Fortinet FortiGate
Fortinet FortiGate es una plataforma líder de firewall empresarial de nueva generación y SD WAN que combina inspección stateful, IPS, inspección SSL, filtrado web, anti bot y VPN. Cuando se despliega delante de sitios web mediante el WAF FortiWeb, puede colocar cookies de desafío de seguridad estrictamente necesarias. Las appliances FortiGate funcionan en infraestructura del cliente, con FortiGuard Cloud alojado por Fortinet en EE.UU., Canadá y regiones UE.
¿Qué hace Fortinet FortiGate?
Que es Fortinet FortiGate
Fortinet FortiGate es la plataforma insignia de firewall de nueva generación y SD WAN de Fortinet, Inc., con sede en Sunnyvale (California). Combina firewall stateful, IPS, inspección SSL, filtrado web, control aplicativo, VPN, anti malware y SD WAN en una appliance o máquina virtual. La línea incluye FortiWeb (WAF), FortiAnalyzer (logging), FortiManager y FortiGuard, la nube de inteligencia de amenazas.
Datos y cookies recopilados
FortiGate trata cabeceras de paquetes, IPs, puertos, URLs, user agents, hashes de archivos y, con la inspección SSL activada, el contenido descifrado de las sesiones TLS. El WAF FortiWeb puede colocar cookies de desafío estrictamente necesarias (cookiesession1, cookies de sesión FortiGate) al pasar un control de seguridad. FortiGuard recibe consultas (hash de URL, IP, hash de archivo) para verificar reputación en tiempo real.
Implicaciones RGPD y ePrivacy
FortiGate trata datos personales (IPs, metadatos de tráfico) en el marco de operaciones de seguridad. El cliente es responsable del tratamiento, Fortinet es encargado para los servicios cloud. Las cookies de desafío FortiWeb están amparadas por la excepción de estrictamente necesarias del art. 5(3) ePrivacy y no requieren consentimiento. La inspección SSL plantea cuestiones serias de proporcionalidad: debe limitarse a lo necesario, excluir categorías sensibles (banca, salud) y declararse a personal y visitantes.
Requisitos de consentimiento
No se requiere consentimiento del visitante para la función firewall ni para las cookies de seguridad estrictamente necesarias. Tampoco para las consultas de reputación FortiGuard, esenciales para el servicio. Los usuarios internos cuyo tráfico se inspecciona en SSL deben ser informados e idealmente disponer de una política de uso aceptable.
Transferencias fuera del EEE
La appliance FortiGate funciona en infraestructura del cliente, por lo que el firewall en si no transfiere fuera del EEE. FortiGuard Cloud y FortiCloud añaden transferencias a centros de datos US de Fortinet, regidas por CCT y EU US Data Privacy Framework. Los clientes pueden seleccionar endpoints FortiGuard UE en algunas configuraciones para minimizar transferencias.
Pasos prácticos de cumplimiento
Firme el Acuerdo de Tratamiento de Fortinet para servicios cloud, configure FortiGuard con endpoints UE cuando estén disponibles, restrinja la inspección SSL por categoría de URL para excluir sitios sensibles, defina reglas de retención en FortiAnalyzer, declare FortiGate en su Registro de Actividades de Tratamiento, realice una Evaluación de Interés Legítimo y alineese con las obligaciones de NIS2 si es entidad esencial o importante.
Fortinet FortiGate y el RGPD
- Base jurídica
- Legitimate interest (Art. 6(1)(f) GDPR) for network security, DDoS protection, anti-bot and abuse prevention; Legal obligation (Art. 6(1)(c) GDPR) for security incident logging required under NIS2 or sectoral rules
- Nivel de riesgo
- low
- Normativa aplicable
- GDPR, ePrivacy Directive (Cookie Law), NIS2, ISO 27001, EU US Data Privacy Framework
Evaluación de impacto (EIPD)
FortiGate trata tráfico de red, IPs, URLs y user agents con fines de seguridad. Consideraciones clave de la EIPD: (1) la appliance corre en infraestructura del cliente, los datos no salen del entorno hasta que se consulta FortiGuard Cloud; (2) las cookies de desafío FortiWeb son estrictamente necesarias según el art. 5(3) ePrivacy, sin consentimiento requerido; (3) la inspección SSL descifra tráfico TLS para analizar contenido y plantea cuestiones serias de proporcionalidad y minimización; (4) FortiGuard envía consultas (URL, IP, hash de archivo) a la nube de Fortinet, también en EE.UU.; (5) FortiAnalyzer registra IPs y metadatos de tráfico, potencialmente personales; (6) NIS2 impone obligaciones específicas a entidades esenciales e importantes que operan FortiGate.
Texto de ejemplo para su banner
Nuestro sitio esta protegido por appliances Fortinet FortiGate y FortiWeb. Estas herramientas inspeccionan el tráfico entrante, pueden colocar cookies de seguridad estrictamente necesarias (cookiesession1) y consultan la inteligencia de amenazas FortiGuard para bloquear tráfico malicioso. El tratamiento se basa en nuestro interés legítimo de seguridad según el art. 6(1)(f) RGPD.
Lo que Fortinet FortiGate instala y contacta
- Método de seguimiento
- Enterprise next-generation firewall and SD-WAN appliance with web filtering, IPS, anti-bot and SSL inspection; FortiWeb WAF can set security challenge cookies on protected websites; FortiGuard cloud services for threat intelligence
- Ubicación de los servidores
- On-premises customer infrastructure for the appliances themselves; FortiGuard cloud services in multiple global data centres including the United States, Canada and EU regions; Fortinet, Inc. is headquartered in Sunnyvale, California
- Modo sin cookies disponible
- Sí
- Transferencia de datos fuera de la UE
- FortiGate appliances run on the customer's infrastructure, so visitor data stays where the device is deployed. FortiGuard threat intelligence services and FortiCloud management are hosted by Fortinet in the United States, Canada and EU regions. Transfers to US infrastructure rely on Standard Contractual Clauses and Fortinet's EU US Data Privacy Framework certification where applicable.
Cookies instaladas (2)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| cookiesession1 | Functional | Session | Strictly necessary security cookie set by FortiWeb WAF in front of a protected website. Used to maintain the security session and validate that the visitor has passed an anti bot or rate limiting check. |
| FGT_PERSISTENT_SESSION | Functional | Session | Set by FortiGate when the appliance acts as a captive portal or load balancer to keep the visitor anchored to a specific backend server. |
Dominios de terceros contactados (4)
fortinet.comfortiguard.comforticloud.comsupport.fortinet.com
Preguntas frecuentes sobre Fortinet FortiGate
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies colocan FortiGate / FortiWeb en el navegador?
Cuando el WAF FortiWeb esta delante de un sitio, puede colocar cookies de seguridad estrictamente necesarias como cookiesession1 para mantener una sesión de seguridad y validar que un visitante ha pasado un control anti bot. Estas cookies no almacenan comportamiento de navegación y son estrictamente necesarias.
¿Necesito consentimiento del usuario para las cookies de seguridad FortiGate o FortiWeb?
No. Las cookies colocadas para desafíos de seguridad y validación de sesión están amparadas por la excepción de estrictamente necesarias del art. 5(3) ePrivacy y el Considerando 66, ya que son esenciales para el servicio de seguridad solicitado por el operador. Declarelas en la política de privacidad sin banner de consentimiento.
¿Cuál es la base legal del tratamiento vía FortiGate?
Interés legítimo (art. 6(1)(f) RGPD) para seguridad, anti bot y prevención de abusos. Obligación legal (art. 6(1)(c) RGPD) para registro de incidentes de seguridad bajo NIS2 o normas sectoriales. La inspección SSL del tráfico del personal debe ponderarse y declararse; considere el art. 88 RGPD sobre vigilancia laboral.
¿Dónde procesa y almacena FortiGate los datos?
La appliance FortiGate procesa el tráfico en la propia infraestructura del cliente, por lo que el firewall en si no transfiere datos fuera del EEE. FortiGuard Threat Intelligence y FortiCloud Management corren en infraestructura de Fortinet en EE.UU., Canadá y regiones UE, con CCT y EU US Data Privacy Framework para las transferencias a EE.UU.
¿Se requiere una EIPD para FortiGate?
Una EIPD es recomendable cuando la inspección SSL esta activada, cuando los logs se conservan a gran escala o cuando FortiGate es desplegado por una entidad esencial o importante según NIS2. Debe cubrir el alcance de la inspección SSL, la retención en FortiAnalyzer, las transferencias FortiGuard y los riesgos para visitantes y empleados.
¿Cómo desplegar FortiGate de forma conforme?
Firme el Acuerdo de Tratamiento de Fortinet para servicios cloud, restrinja la inspección SSL por categoría de URL, excluya sitios sensibles (banca, salud, sindical o política), seleccione endpoints FortiGuard UE cuando estén disponibles, configure la retención en FortiAnalyzer, realice una Evaluación de Interés Legítimo y alineese con las obligaciones de notificación de NIS2.
¿Qué alternativas conformes al RGPD existen frente a FortiGate?
Alternativas UE: Stormshield (Francia), genua (Alemania), Rohde and Schwarz Cybersecurity (Alemania), WatchGuard (EE.UU. con opciones UE) y opciones open source como pfSense y OPNsense. Para WAF en particular, considere Imperva, Cloudflare WAF o ModSecurity open source.
¿Cómo actualizar la política de privacidad para FortiGate?
Declare que protege su sitio con FortiGate y FortiWeb, nombre la cookie de seguridad estrictamente necesaria (cookiesession1) y su finalidad, explique que los metadatos de tráfico se tratan por interés legítimo, mencione las consultas FortiGuard y las CCT y EU US Data Privacy Framework que cubren las transferencias a EE.UU. y enlace la política y el DPA de Fortinet.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.