)1

2 3 4 16

10 11

12 13

5

15

14

6 7 8 9

2221 23 24

17 18 19 20

Product / Suite

1 Enterprise Manager - Automatic Discovery

2 Enterprise Metadata Management

3 Enterprise Data Quality

4 Application Data Modeling - Sensitive Data Discovery

5 Identity Governance

6 Access Management

7 Centralized Directory

8 Identity Cloud Service

9 Database Vault

10 Advanced Security and Key Vault

11 Database Masking and Subsetting

12 Audit Vault & DB Firewall

13 Security Monitoring and Analytics

14 Cloud Access Security Broker

15 Enterprise Manager - Configuration and Compliance pack

16 Configuration and Compliance Cloud Service

17 Data Guard and Real Application Cluster

18 Exadata and Supercluster

19 Zero Data Loss Recovery Appliance & ZFS

20 SPARC / Solaris

21 Customer Data Management Cloud Service

22 Policy Automation

23 Analytics Cloud

24 BI Enterprise Edition

25 Data Integration


Gobierno de Datos – Mapa de productos

19

Oracle Data Integration

Integration Adapters, Data Mapping, Data

Transformation, Data Movement

Oracle EnterpriseMetadata

Management

Data Lineage, DataDictionary, MetadataManagement, Impact

Analysis, SemanticUsage Analysis

Oracle Policy Automation

Business Rules Modeling, Business Rules execution (Business Users

and Applications), Business Rules Monitoring and Impact Analysis

Oracle Enterprise Data Quality

Data Profiling, Data Discovery, Data Assesment, Data Enrichment, Data Remediation, Data Standardization,

Data Quality Case Management, Data Quality Dashboards

CDM + DaaS

Master Data Model & Extensibility, Data

Consolidation, Data Validation, Data De-duplication, Data Enrichment, Data Sharing

Marketing

Ventas

Servicio

Finanzas

Gestión Capital Humano

E-Commerce

Gestión cadena

suministro

Marketing

Ventas

Servicio

Finanzas

Gestión Capital Humano

E-Commerce

Gestión cadena

suministro


Seguridad Bases de Datos – Principios básicos

• Seguridad Bases de Datos – Principios básicos

20

Nueva Regulación General de Protección

de Datos

EVALUACIÓN PREVENCIÓN DETECCIÓN SEGURIDAD EN EL DATO


Seguridad Bases de Datos – Acciones concretas


Análisis de privilegiosControl de cuenta con

privilegios, Segregación de funciones

Seguimiento de actividad dentro y fuera

Seguridad basada en etiquetas

Configuración de Seguridad

Enmascaramiento de un subconjunto de datos

Monitorización centralizada

Soporte de seguridad a aplicaciones

Evaluación de SeguridadGestión de claves de

cifradoAlertas e Informes Seguridad a nivel de fila

Descubrimiento de Datos sensibles

Cifrado de Datos Registros de Auditoría de Base de Datos

Funciones de cifrado para aplicacionesRedacción de Datos

21


Seguridad Bases de Datos – Mapa productos DBSEC


Análisis de privilegiosControl de cuenta con

privilegios, Segregación de funciones

Seguimiento de actividad dentro y fuera

Seguridad basada en etiquetas

Configuración de Seguridad

Enmascaramiento de un subconjunto de datos

Monitorización centralizada

Soporte de seguridad a aplicaciones

Evaluación de SeguridadGestión de claves de

cifradoAlertas e Informes Seguridad a nivel de fila

Descubrimiento de Datos sensibles

Cifrado de Datos Registros de Auditoría de Base de Datos

Funciones de cifrado para aplicacionesRedacción de Datos

22

Database Vault

Advanced Security

Key Vault

Data Masking and Subsetting

EM DB Life-Cycle Management Pack

DataMasking And Data Subsetting

Evaluación de Seguridad

Audit Vault and Database Firewall

Incluido

Label Security

(incluido en)DB Enterprise

Edition


Seguridad Bases de Datos – Resumen

23

Key Vault

Enterprise Manager

Database Firewall

Auditoría de Datos y Registro de Eventos

Data Redaction

Eventos

Cifrado de red

Single Sign-on usando Oracle Identity Management

Cifrado de datos

AutenticaciónAvanzada

Audit Vault

Alertas

Informes

Políticas

Usuarios

Aplicaciones

DF11233 U*1$5Ha1qui %H1HSKQ112 A14FASqw34 £$1DF@£!1ah HH!DA45S& DD1

Controles de Acceso de grano finoDatabase VaultVirtual Private DatabaseLabel SecurityReal Application Security

Gestión de configuración y cumplimientoDescubrimiento de Datos Sensibles

Análisis de privilegios de Base de Datos

Data Masking y Subsetting

Evaluación

Detección

Prevención

Controles de Seguridad en Base de Datos

Copyright © 2018, Oracle and/or its affiliates. All rights reserved. | Oracle Public 25

Algunos proyectos de seguridad

http://www.ciospain.es/aapp/el-ministerio-de-justicia-cifra-400-millones-de-datos-de-los-ciudadanos

http://www.ciospain.es/seguridad/la-direccion-general-de-ordenacion-del-juego-refuerza-sus-sistemas-de-seguridad

regulación europea de protección de datos y como oracle ...3enterprise data quality 4application...

Documents