GDPR: 개인 데이터가 제3의 국가로 전송됨

일반 데이터 보호 규정 (General Data Protection Regulation, GDPR) 은 EU 전체에 걸쳐 조화된 데이터 보호 법 프레임워크를 작성하고 개인 데이터의 제어를 데이터 주체에게 반환하는 한편 전 세계 어디에서든 이 데이터를 호스팅하고 처리하는 사용자에게 엄격한 규칙을 적용하는 것을 목표로 합니다.

IBM® QRadar® 는 이벤트 및 플로우에서 개인적으로 식별 가능한 데이터를 발견한 후 데이터가 전송될 때 오펜스를 작성하여 GDPR 준수를 지원할 수 있습니다.

QRadar 가 최대 GDPR 준수 모니터링을 제공하려면 IBM Security App Exchange에서 IBM QRadar Content Extension for GDPR 을 설치해야 합니다. 이 시뮬레이션을 실행하기 위해 컨텐츠 확장을 설치할 필요가 없습니다.

위협 시뮬레이션

GDPR: 세 번째 국가로 전송되는 개인 데이터 시뮬레이션은 직원이 PII (Personally Identifiable Data) 를 GDPR 규정이 적용되지 않는 세 번째 국가로 전송하는 상황을 처리합니다. 이 회사는 PII 데이터를 제3국으로 전송하는 것을 처리하기 위한 적절한 안전장치를 마련하지 않아 회사의 정책과 GDPR 규정을 모두 위반했다.

PII 데이터는 이메일 주소, 여권 정보, 주민등록번호 또는 회사가 개인적으로 식별 가능한 데이터로 판별하는 모든 것일 수 있습니다.

QRadar 가 위협을 발견하는 방법을 보려면 시뮬레이션을 실행하십시오.

로그 보기 탭에서 Experience Center 표시를 클릭하십시오.
위협 시뮬레이터를 클릭하십시오.
GDPR: 세 번째 국가로 전송된 개인 데이터 시뮬레이션을 찾아 실행을 클릭하십시오.

로그 활동 탭에서, 들어오는 QRadarSSL 터널링 이벤트를 확인할 수 있습니다. 이러한 이벤트는 대상 IP 주소에 따라 제3국으로 개인 데이터를 전송하는 샘플 사용자(예: user1 )를 시뮬레이션합니다. 이 유형의 데이터 전송은 종종 의도하지 않은 것입니다. 이벤트의 페이로드를 검토하여 사용자가 개인 데이터로 간주되는 이메일 주소를 공유했음을 확인할 수 있습니다.

위협 발견: 작동 중인 QRadar

이 시뮬레이션에서 ' SSL ' 터널링 이벤트는 사용자가 개인 데이터를 제3국으로 전송했음을 나타냅니다. 사용자 정의 규칙 엔진 (CRE) 은 이벤트를 처리하며, 이 이벤트는 EC: 세 번째 국가/지역으로 전송된 개인 데이터라는 새 이벤트를 작성하는 규칙을 트리거합니다.

잠재적인 위협에 대해 경고하기 위해 CRE는 써드파티 국가/지역으로 전송된 개인 데이터 (Exp Center) 라는 제목의 오펜스를 작성하고 이에 기여한 모든 이벤트를 연관시킵니다. 오펜스는 대상 IP 주소가 동일한 모든 기여 이벤트를 단일 오펜스로 그룹화하도록 인덱싱됩니다.

QRadar 가 이벤트를 분석하고 오펜스의 우선순위를 지정하기 위해 사용하는 자세한 정보에 대해 자세히 알아보려면 QRadar Experience Center 앱의 위협 시뮬레이터 페이지에서 사용 가능한 GDPR: 제3국가로 전송된 개인 데이터 비디오를 재생하십시오.

위협 조사

다음 IBM QRadar 컨텐츠는 GDPR: 개인 데이터가 제3의 국가로 전송됨 위협 시뮬레이션에 의해 작성됩니다. 시뮬레이션을 실행한 후 이 컨텐츠를 사용하여 위협을 추적하고 조사할 수 있습니다.

표 1. QRadar GDPR: 제3국으로 전송된 개인 데이터 시뮬레이션에 대한 컨텐츠
컨텐츠	이름
저장된 검색	EC: 일반 데이터 보호 규정(GDPR)
들어오는 이벤트	SSL 터널링 수신 이벤트의 로그 소스는 Experience Center: Checkpoint입니다.
규칙	EC: 제3자 국가/지역으로 전송된 개인 데이터
생성된 이벤트	EC: 제3자 국가/지역으로 전송된 개인 데이터 QRadar 에서 생성되는 이벤트의 로그 소스는 CRE (Custom Rule Engine) 입니다.
오펜스	제3자 국가/지역으로 전송된 개인 데이터 (Exp Center) 유스 케이스를 실행하기 전에 사용자 환경에 있는 이벤트 및 규칙에 따라 오펜스의 이름에 < 오펜스 이름> 이 앞에 옵니다. 또는 < 오펜스 이름> 포함가 포함될 수 있습니다. 오펜스는 대상 IP 주소를 기반으로 인덱싱되며, 이는 이 규칙을 트리거하고 대상 IP 주소가 동일한 모든 이벤트가 동일한 오펜스의 일부임을 의미합니다.