Слайд 8. DLP (Data Loss Prevention): предотвращение утечек данных

Блок 2. Ключевые технологии защиты DLP (Data Loss Prevention): предотвращение утечек данных Слайд 8 / 15

DLP-N Сеть (Network)

Контроль на сетевом периметре: email-шлюз, веб-прокси

Останавливает отправку конфиденциальных данных в email, на внешние ресурсы, в облачные хранилища

DLP-E Конечные точки (Endpoint)

Контроль на устройстве сотрудника

Останавливает: копирование на USB, печать конфиденциальных документов, скриншоты, копирование в мессенджеры

DLP-S Хранилища (Storage)

Сканирование облачных хранилищ и файловых серверов

Выявление конфиденциальных файлов в неположенных местах (PII (Personally Identifiable Information / персональные данные) в общедоступной папке)

Пирамида классификации данных (Data Classification Pyramid)

Строго ограничено (Restricted)

Вершина

ПДн клиентов, банковские реквизиты, исходный код, гостайна

Конфиденциально (Confidential)

Финансовые отчёты, стратегия, коммерческие условия, ПДн сотрудников

Внутреннее (Internal)

Внутренние процедуры, организационные документы

Публичное (Public)

Основание

Маркетинг, пресс-релизы, сайт

Стартап на 30 чел.

DLP обычно не оправдан: низкий объём данных, маленькая команда контролируется через культуру и доверие. Достаточно базового шифрования и контроля доступа.

Корпорация на 5000 чел.

Полноценный DLP-комплекс (N+E+S) обязателен, особенно при обработке ПДн (требование ФЗ-152 / 152-FZ).

DLP-режимы: этапы внедрения

МОНИТОРИНГ (MONITOR) (первые 2-3 месяца)

Только сбор данных о нарушениях, без блокировки. Идентификация ложноположительных срабатываний (FP), обучение классификатора.

ПРЕДУПРЕЖДЕНИЕ (WARN) (следующие 2-3 месяца)

Сотрудник видит предупреждение: «Вы пытаетесь отправить документ с PII (Personally Identifiable Information / персональные данные) вовне. Продолжить?» Может продолжить с обоснованием.

БЛОКИРОВКА (BLOCK) (после полного тюнинга)

Автоматическая блокировка нарушений политики без возможности обхода.

Условия перехода в БЛОКИРОВКУ (BLOCK):
Уровень ЛС (FP rate) < 5%
90%+ сотрудников прошли обучение
Есть процедура исключений для легитимных случаев

Зона ответственности экономбеза

Алерты DLP, ваша зона ответственности, особенно те, что указывают на возможный инсайдерский слив или подготовку к увольнению.

Требуйте от CISO (Chief Information Security Officer / руководитель ИБ) еженедельный отчёт по DLP.

DLP, инструмент, наиболее тесно работающий с экономбезом. Алерты DLP, ваше окно в поведение людей с данными. Требуйте от CISO (Chief Information Security Officer / руководитель ИБ) еженедельный отчёт по DLP.