Czym jest DLP

Zapobieganie utracie danych (DLP) to zbiór technologii i polityk, które wykrywają i powstrzymują nieuprawnione opuszczanie organizacji przez dane wrażliwe. Celem jest zapobieganie eksfiltracji danych, zarówno przypadkowej, jak i złośliwej.

DLP chroni dane w trzech stanach:

• Dane w spoczynku: przechowywane na dyskach, w bazach danych i udziałach plikowych.
• Dane w ruchu: przesyłane przez sieć, pocztę e-mail lub sieć WWW.
• Dane w użyciu: aktywne na punkcie końcowym (w schowku, na ekranie lub na urządzeniu USB).

Utrata danych często jest niezamierzona:

• Pracownik wysyła arkusz kalkulacyjny na niewłaściwy adres.
• Plik trafia do publicznego zasobnika chmurowego.
• Wrażliwe dane są kopiowane na dysk USB.

Drugą część problemu stanowią złośliwi pracownicy i zewnętrzni napastnicy eksfiltrujący dane.

Typowe chronione rodzaje danych obejmują:

• Dane osobowe (PII), takie jak imiona i nazwiska, identyfikatory oraz adresy.
• Dane płatnicze (PCI), takie jak numery kart.
• Dokumentację medyczną (PHI).
• Własność intelektualną i kod źródłowy.

Silniki DLP identyfikują wrażliwe treści za pomocą kilku technik:

• Dopasowywanie wzorców (regex) dla danych strukturalnych, takich jak numery kart.
• Słowa kluczowe i słowniki.
• Odciski / dokładne dopasowanie danych dla znanych plików.
• Etykiety klasyfikacji przypisane do plików.

Mechanizmy kontroli działają na różnych warstwach:

• DLP na punkcie końcowym: agent na laptopach kontrolujący USB, schowek i drukowanie.
• DLP w sieci: analizuje ruch poczty e-mail i sieci WWW.
• DLP w chmurze / CASB: monitoruje usługi SaaS i pamięć masową w chmurze.

Polityka DLP łączy wykrywanie z reakcją. Typowe działania to:

• Tylko monitorowanie / rejestrowanie.
• Powiadomienie użytkownika lub zespołu bezpieczeństwa.
• Zablokowanie transferu.
• Kwarantanna lub szyfrowanie danych.

Natychmiastowe włączenie blokowania powoduje występowanie fałszywych alarmów i zakłóca przepływy pracy. Większość wdrożeń rozpoczyna się od trybu monitorowania (audytu), aby poznać normalne zachowania i dostroić reguły, a następnie przechodzi do blokowania w przypadku reguł dających bardzo wiarygodne wyniki.

Zbyt szerokie reguły oznaczają nieszkodliwe działania i frustrują użytkowników. Dostrajanie odbywa się nieustannie:

• Należy doprecyzowywać wzorce i dodawać kontekst (np. wymagać przekroczenia określonego progu liczby wystąpień).
• Należy umieszczać na liście dozwolonych znane, prawidłowe przepływy.
• Należy przeglądać alerty i odpowiednio dostosowywać reguły.

DLP i szyfrowanie uzupełniają się wzajemnie. Szyfrowanie chroni poufność danych, a DLP kontroluje ich przemieszczanie. Należy pamiętać, że silne szyfrowanie stosowane przez użytkowników może uniemożliwić DLP wgląd w dane, dlatego polityka może wymagać używania kanałów szyfrowania zarządzanych przez firmę.

DLP jest skuteczne, ale nie zapewnia absolutnej ochrony:

• Nie może analizować treści, których nie jest w stanie odszyfrować.
• Można je ominąć, fotografując ekran.
• Nieprawidłowo sklasyfikowane dane mogą przedostać się poza kontrolę.

DLP jest jedną z warstw strategii obrony warstwowej i należy je łączyć z kontrolą dostępu oraz monitorowaniem.

Proszę przypomnieć sobie trzy stany danych chronione przez DLP.

DLP wykrywa i powstrzymuje nieuprawnioną eksfiltrację danych:

• Chroni dane w spoczynku, w ruchu i w użyciu.
• Wykrywa je za pomocą wzorców, słów kluczowych, odcisków i etykiet.
• Działa na warstwie punktów końcowych, sieci i chmury.
• Należy rozpocząć od trybu monitorowania, dostroić reguły w celu ograniczenia fałszywych alarmów, a następnie włączyć blokowanie.