Что такое DLP

Предотвращение утечек данных (DLP) — это набор технологий и политик, которые обнаруживают и предотвращают несанкционированную передачу конфиденциальных данных за пределы организации. Цель — предотвратить несанкционированный вывод данных, будь то случайный или злонамеренный.

DLP защищает данные в трех состояниях:

• Данные в состоянии покоя: хранятся на дисках, в базах данных и общих файловых ресурсах.
• Данные при передаче: передаются по сети, через электронную почту и веб-сервисы.
• Используемые данные: активны на конечном устройстве (в буфере обмена, на экране, на USB).

Потеря данных часто происходит непреднамеренно:

• Сотрудник отправляет электронную таблицу не на тот адрес.
• Файл оказывается в общедоступном облачном хранилище.
• Конфиденциальные данные копируются на USB-накопитель.

Другую половину случаев составляют внутренние злоумышленники и внешние атакующие, выводящие данные.

К типичным защищаемым данным относятся:

• Персональные данные (PII), например имена, идентификаторы и адреса.
• Платежные данные (PCI), например номера карт.
• Медицинские записи (PHI).
• Интеллектуальная собственность и исходный код.

Механизмы DLP выявляют конфиденциальное содержимое с помощью нескольких методов:

• Сопоставление с шаблонами (регулярные выражения) для структурированных данных, например номеров карт.
• Ключевые слова и словари.
• Идентификация по отпечатку / точное сопоставление данных с известными файлами.
• Метки классификации, присвоенные файлам.

Меры контроля работают на разных уровнях:

• DLP на конечных устройствах: агент на ноутбуках, контролирующий USB, буфер обмена и печать.
• DLP в сети: анализирует трафик электронной почты и веб-трафик.
• DLP в облаке / CASB: контролирует программные и облачные хранилища.

Политика DLP связывает обнаружение с ответным действием. Распространенные действия:

• Только наблюдать / вести журнал.
• Оповестить пользователя или команду безопасности.
• Заблокировать передачу.
• Поместить данные в карантин или зашифровать их.

Немедленное включение блокировки приводит к ложным срабатываниям и нарушению рабочих процессов. При развертывании обычно начинают с режима наблюдения (аудита), чтобы понять нормальное поведение и настроить правила, а затем переходят к блокировке правил с высокой точностью.

Слишком широкие правила помечают безобидные действия и раздражают пользователей. Настройка должна быть непрерывной:

• Уточняйте шаблоны и добавляйте контекст (например, требуйте превышения порогового количества).
• Добавляйте известные допустимые процессы в список разрешенных.
• Проверяйте оповещения и вносите корректировки.

DLP и шифрование дополняют друг друга. Шифрование защищает конфиденциальность данных, а DLP контролирует их перемещение. Учтите, что сильное шифрование, применяемое пользователями, может сделать данные невидимыми для DLP, поэтому политика может требовать использования управляемых компанией каналов шифрования.

DLP — мощный, но не абсолютный инструмент:

• Он не может анализировать содержимое, которое не может расшифровать.
• Фотографирование экрана позволяет обойти его.
• Неправильно классифицированные данные могут пройти незамеченными.

DLP — лишь один уровень стратегии эшелонированной защиты, дополняющий управление доступом и наблюдение.

DLP обнаруживает и предотвращает несанкционированный вывод данных:

• Защищает данные в состоянии покоя, при передаче и в использовании.
• Обнаруживает их по шаблонам, ключевым словам, отпечаткам и меткам.
• Развертывается на уровнях конечных устройств, сети и облака.
• Начинайте с режима наблюдения, настраивайте ложные срабатывания, а затем включайте блокировку.