HPE Aruba avisa de que las medidas de seguridad existentes pueden no bastar para cumplir la GDPR

Apenas quedan un par de semanas para que entre en vigor la nueva normativa de protección de datos a nivel europeo, a la que se ha denominado GDPR. Las empresas van poco a poco adaptando sus sistemas para cumplir con las medidas que recoge este conjunto de leyes. Pero puede que tengan complicado cumplir algunas si no hacen cambios en su política de seguridad, tal como avisan desde HPE Aruba.

En concreto, la compañía avisa de que con los sistemas de seguridad que se emplean en la mayoría de ocasiones en las empresas, no se podrá detectar una infracción e informar de ella dentro del periodo de 72 horas que estipula la GDPR como el plazo máximo en el que se debe informar sobre una brecha de seguridad que pueda implicar una violación de datos personales tras su descubrimiento.

Esto se debe a que la mayoría de los sistemas de defensa empleados en las empresas para identificar amenazas utilizan para ello técnicas de coincidencia de patrones, por lo que no son capaces de detectar ataques que utilicen credenciales de usuario legítimas para el acceso a información sensible. Y las multas en caso de no cumplir esta medida pueden alcanzar los 20 millones de euros, o el 4% de la facturación anual de la empresa.

Ante esto, muchas empresas seguro que se han planteado sustituir sus sistemas, aunque según HPE Aruba no es necesario. Les bastará con hacer algunos cambios. Por ejemplo, complementar las defensas de la empresas con una capa de control y monitorización que utilice sistemas de detección de ataques nuevos, como el aprendizaje automático, para analizar toda la red y localizar los cambios de actividad que se registren en la red y que son los que constituyen el indicativo de un ataque.

Entre las capas de monitorización que se pueden instalar en los sistemas de defensa de una empresa está el Aruba 3600 Secure Fabric, que ofrece una combinación de capacidades de control de acceso a la red con los que poder controlar los dispositivos que acceden a la red en la que está instalado. Además, proporciona acceso a cada dispositivo conectado con base en políticas que pueden limitar de manera notable el acceso a los datos personales de sus usuarios.

Esta solución incluye el sistema IntroSpect de HPE Aruba que emplea aprendizaje automático para concretar dónde están almacenados los datos personales. Además, busca cualquier actividad anómala que se produzca en la red que pudieses ser indicativa de una violación de la seguridad. IntroSpect utiliza lo que va aprendiendo para generar una escala de riesgo para cada dispositivos conectado a la red, así como para cada usuario, sistema y base de datos de la red. Así, el sistema garantiza que los ataques que puedan darse en el futuro no pasan inadvertidos.

Según los informes elaborados por los usuarios de IntroSpect, las investigaciones de amenazas realizadas con dicho sistema se han llevado a cabo 30 horas más rápido que las elaboradas con los sistemas de seguridad tradicionales. Se trata de un importante avance de cara a cumplir con el límite de 72 horas que establece la GDPR para la presentación de informes.

Según Morten Illum, Vicepresidente para EMEA de HPE Aruba, «la información personal es oro en polvo para los atacantes, ya que puede venderse rápidamente en la web oscura. Es casi seguro que su empresa verá sus datos personales atacados en el futuro, y los atacantes parecerán ser un usuario de confianza que realiza su trabajo. Sin el uso de herramientas de automatización para detectar la actividad inusual que esté sucediendo, podría llevar meses detectar lo que está pasando. Y esas son malas noticias tanto para las relaciones con los clientes como para su estrategia de GDPR«.

Illum también asegura que no existe un único producto o una combinación de soluciones de seguridad que pueda garantizar el cumplimiento del GDPR, «por lo que es hora de unir las soluciones existentes. Una estrategia integral de GDPR solo puede lograrse si los equipos de seguridad tienen las herramientas adecuadas para hacer su trabajo. Creemos que una visión única de la red y la capacidad de crear automáticamente nuevas políticas basadas en la actividad entrante, es nuestra mejor oportunidad de seguir adelante«.