Dlp системы что это такое: DLP-системы | DLP-системы – что это такое и как это работает

Настройка DLP-системы — SearchInform

С установкой DLP-системы справится даже начинающий системный администратор. А вот тонкая настройка DLP требует некоторых навыков и опыта.

Фундамент стабильной работы продуктов класса DLP закладывается на этапе внедрения, который включает:

• определение критической информации, которая подлежит защите;
• разработку политики конфиденциальности;
• настройку бизнес-процессов для решения вопросов информационной безопасности.

Выполнение подобных заданий требует узкой специализации и углубленного изучения DLP-системы.

Классификация систем защиты

Выбор DLP-системы зависит от задач, которые требуется решить конкретной компании. В самом общем виде задачи делятся на несколько групп, включая контроль движения конфиденциальной информации, надзор за активностью сотрудников в течение дня, мониторинг сетевой (анализ шлюзов) и комплексный (сети и конечные рабочие станции).

Для целей большинства компаний оптимальным будет выбор комплексного DLP-решения. Для малых и средних предприятий подойдут хостовые системы. Плюсы хостовых DLP – удовлетворительная функциональность и невысокая стоимость. Среди минусов – низкие производительность, масштабируемость, устойчивость отказов.

У сетевых DLP подобных недостатков нет. Они легко интегрируются и взаимодействуют с решениями других вендоров. Это важный аспект, поскольку DLP-система должна слаженно работать в тандеме с продуктами, уже установленными в корпоративной сети. Не менее важна и совместимость DLP с базами данных и используемым программным обеспечением.

При выборе DLP учитываются каналы передачи данных, которые используются в компании и нуждаются в защите. Чаще всего это протоколы электронной почты, IP-телефонии, НТТР; беспроводные сети, Bluetooth, съемные носители, печать на принтерах, сетевых или работающих автономно.

Функции мониторинга и анализа – важные составляющие корректной работы DLP-системы. Минимальные требования к аналитическим инструментам включают морфологического и лингвистического анализа, способность соотносить контролируемые данные со словарями или сохраненными файлами-«эталонами».

С технической точки зрения современные DLP-решения во многом совпадают. Результативность работы системы зависит от грамотной настройки автоматизации поисковых алгоритмов. Поэтому преимуществом продукта будет простой и понятный процесс наладки DLP, который не потребует регулярных консультаций у технических специалистов вендора.

Подходы к внедрению и настройке

Установка DLP-системы в компании чаще всего идет по одному из двух сценариев.

Классический подход означает, что компания-заказчик самостоятельно устанавливает перечень сведений, нуждающихся в защите, особенности их обработки и передачи, а система контролирует информационный поток.

Аналитический подход заключается в том, что система вначале анализирует информационные потоки, чтобы вычленить сведения, нуждающиеся в защите, а затем происходит тонкая настройка для более точного мониторинга и обеспечения защиты информационных потоков.

Проблемы в процессе эксплуатации DLP

Практика показывает: чаще всего проблемы функционирования DLP-систем кроются не в технических особенностях работы, а в завышенных ожиданиях пользователей. Поэтому гораздо лучше срабатывает аналитический подход к внедрению защиты, его еще называют консалтинговым. «Зрелые» в вопросах ИБ компании, которые уже сталкивались с внедрением инструментов защиты конфиденциальных сведений и знают, что и каким способом лучше защищать, повышают шансы построить отлаженную эффективную систему защиты на базе DLP.

Распространенные ошибки при наладке DLP

• Реализация шаблонных правил

Нередко ИБ-подразделению отводится роль сервисной службы для других подразделений компании, которая оказывает «клиентам» услуги по предотвращению утечек информации. Тогда как для результативной работы ИБ-специалистам требуются доскональные знания операционной деятельности компании, чтобы «заточить» DLP-систему с учетом индивидуальных бизнес-процессов.

• Охват не всех возможных каналов утечки конфиденциальных данных

Контроль электронной почты и HTTP-протоколов средствами DLP-системы при бесконтрольном использовании FTP или USB-портов едва ли обеспечит надежную защиту конфиденциальных данных. В подобной ситуации возможно установить сотрудников, пересылающих корпоративные документы на личную почту, чтобы поработать из дома, или бездельников, просиживающих рабочие часы на сайтах знакомств или в социальных сетях. Но против преднамеренного «слива» данных такой механизм бесполезен.

• Ложные инциденты, которые ИБ-администратор не успевает обработать вручную

Сохранение настроенных по умолчанию на практике оборачивается лавиной ложных оповещений. Например, по запросу «банковские реквизиты» на ИБ-специалиста обрушивается информация обо всех транзакциях в компании, включая оплату канцелярских принадлежностей и доставки воды. Адекватно обработать большое количество ложных тревог система не может, поэтому приходится отключать некоторые правила, что ослабляет защиту и увеличивает риск пропустить инцидент.

• Неспособность предупредить утечку данных

Стандартные настройки DLP позволяют выявить сотрудников, которые занимаются личными делами на рабочем месте. Чтобы система сопоставляла события в корпоративной сети и указывала на подозрительную активность, понадобится тонкая настройка.

• Ухудшение эффективности DLP в связи с выстраиванием информационных потоков вокруг системы

Систему защиты информации следует «настраивать» поверх бизнес-процессов и принятых регламентов работы с конфиденциальной информации, а не наоборот – подгонять работу компании под возможности DLP.

Как решить проблемы?

Чтобы система защиты заработала как часы, нужно пройти все без исключения стадии внедрения и настройки DLP, а именно: планирование, реализация, проверка и корректировка.

Заключается в точном определении программы защиты данных. Ответ на простой, казалось бы, вопрос: «Что будем защищать?» – есть не у каждого заказчика. Разработать план поможет чек-лист, составленный из ответов на более детализированные вопросы:

→ Кто будет использовать DLP-систему?

→ Кто будет администрировать данные?

→ Какие перспективы применения программы в течение трех лет?

→ Какие цели преследует руководство, внедряя DLP-систему?

→ С чем связаны нетипичные требования к предотвращению утечек данных в компании?

Важная часть планирования – уточнить объект защиты, или другими словами, конкретизировать информационные активы, которые передаются конкретными сотрудниками. Конкретизация включает распределение по категориям и учет корпоративных данных. Выполнение задачи обычно выделяют в отдельный проект по защите данных.

Следующий шаг – определение реальных каналов утечки информации, обычно это составляющая аудита информационной безопасности в компании. Если обнаруженные потенциально опасные каналы не «закрывают» DLP-комплексом, следует принять дополнительные технические меры защиты или выбрать DLP-решение с более полным охватом. Важно понимать, что DLP – действенный способов предотвратить утечку с доказанной эффективностью, но не может заменить все современные инструменты защиты данных.

Отладка программы в соответствии с индивидуальными запросами конкретного предприятия базируется на контроле конфиденциальных сведений:

• в соответствии с признаками особенной документации, принятой в компании;
• в соответствии с признаками типовой документации, общей для всех организаций отрасли;
• с использованием правил, направленных на выявление инцидентов (нетипичных действий сотрудников).

Трехступенчатый контроль помогает выявить преднамеренную кражу и несанкционированную передачу информации.

DLP-комплекс входит в состав системы ИБ предприятия, а не заменяет ее. И эффективность работы DLP-решения напрямую связана с корректностью работы каждого элемента. Потому перед изменением «заводской» конфигурации под частные потребности компании проводят подробный мониторинг и анализ. На этом этапе удобно просчитать человеческий ресурс, необходимый для обеспечения стабильной работы DLP-программы.

• 
  

  Корректировка

Проанализировав информацию, собранную на этапе тестовой эксплуатации DLP-решения, приступают к перенастройке ресурса. Этот шаг включает уточнение существующих и установление новых правил; изменение тактики обеспечения безопасности информационных процессов; комплектация штата для работы с DLP-системой, техническое усовершенствованию программы (нередко – с участием разработчика).

Современные DLP-комплексы решают большое количество задач. Однако потенциал DLP полностью реализуется только на основе циклического процесса, где анализ результатов работы системы сменяется уточнением настройки DLP.

ПОПРОБУЙТЕ «СЁРЧИНФОРМ КИБ»!

Полнофункциональное ПО без ограничений по пользователям и функциональности.

Как выбрать DLP-систему | Выбираем DLP-систему для организации

На российском рынке средств информационной безопасности представлены десятки DLP-систем (от англ. Data Leak Prevention – предотвращение утечек данных). Согласно исследованию аналитического центра Anti-Malware, в 2015 году сегмент DLP-решений показал суммарный рост 17% в рублевом исчислении – и продолжает расти на десятки процентов в год.

Отправной точкой роста стала позиция руководителей крупных и средних российских компаний. Они приняли идею о том, что DLP-продукты являются неотъемлемым компонентом системы информационной безопасности. Теперь, когда отечественные и зарубежные разработчики продолжают наращивать мощности на рынке, потребители столкнулись с проблемой выбора. Сравнить характеристики и протестировать каждую из многочисленных систем в «боевых условиях», чтобы выбрать подходящую – задача трудоемкая и долгая.

С чего начать выбор DLP-системы?

Отсеять неподходящие системы на предварительном этапе поможет грамотное техническое задание. Критерии выбора, которые следует учитывать при составлении документа, включают:

• количество контролируемых каналов;
• надежность и скорость работы системы;
• аналитические возможности;
• экспертиза, опыт и надежность разработчика;
• наличие, качество и быстрота реакции техподдержки;
• цена и стоимость владения системой.

Основное требование к DLP-системе – умение предотвратить утечку конфиденциальных данных по любому из каналов, которые используются в компании. Если решение не «закрывает» хотя бы один, стоит пристально изучить остальные возможности системы и понять, компенсируют ли они отсутствие контроля нужного канала передачи данных.

Базовые функции DLP включают также контроль хранения, использования и перемещения критически важных документов внутри корпоративной инфраструктуры. Часть DLP-решений, представленных на российском ИБ-рынке, позволяют при необходимости блокировать конфиденциальную информацию и делать резервирование (сохранять теневые копии). Ряд DLP-систем способны шифровать данные, чтобы их невозможно было прочитать за периметром компании.

Какой тип DLP-системы выбрать?

Традиционная классификация подразумевает две группы DLP-систем:

• активные, способные блокировать конфиденциальную информацию при обнаружении нарушений;
• пассивные, способные только «наблюдать» за потоками данных без возможности вмешаться и повлиять на процессы.

Современные решения для предотвращения утечек – это комплексы «два в одном», способные работать и в активном, и в пассивном режиме.

Сочетание двух режимов в DLP-системе дает преимущество уже на этапе тестирования. Внедрение DLP активного типа сопровождается риском приостановки отлаженных бизнес-процессов из-за некорректных настроек или неотлаженной реакции на события. Установка DLP-комплекса в пассивном тестовом режиме дает возможность спокойно убедиться, что правила мониторинга и реакции настроены корректно, каналы движения информации – под непрерывным наблюдением, а системы логирования и архивирования не перегружают сетевую инфраструктуру.

Другой критерий классификации DLP-решений – по методам архитектурной реализации.

Хостовые DLP предполагают установку программ-«агентов» на компьютеры пользователей. Агенты следят за соблюдением политик безопасности и не дают совершать потенциально опасные действия, например, запускать ПО со съемных устройств. Одновременно агенты регистрирует все действия пользователей и передают информацию в единую базу. Таким образом ИБ-специалист получает полное представление о том, что происходит в корпоративной сети.

Основное преимущество хостовых решений заключается в более полном контроле каналов передачи информации и действий пользователя на рабочем месте. Агенты фиксируют все операции за компьютером, плюс DLP-решения нового поколения позволяют записывать переговоры сотрудников или, например, подключаются к веб-камере. Недостаток хостовых систем в том, что контроль распространяется только на устройства, которые подключаются напрямую и непосредственно взаимодействуют с рабочей станцией.

При выборе хостовых DLP-систем следует обратить внимание, каким способом устанавливаются агенты на компьютеры пользователей. Функция удаленной установки и администрирования избавит ИБ-специалистов от необходимости вручную ставить агента на каждую рабочую станцию.

Другое важное требование к агентским компонентам хостовых DLP – скрытый режим работы и защита от удаления. Если у пользователя есть права локального администратора и уровень IT-грамотности выше среднего, он потенциально может остановить работу агентов и вывести компьютер из-под «поля зрения» DLP-системы.

Сетевые DLP основаны на применении централизованных серверов, куда перенаправляется копия входящего и исходящего трафика для проверки на соответствие политикам безопасности. Сетевые решения обеспечивают высокий уровень защиты от несанкционированного воздействия, так как позволяют ограничить доступ к выделенному шлюзу и предоставить права администрирования узкому кругу сотрудников.

Область применения сетевых DLP-систем ограничена, соответственно, сетевыми протоколами и каналами: SMTP, POP3, HTTP(S), IMAP, MAPI, NNTP, ICQ, XMPP, MMP, MSN, SIP, FTP и т. д. Весомым аргументом в пользу сетевого DLP-решения будет, соответственно, способность контролировать все протоколы передачи данных, востребованные в компании. С точки зрения администратора безопасности привлекательности сетевому DLP-комплексу добавит легкость внедрения и настройки.

Хостовые и сетевые DLP-системы контролируют разные каналы передачи информации, и логичным шагом разработчиков стала интеграция возможностей разнотипных решений. Практически все современные инструменты предотвращения утечек на ИБ-рынке – универсальные комплексы.

Помимо архитектурных следует учитывать также особенности администрирования DLP-систем. В сравнении нужно учесть алгоритмы развертывания компонентов системы, методы распределения ролей, реализацию консоли управления. Администратору безопасности надо предварительно оценить информативность интерфейса, сложность настройки правил и другие параметры, от которых зависит удобство управления комплексом защиты информации.

Отечественное или иностранное DLP-решение?

Несмотря на то, что зарубежные производители уделяют серьезное внимание локализации продуктов, при прочих равных условиях лучше выбрать систему с «родными» лингвистическими алгоритмами.

Для государственных организаций и учреждений в России выбор в пользу отечественных DLP-решений продиктован законом об импортозамещении. В государственном секторе при проведении тендеров российские решения пользуются преференциями. Кроме того, в системах обеспечения информационной безопасности рекомендуется использовать продукты, сертифицированные регуляторами, например, ФСТЭК. Для государственных учреждений использование несертифицированных DLP-систем недопустимо, а при внедрении ИБ-решений, например, в структурах Газпрома или Центрального банка, требуются сертификаты «внутренних» регуляторов.

Аналитические возможности DLP-систем

Определить, отвечает ли DLP-решение задачам компании, помогут четыре параметра.

Формирование отчетности зависит от возможностей DLP-системы не только вести мониторинг, но и архивировать перехваченную информацию. Теневая копия может включать различные типы данных: веб-траффик; почтовые отправления; активность на принтерах; файлы, записываемые на USB-носители; информацию, проходящую по сетевым протоколам. Теневое копирование является эффективным средством расследования инцидентов, однако возможность сохранять «резервную копию» заложена не во всех DLP-системах. Причина – дополнительная нагрузка на сетевые ресурсы и рабочие станции конечных пользователей.

Сколько стоит DLP?

Важный критерий, который сузит круг подходящих решений на этапе формирования требований к DLP-системе, – цена продукта. Хостовые и сетевые системы стоят дешевле универсальных. Общий принцип ценообразования сводится к простой формуле: чем больше дополнительных опций, тем выше конечная стоимость решения.

Цена DLP-системы прямо пропорциональна наличию расширенного инструментария, включая механизм распознавания текста в изображении, модули лингвистического анализа, технологии самообучения и другие функции. Чем выше требования к защите корпоративной информации и чем солиднее бюджет на информационную безопасность, тем более «продвинутой» будет DLP-система. К «продвинутым» функциям, например, относят:

• способность определять транслитерацию;
• анализ текста по методу Байеса;
• применение сигнатур и регулярных выражений;
• технологию «цифровых отпечатков» для анализа документов с мало изменяемой структурой и содержанием;
• модули OCR (Optical Character Recognition – оптического распознавания символов) и другие высокотехнологичные средства контентного анализа.

Затраты на DLP-систему включают не только стоимость самого продукта. Окончательная сумма формируется по нескольким статьям расходов.

Один из вариантов снизить стоимость решения – выяснить, есть ли возможность купить отдельные модули DLP, чтобы не переплачивать за ненужные каналы перехвата.

Заключительный этап

Перед тем, как выбрать единственно верное DLP-решение, следует провести испытания под реальной нагрузкой. Для тестирования необходимо выбрать 2-3 системы в соответствии с техническим заданием и бюджетом. Тестированию DLP-системы предшествует составление программы и методики испытаний. Чтобы выявить все нюансы и проверить надежность ПО, потребуется от двух недель до месяца. По итогам останется только сравнить результаты и выбрать DLP, соответствующую всем критериям.

ПОПРОБУЙТЕ «СЁРЧИНФОРМ КИБ»!

Полнофункциональное ПО без ограничений по пользователям и функциональности.

Принцип работы DLP-системы | DLP-системы – что это такое?

DLP-систему используют, когда необходимо обеспечить защиту конфиденциальных данных от внутренних угроз. И если специалисты по информационной безопасности в достаточной мере освоили и применяют инструменты защиты от внешних нарушителей, то с внутренними дело обстоит не так гладко.

Использование в структуре информационной безопасности DLP-системы предполагает, что ИБ-специалист понимает:

• как сотрудники компании могут организовать утечку конфиденциальных данных;
• какую информацию следует защищать от угрозы нарушения конфиденциальности.

Всесторонние знания помогут специалисту лучше понять принципы работы технологии DLP и настроить защиту от утечек корректным образом.

DLP-система должна уметь отличать конфиденциальную информацию от неконфиденциальной. Если анализировать все данные внутри информационной системы организации, возникает проблема избыточной нагрузки на IT-ресурсы и персонал. DLP работает в основном «в связке» с ответственным специалистом, который не только «учит» систему корректно работать, вносит новые и удаляет неактуальные правила, но и проводит мониторинг текущих, заблокированных или подозрительных событий в информационной системе.

Для настройки «СёрчИнформ КИБ» используются политики безопасности – правила реагирования на ИБ-ицинденты. В системе есть 250 предустановленных политик, которые можно корректировать с учетом задач компании.

Функциональность DLP-системы строится вокруг «ядра» – программного алгоритма, который отвечает за обнаружение и категоризацию информации, нуждающейся в защите от утечек. В ядре большинства DLP-решений заложены две технологии: лингвистического анализа и технология, основанная на статистических методах. Также в ядре могут использоваться менее распространенные техники, например, применение меток или формальные методы анализа.

Разработчики систем противодействия утечкам дополняют уникальный программный алгоритм системными агентами, механизмами управления инцидентами, парсерами, анализаторами протоколов, перехватчиками и другими инструментами.

Ранние DLP-системы базировались на одном методе в ядре: либо лингвистическом, либо статистическом анализе. На практике недостатки двух технологий компенсировались сильными сторонами друг друга, и эволюция DLP привела к созданию систем, универсальных в плане «ядра».

Лингвистический метод анализа работает напрямую с содержанием файла и документа. Это позволяет игнорировать такие параметры, как имя файла, наличие либо отсутствие в документе грифа, кто и когда создал документа. Технология лингвистической аналитики включает:

• морфологический анализ – поиск по всем возможным словоформам информации, которую необходимо защитить от утечки;
• семантический анализ – поиск вхождений важной (ключевой) информации в содержимом файла, влияние вхождений на качественные характеристики файла, оценка контекста использования.

Лингвистический анализ показывает высокое качество работы с большим объемом информации. Для объемного текста DLP-система с алгоритмом лингвистического анализа более точно выберет корректный класс, отнесет к нужной категории и запустит настроенное правило. Для документов небольшого объема лучше использовать методику стоп-слов, которая эффективно зарекомендовала себя в борьбе со спамом.

Обучаемость в системах с лингвистическим алгоритмом анализа реализована на высоком уровне. У ранних DLP-комплексов были сложности с заданием категорий и другими этапами «обучения», однако в современных системах заложены отлаженные алгоритмы самообучения: выявления признаков категорий, возможности самостоятельно формировать и изменять правила реагирования. Для настройки в информационных системах подобных программных комплексов защиты данных уже не требуется привлекать лингвистов.

К недостаткам лингвистического анализа причисляют привязку к конкретному языку, когда нельзя использовать DLP-систему с «английским» ядром для анализа русскоязычных потоков информации и наоборот. Другой недостаток связан со сложностью четкой категоризации с использованием вероятностного подхода, что удерживает точность срабатывания в пределах 95%, тогда как для компании критичной может оказаться утечка любого объема конфиденциальной информации.

Статистические методы анализа, напротив, демонстрируют точность, близкую к 100-процентной. Недостаток статистического ядра связан с алгоритмом самого анализа.

На первом этапе документ (текст) делится на фрагменты приемлемой величины (не посимвольно, но достаточно, чтобы обеспечить точность срабатывания). С фрагментов снимается хеш (в DLP-системах встречается как термин Digital Fingerprint – «цифровой отпечаток»). Затем хеш сравнивается с хешем эталонного фрагмента, взятого из документа. При совпадении система помечает документ как конфиденциальный и действует в соответствии с политиками безопасности.

Недостаток статистического метода в том, что алгоритм не способен самостоятельно обучаться, формировать категории и типизировать. Как следствие – зависимость от компетенций специалиста и вероятность задания хеша такого размера, при котором анализ будет давать избыточное количество ложных срабатываний. Устранить недостаток несложно, если придерживаться рекомендаций разработчика по настройке системы.

С формированием хешей связан и другой недостаток. В развитых IT-системах, которые генерируют большие объемы данных, база отпечатков может достигать такого размера, что проверка трафика на совпадения с эталоном серьезно замедлит работу всей информационной системы.

Преимущество решений заключается в том, что результативность статистического анализа не зависит от языка и наличия в документе нетекстовой информации. Хеш одинаково хорошо снимается и с английской фразы, и с изображения, и с видеофрагмента.

Лингвистические и статистические методы не подходят для обнаружения данных определенного формата для любого документа, например, номера счетов или паспорта. Для выявления в массиве информации подобных типовых структур в ядро DLP-системы внедряют технологии анализа формальных структур.

В качественном DLP-решении используются все средства анализа, которые работают последовательно, дополняя друг друга.

Определить, какие технологии присутствуют в ядре, можно по описанию возможностей конкретного DLP-комплекса.

Не меньшее значение, чем функциональность ядра, имеют уровни контроля, на которых работает DLP-система. Их два:

Разработчики современных DLP-продуктов отказались от обособленной реализации защиты уровней, поскольку от утечки нужно защищать и конечные устройства, и сеть.

Сетевой уровень контроля при этом должен обеспечивать максимально возможный охват сетевых протоколов и сервисов. Речь идет не только о «традиционных» каналах (почтовые протоколы, FTP, HTTP-трафик), но и о более новых системах сетевого обмена (Instant Messengers, облачные хранилища). К сожалению, на сетевом уровне невозможно контролировать шифрованный трафик, но данная проблема в DLP-системах решена на уровне хоста.

Контроль на хостовом уровне позволяет решать больше задач по мониторингу и анализу. Фактически ИБ-служба получает инструмент полного контроля за действиями пользователя на рабочей станции. DLP с хостовой архитектурой позволяет отслеживать, что копируется на съемный носитель, какие документы отправляются на печать, что набирается на клавиатуре, записывать аудиоматериалы, делать снимки экрана. На уровне конечной рабочей станции перехватывается шифрованный трафик (например, Skype), а для проверки открыты данные, которые обрабатываются в текущий момент и которые длительное время хранятся на ПК пользователя.

Помимо решения обычных задач, DLP-системы с контролем на хостовом уровне обеспечивают дополнительные меры по обеспечению информационной безопасности: контроль установки и изменения ПО, блокировка портов ввода-вывода и т.п.

Минусы хостовой реализации в том, что системы с обширным набором функций сложнее администрировать, они более требовательны к ресурсам самой рабочей станции. Управляющий сервер регулярно обращается к модулю-«агенту» на конечном устройстве, чтобы проверить доступность и актуальность настроек. Кроме того, часть ресурсов пользовательской рабочей станции будет неизбежно «съедаться» модулем DLP. Поэтому еще на этапе подбора решения для предотвращения утечки важно обратить внимание на аппаратные требования.

Принцип разделения технологий в DLP-системах остался в прошлом. Современные программные решения для предотвращения утечек задействуют методы, которые компенсируют недостатки друг друга. Благодаря комплексному подходу конфиденциальные данные внутри периметра информационной безопасности становится более устойчивыми к угрозам.

ПОПРОБУЙТЕ «СЁРЧИНФОРМ КИБ»!

Полнофункциональное ПО без ограничений по пользователям и функциональности.

DLP-система — что это такое и зачем нужна?

Что такое DLP система?

DLP-система (от англ. Data Leak Prevention) это специализированное ПО, которое защищает организацию от утечек данных. Данная технология – это не только возможность блокировать передачу конфиденциальной информации по различным каналам, но и инструмент для наблюдения за ежедневной работой сотрудников, который позволяет найти слабые места в безопасности до наступления инцидента.

Зачем нужна DLP и как она работает?  

Часто в компаниях больше внимание уделяют внешним угрозам: спаму и фишинг-атакам типа «отказ в обслуживании», вирусам (троянскому ПО, червям), подмене главных страниц интернет-ресурсов, шпионскому и рекламному программному обеспечению, социальному инжинирингу. Но на самом деле внутренние угрозы способны причинить компании куда более серьезный ущерб, чем злоумышленники за ее пределами.

В принципе любой работник компании может являться потенциальным инсайдером и поставить информационную безопасность под угрозу. От злого умысла или банальной оплошности не застрахован никто: от низшего звена и до топ-менеджмента.

Принцип работы DLP-системы прост и заключается в анализе всей информации: исходящей, входящей и циркулирующей внутри компании. Система при помощи алгоритмов анализирует, что это за информация и в случае, если она критичная и отправляется туда куда ей не положено — блокирует передачу и/или уведомляет об этом ответственного сотрудника.

Основа DLP — набор правил. Они могут быть любой сложности и касаться разных аспектов работы. Если кто-то их нарушает, то ответственные лица получают уведомление.

Так, например, в компании Х выявили сотрудника, который занимался майнингом криптовалют. Это было обнаружено при использовании модуля активности пользователей – отчёт показал, что рабочая станция не отключалась на ночь. После просмотра запущенных процессов выяснилось, что сотрудник перед уходом запускал процесс майнинга.

Система отслеживает не только время работы и активные программы на компьютере, но и любую другую работу с информацией, — ввод данных с клавиатуры, переписку и передачу файлов по почте, в соцсетях и мессенджерах, отправляемые на печать документы, время простоя, SIP-телефонию, активность на сайтах и многое другое. 

Способы перехвата данных

Для того, чтобы анализировать данные — DLP-система сперва должна их получить.

Есть два основных способа перехвата — серверный и агентский. В первом случае система контролирует сетевой траффик на сервере, через который компьютеры «общаются» с внешним миром. Во втором случае специальные небольшие программы — агенты — устанавливаются на все компьютеры организации и передают с каждой машины данные для анализа.

Агентский перехват является более распространённым, ведь с его помощью можно получить гораздо больше данных из различных каналов коммуникации, а значит и надежнее предотвратить возможные утечки.

Нужна ли DLP вашей организации?

Если ответить кратко – да, конечно. 

У каждой компании есть информация, которая имеет ценность, а значит притягивает злоумышленников, не только снаружи, но и изнутри. Это может быть клиентская база, особенности технологических процессов, чертежи, даже банальный список адресов для пресс-релиза несет ценность, которую не хочется просто так дарить конкурентам.

Как выбрать DLP?

Если вы убедились, что система защиты данных вам необходима, возникает вопрос, как ее выбрать исходя из разнообразия, представленного на рынке. Для начала задайте себе несколько вопросов:

• Какие каналы передачи информации она должна контролировать

• Будет ли использоваться система в расследованиях или работать только на перехват

• Какой бюджет и оборудование будут выделены на систему

Чтобы максимально полно ответить на эти вопросы, лучше всего запросить демо-версию продукта. Большинство разработчиков предоставляет DLP на некоторое время, чтобы вы могли посмотреть, как она работает. Во время тестового периода можно понять, насколько хорошо выбранный программный комплекс закрывает задачи, а также сравнить с другими.

DLP-системы и законодательство

Сама DLP-система, а также процедура ее внедрения при правильном исполнении соответствует требованиям законодательства. Достаточно отметить, что система мониторит исключительно рабочий процесс, а не частную жизнь человека.  

Неочевидные способы использования DLP-системы

Казалось бы, система, созданная для контроля утечки данных, больше ничем не может быть полезна. Однако современные DLP имеют и другие возможности, неочевидные на первый взгляд.

•     Анализ загруженности персонала

Многие DLP-системы способны вести учет рабочего времени сотрудников. Рабочий процесс каждого пользователя можно представить в виде статистики, которая позволяет проанализировать, насколько сотрудник вовлечен в трудовой процесс.

•     Обеспечение юридической поддержки

Задача DLP состоит не только в том, чтобы предотвратить утечки, но еще и при наличии судебного разбирательства, предоставить доказательства злоумышленной деятельности.

•     DLP как инструмент мотивации

Когда сотрудники осознают, что их трудовая деятельность находится под мониторингом, появляется большая ответственность за рабочий процесс. И это в свою очередь приводит к улучшению климата в коллективе.

•     DLP как хранилище

DLP-технология гарантирует сохранность всей информации, поскольку содержит в своём архиве все коммуникации сотрудников, к которым в случае необходимости можно будет обратиться.

системы | Внедрение DLP-систем для защиты от утечки информации

В своих решениях мы используем DLP-системы:

Выбор конкретной DLP-системы зависит от требуемого уровня обеспечения безопасности данных и всегда выбирается индивидуально. Для помощи в выборе DLP-системы и расчета стоимости ее внедрения в ИТ-инфраструктуру компании оставьте заявку, и мы свяжемся с вами в ближайшее время.

Получить консультацию по DLP-системам

Что такое DLP-система

DLP-система (Data Leak Prevention в переводе с английского — «предотвращение утечки данных») — это технологии и технические устройства, которые предотвращают утечку конфиденциальной информации из информационных систем.

DLP-системы анализируют потоки данных и контролируют их перемещение внутри определенного периметра информационной системы, который является защищенным. Это могут быть ftp-соединения, корпоративная и web-почта, локальные соединения, а также передача мгновенных сообщений и данных на принтер. В случае преобразования конфиденциальной информации в потоке, активируется компонента системы, которая и блокирует передачу потока данных.

Иными словами, DLP-системы стоят на страже конфиденциальных и стратегически важных документов, утечка которых из информационных систем наружу может принести непоправимый урон компании, а также нарушить Федеральные законы № 98-ФЗ «О коммерческой тайне» и № 152-ФЗ «О персональных данных». Защита информации от утечки, также, упоминается в ГОСТ. «Информационная технология. Практические правила управления информационной безопасностью» — ГОСТ Р ИСО/МЭК 17799-2005.

Как правило, утечка конфиденциальной информации может осуществляться как вследствие взлома и проникновения, так и в результате невнимательности, небрежности сотрудников предприятия, а также усилий инсайдеров — намеренная передача конфиденциальной информации сотрудниками предприятия. Поэтому DLP-системы являются наиболее надёжными технологиями защиты от утечки конфиденциальной информации: они обнаруживают защищаемую информацию по содержанию, независимо от языка документа, грифа, каналов передачи и формата.

Также DLP-система контролирует абсолютно все каналы, которые используются повседневно для передачи информации в электронном виде. Потоки информации автоматически обрабатываются на основе установленной политики безопасности. Если же действия конфиденциальной информации вступают в противоречия с установленной компанией политикой безопасности, то передача данных блокируется. При этом доверенное лицо компании, отвечающее за информационную безопасность, получает мгновенное сообщение с предупреждением о попытке передачи конфиденциальной информации.

Внедрение DLP-системы, прежде всего, обеспечивает соответствие с рядом требований стандарта PCI DSS касательно уровня информационной безопасности предприятия. Также DLP-системы осуществляют автоматический аудит защищенной информации, согласно ее месторасположению и обеспечивают автоматизированный контроль, согласно правилам перемещения конфиденциальной информации в компании, обрабатывая и предотвращая инциденты неправомерного разглашения секретных сведений. Система предотвращения утечки данных, на основании отчётов по инцидентам, отслеживает общий уровень рисков, а также в режимах ретроспективного анализа и немедленного реагирования контролирует утечку информации.

DLP-системы устанавливаются как на небольших, так и крупных предприятиях, предотвращая утечку информации, тем самым защищая компанию от финансовых и юридических рисков, которые возникают при потере или передаче важной корпоративной или конфиденциальной информации.

Подобрать DLP-решение

Выбираем DLP-систему для средней организации / Хабр

Добрый день, уважаемое хабрасообщество! Не так давно перед нашей компанией встал вопрос, какую из систем защиты от утечек данных выбрать. Под катом собственные мысли по данному вопросу, а также сравнительная таблица с описанием возможностей систем.

Прошу учесть, что статья не является рекламой какого-либо определенного продукта. В ней отражены взгляды одного единственного сотрудника ИТ-отдела средней компании.

Итак, на недавней планерке была поставлена задача «Внедрить!». Но что конкретно внедрять, оговорено не было, поэтому после изучения вопроса и проведения анализа рынка и был создан этот топик.

Наша организация не особо выделяется из массы прочих средних организаций, внутри имеется порядка 250 рабочих станций и несколько серверов, которые необходимо защищать от утечки очень важных и чрезвычайно секретных данных. К сожалению, статистика неумолима, и 80% утечек информации происходят по вине самих сотрудников организации (инсайдеры). Распространение данных может быть как умышленным, так и совершенно случайным, а все случаи такого распространения должны обнаруживаться и пресекаться (это в идеале). Как этого добиться? Администраторы компании могут полностью закрыть интернет, электронную почту и сменные носители, оставив тем самым пользователей совсем без доступа к внешним ресурсам. Вариант почти идеальной защищенности, за исключением того, что он никого не устраивает, кроме самих администраторов. Можно немного подобреть, и открыть доступ в интернет или к сменным носителям только «избранным» сотрудникам. Вероятность утечек уменьшится, но кто сможет гарантировать, что «избранный» сотрудник полностью лоялен компании? Казалось бы, положение безвыходное, но здесь на помощь приходят DLP-системы.

DLP (Data Loss Prevention)- система это программный продукт, созданный для предотвращения утечек конфиденциальной информации за пределы корпоративной сети. Строится эта система на анализе потоков данных, выходящих за пределы корпоративной сети. В случае сработки определенной сигнатуры и детекта передачи конфиденциальной информации система либо блокирует такую передачу, либо посылает уведомления офицеру безопасности.

Основными требованиями к кандидатам были стоимость комплекса и количество контролируемых каналов.

В сравнении принимали участие:

• Securit ZGate;
• InfoWatch Traffic Monitor;
• Symantec Data Loss Prevention;
• Search Inform Контур безопасности;
• FalconGaze SecureTower.

Информация о продуктах бралась с официальных сайтов и от региональных представителей компаний. Вот что получилось в итоге:

Следует уточнить, что:
Модульность системы- параметр, означающий, может ли продукт все контролировать или необходимо закупать разные модули для контроля определенных каналов утечки информации.

Администратор системы производит установку и настройку системы. Офицер безопасности производит контроль за действиями сотрудников и работы системы в целом.

БКФ-база контентной фильтрации. Позволяет по определенным признакам отнести документ к определенной степени конфиденциальности.

ОБ-офицер безопасности.

РМ-Рабочее место.

Символом n/a обозначены пункты, информацию по которым мне уточнить не удалось, а символами ± те пункты, где получение информации вызвало трудность. К примеру, получение пробных версий довольно сложное мероприятие, требующее указать много данных об организации, а также привлечь специалистов компании-разработчика в свой офис.

Итак, эта таблица упростила выбор DLP-системы для моей организации, и, надеюсь, поможет вам сделать свой выбор в случае аналогичной задачи.

что это такое, обзор, рынок — СКБ Контур

Предлагаем ряд маркеров, которые помогут выжать максимум из любой системы DLP.

DLP-системы: что это такое

Напомним, что DLP-системы (Data Loss/Leak Prevention) позволяют контролировать все каналы сетевой коммуникации компании (почта, интернет, системы мгновенных сообщений, флешки, принтеры и т д.). Защита от утечки информации достигается за счет того, что на все компьютеры сотрудников ставятся агенты, которые собирают информацию и передают ее на сервер. Порой информация собирается через шлюз, с использованием SPAN-технологий. Информация анализируется, после чего системой или офицером безопасности принимаются решения по инциденту.

Итак, в вашей компании прошло внедрение DLP-системы. Какие шаги необходимо предпринять, чтобы система заработала эффективно?

1. Корректно настроить правила безопасности

Представим, что в системе, обслуживающей 100 компьютеров, создано правило «Фиксировать все переписки со словом «договор»». Такое правило спровоцирует огромное число инцидентов, в котором может затеряться настоящая утечка.

Кроме того, не каждая компания может позволить себе содержать целый штат сотрудников, отслеживающих инциденты.

Повысить коэффициент полезности правил поможет инструментарий по созданию эффективных правил и отслеживанию результатов их работы. В каждой DLP-системе есть функционал, который позволяет это сделать.

В целом методология предполагает анализ накопленной базы инцидентов и создание различных комбинаций правил, которые в идеале приводят к появлению 5–6 действительно неотложных инцидентов в день.

2. Актуализировать правила безопасности с определенной периодичностью

Резкое снижение или увеличение числа инцидентов — показатель того, что требуется корректировка правил. Причины могут быть в том, что правило потеряло актуальность (пользователи перестали обращаться к определенным файлам) либо сотрудники усвоили правило и больше не совершают действий, запрещенных системой (DLP — обучающая система). Однако практика показывает, что если одно правило усвоено, то в соседнем месте потенциальные риски утечки возросли.

Также следует обращать внимание на сезонность в работе предприятия. В течение года ключевые параметры, связанные со спецификой работы компании, могут меняться. Например, для оптового поставщика малой техники весной будут актуальны велосипеды, а осенью — снегокаты.

3. Продумать алгоритм реагирования на инциденты

Есть несколько подходов к реагированию на инциденты. При тестировании и обкатке DLP-систем чаще всего людей не оповещают об изменениях. За участниками инцидентов лишь наблюдают. При накоплении критической массы с ними общается представитель отдела безопасности или отдела кадров. В дальнейшем часто работу с пользователями отдают на откуп представителям отдела безопасности. Возникают мини-конфликты, в коллективе накапливается негатив. Он может выплеснуться в намеренном вредительстве сотрудников по отношению к компании. Важно соблюдать баланс между требованием дисциплины и поддержанием здоровой атмосферы в коллективе.

4. Проверить работу режима блокировки

Существует два режима реагирования на инцидент в системе — фиксация и блокировка. Если каждый факт пересылки письма или прикрепления вложенного файла на флэшку блокируется, это создает проблемы для пользователя. Часто сотрудники атакуют системного администратора просьбами разблокировать часть функций, руководство также может быть недовольно такими настройками. В итоге система DLP и компания получают негатив, система дискредитируется и демаскируется.

Рекомендуем режим блокировки подключать лишь на правила, которые в 100 % случаев являются истинными утечками. При условно-ложных срабатываниях рекомендуется подключать режим фиксации инцидентов.

5. Проверить, введен ли режим коммерческой тайны

Режим коммерческой тайны дает возможность сделать определенную информацию конфиденциальной, а также обязует любое лицо, знающее об этом, нести полную юридическую ответственность за ее разглашение. В случае серьезной утечки информации при действующем на предприятии режиме коммерческой тайны с нарушителя можно взыскать сумму фактического и морального ущерба через суд в соответствии с 98-ФЗ «О коммерческой тайне».

Надеемся, что данные советы помогут снизить число непреднамеренных утечек в компаниях, ведь именно с ними призваны успешно бороться системы DLP. Однако не стоит забывать о комплексной системе информационной безопасности и о том, что намеренные утечки информации требуют отдельного пристального внимания. Существуют современные решения, которые позволяют дополнить функционал систем DLP и значительно снизить риск намеренных утечек. Например, один из разработчиков предлагает интересную технологию — при подозрительно частом обращении к конфиденциальным файлам автоматически включается веб-камера и начинает вести запись. Именно эта система позволила зафиксировать, как незадачливый похититель активно делал снимки экрана с помощью мобильной фотокамеры.

Защита данных от утечки 

Узнать больше

Олег Нечеухин, эксперт по защите информационных систем, «Контур.Безопасность»

Что такое предотвращение потери данных (DLP)?

Узнайте больше о программном обеспечении для предотвращения потери данных в Data Protection 101, нашей серии статей, посвященной основам безопасности данных.

Что такое предотвращение потери данных (DLP)?

Предотвращение потери данных (DLP) — это набор инструментов и процессов, используемых для предотвращения потери, неправильного использования или доступа к конфиденциальным данным неавторизованными пользователями. Программное обеспечение DLP классифицирует регулируемые, конфиденциальные и важные для бизнеса данные и выявляет нарушения политик, определенных организациями или в рамках заранее определенного пакета политик, обычно обусловленных соблюдением нормативных требований, таких как HIPAA, PCI-DSS или GDPR.Как только эти нарушения обнаружены, DLP обеспечивает исправление с помощью предупреждений, шифрования и других защитных мер, чтобы предотвратить случайный или злонамеренный обмен данными конечными пользователями, которые могут поставить организацию под угрозу. Программное обеспечение и инструменты для предотвращения потери данных отслеживают и контролируют действия конечных точек, фильтруют потоки данных в корпоративных сетях и отслеживают данные в облаке для защиты данных в состоянии покоя, в движении и использовании. DLP также предоставляет отчеты, чтобы соответствовать требованиям и требованиям аудита, а также выявлять слабые места и аномалии для криминалистической экспертизы и реагирования на инциденты.

Требуется ли предотвращение потери данных? 3 основных варианта использования DLP

Предотвращение потери данных решает три основные задачи, которые являются общими для многих организаций: защита / соответствие личной информации, защита интеллектуальной собственности (IP) и видимость данных.

1. Защита / соответствие личной информации : Собирает ли ваша организация и хранит личную информацию (PII), защищенную медицинскую информацию (PHI) или информацию о платежных картах (PCI)? В таком случае вы, скорее всего, подпадаете под действие нормативных требований, таких как HIPAA (для PHI) и GDPR (для личных данных жителей ЕС), которые требуют от вас защиты конфиденциальных данных ваших клиентов.DLP может идентифицировать, классифицировать и маркировать конфиденциальные данные, а также отслеживать действия и события, связанные с этими данными. Кроме того, возможности отчетности предоставляют подробную информацию, необходимую для аудита соответствия.
2. Защита интеллектуальной собственности : Располагает ли ваша организация важной интеллектуальной собственностью и коммерческими или государственными секретами, которые могут поставить под угрозу финансовое здоровье и имидж вашей организации в случае потери или кражи? Решения DLP, такие как Digital Guardian, которые используют классификацию на основе контекста, могут классифицировать интеллектуальную собственность как в структурированной, так и в неструктурированной форме.С помощью политик и средств управления вы можете защитить себя от нежелательной кражи этих данных.
3. Доступность данных: Ваша организация хочет получить дополнительную информацию о перемещении данных? Комплексное корпоративное решение DLP может помочь вам увидеть и отслеживать данные на конечных точках, в сетях и в облаке. Это даст вам представление о том, как отдельные пользователи в вашей организации взаимодействуют с данными.

Хотя это три основных варианта использования, DLP может устранить множество других проблем, включая внутренние угрозы, безопасность данных Office 365, анализ поведения пользователей и сущностей и сложные угрозы.

Почему предотвращение потери данных? 7 тенденций, способствующих внедрению DLP

Согласно оценкам Gartner Magic Quadrant для Enterprise DLP за 2017 год, общий рынок предотвращения потери данных достигнет 1,3 миллиарда долларов в 2020 году. Теперь обновленные прогнозы показывают вероятный размер рынка в 2,64 миллиарда долларов в 2020 году. Рынок DLP не нова, но в него, помимо прочего, включены управляемые сервисы, облачные функции и расширенная защита от угроз. Все это, в сочетании с тенденцией к росту гигантских утечек данных, привело к резкому росту внедрения DLP в качестве средства защиты конфиденциальных данных.Вот девять тенденций, которые способствуют более широкому внедрению DLP:

1. Рост роли CISO: Все больше компаний нанимают и нанимают директоров по информационной безопасности (CISO), которые часто подчиняются генеральному директору. Руководители хотят знать план игры по предотвращению утечек данных. DLP обеспечивает очевидную ценность для бизнеса в этом отношении и дает директорам по информационным технологиям необходимые возможности отчетности для предоставления генеральному директору регулярных обновлений.
2. Новые требования к соблюдению нормативных требований: Глобальные правила защиты данных постоянно меняются, и ваша организация должна быть адаптирована и подготовлена.За последние пару лет законодатели в ЕС и штате Нью-Йорк, соответственно, приняли Регламент кибербезопасности GDPR и NYDFS, которые ужесточили требования к защите данных. Решения DLP позволяют организациям гибко развиваться в соответствии с меняющимися мировыми правилами.
3. Есть больше мест для защиты ваших данных: Более широкое использование облака, сложные сети цепочки поставок и другие услуги, над которыми вы больше не можете полностью контролировать, усложнили защиту ваших данных.Видимость событий и контекста событий, которые окружают ваши данные, до того, как они покинут вашу организацию, важна для предотвращения попадания ваших конфиденциальных данных в чужие руки.
4. Утечки данных бывают частыми и крупными: Злоумышленники из национальных государств, киберпреступники и злонамеренные инсайдеры атакуют ваши конфиденциальные данные по разным мотивам, таким как корпоративный шпионаж, личная финансовая выгода и политическая выгода. DLP может защитить от всех видов злоумышленников, злонамеренных или нет.Всего за последние пару лет произошли тысячи утечек данных и множество других инцидентов, связанных с безопасностью. Миллиарды записей были потеряны в результате гигантских утечек данных, таких как: неправильная конфигурация базы данных, из-за которой в 2015 году произошло утечка почти 200 миллионов записей избирателей в США, утечка данных Equifax, которая продолжала расти, и утечка Yahoo, затронувшая 3 миллиарда пользователей. Это лишь некоторые из множества хедлайнеров, которые подчеркивают необходимость защиты данных вашей организации.
5. Похищенные данные вашей организации дороже: Похищенные данные часто продаются в даркнете, где отдельные лица и группы могут приобретать и использовать их в своих интересах.Поскольку определенные типы данных продаются по цене до нескольких тысяч долларов, существует явный финансовый стимул для кражи данных.
6. Есть еще данные, которые можно украсть: С годами определение конфиденциальных данных расширилось. Конфиденциальные данные теперь включают нематериальные активы, такие как модели ценообразования и бизнес-методологии. Согласно исследованию рыночной стоимости нематериальных активов Ocean Tomo, с 1975 по 2015 год объем нематериальных активов вырос с 17% от рыночной стоимости S&P 500 до 84%.Эти активы также достигли рекордного уровня в 21 триллион долларов в 2018 году. Это означает, что вашей организации нужно защищать гораздо больше данных.
7. Нехватка талантов в области безопасности: Нехватка талантов в области безопасности не исчезнет в ближайшее время, и вы, вероятно, уже почувствовали ее влияние на свою организацию. Фактически, в опросе ESG и ISSA от 2017 года 43% респондентов заявили, что их организации пострадали от нехватки. Дефицит только усугубляется: к 2021 году прогнозируется 3,5 миллиона незаполненных должностей в сфере безопасности.Управляемые службы DLP действуют как удаленные расширения вашей команды, чтобы заполнить этот кадровый пробел.

Какой тип предотвращения потери данных подходит для вашей организации?

Передовые методы предотвращения потери данных

• Определите вашу основную цель защиты данных. Вы пытаетесь защитить свою интеллектуальную собственность, повысить прозрачность своих данных или обеспечить соответствие нормативным требованиям? Имея основную цель, легче определить наиболее подходящую архитектуру развертывания DLP или комбинацию архитектур .Четыре основных архитектуры развертывания DLP: Endpoint DLP, Network DLP, Discovery и Cloud.
• DLP — это решение не только безопасности. Если у вас еще нет утвержденного бюджета для программы DLP, вам потребуется бай-инов от других руководителей , таких как финансовый директор и генеральный директор. Используйте болевые точки различных бизнес-единиц, чтобы показать, как DLP может их решить. Например, проблемы финансового директора включают эффективное использование активов и прибыльный рост. Управляемые услуги DLP решают эти проблемы, устраняя необходимость в дополнительном персонале и капитальных затратах для развертывания и поддержки программы DLP.
• Изучая поставщиков DLP, устанавливает критерии оценки :
  
  1. Какие типы архитектур развертывания предлагаются?
  2. Поддерживают ли они Windows, Linux и OS X с паритетом функций?
  3. Какие варианты развертывания они предлагают? Предоставляют ли они управляемые услуги?
  4. Вам нужно защищаться в основном от внутренних или внешних угроз? Или оба?
  5. Вам нужно выполнить проверку и классификацию на основе содержимого или контекста? Смогут ли ваши пользователи самостоятельно классифицировать документы? Вам нужно сочетание нескольких методов?
  6. Вас больше всего беспокоит защита структурированных или неструктурированных данных?
  7. Планируете ли вы видеть и принудительно перемещать данные на основе политик, событий или пользователей?
  8. Какие нормативы соответствия вы обязаны соблюдать? Какие новые правила на горизонте?
  9. Кто их партнеры по технологическому альянсу и какие технологии вы хотели бы интегрировать в свой DLP?
  10. Как быстро вам нужно развернуть программу DLP?
  11. Потребуется ли вам дополнительный персонал для управления вашей программой DLP?
• Четко определите роли и обязанности лиц, участвующих в программе DLP вашей организации.Выработка ролевых прав и обязанностей обеспечит сдерживание и противовес.
• Старт с четко определенным быстрым выигрышем . Организации часто пробуют сложные первоначальные планы развертывания или пытаются решить слишком много вариантов использования одновременно. Определите свой первоначальный подход и поставьте цели, которые будут быстрыми и измеримыми. Вам следует использовать либо проектный подход, когда вы ограничиваетесь и сосредотачиваетесь на конкретном типе данных, либо подход видимости данных, где ваша основная задача — обнаружение и автоматическая классификация конфиденциальных данных для контроля исходящего потока.
• Работайте вместе с руководителями подразделений , чтобы определить политики защиты от потери данных, которые будут управлять данными вашей организации. Это поможет убедиться, что различные бизнес-подразделения осведомлены о действующих политиках и о том, как на них могут повлиять. Помните, что не существует единого правильного способа разработки политик защиты от потери данных. Часто стратегия DLP согласуется с вашей корпоративной культурой.
• Тщательно документируйте свои процессы . Это поможет вам последовательно применять политики, даст вам документ, подтверждающий необходимость проверки, а также будет полезен при приеме на работу новых членов команды или сотрудников.
• Определите показатели успеха и поделитесь отчетами с руководителями бизнеса. Определите ключевые показатели эффективности (KPI), которые вы должны измерять, и внимательно следите за ними, чтобы определить успех вашей программы DLP и области, в которых можно улучшить. Поделитесь этими показателями с руководителями вашей организации, чтобы продемонстрировать положительное влияние DLP и его ценность для бизнеса.
• DLP — это программа, а не продукт. Установка средства защиты от потери данных — это только первый шаг в предотвращении потери данных. Хотя вы можете добиться быстрых результатов, понимание того, что DLP — это программа, над которой нужно постоянно работать, поможет вам добиться устойчивого успеха.DLP — это постоянный процесс понимания ваших данных и того, как пользователи, системы и события взаимодействуют с этими данными, чтобы лучше защитить их.

Эксперты оценивают предотвращение потери данных

Вот что говорят эксперты о предотвращении потери данных.

1. Защита данных — дело каждого. «Каждый в компании несет ответственность за соблюдение стандартов безопасности данных. Хотя ИТ-отдел выполняет большую часть повседневной работы с этими системами и процессами, заинтересованные стороны в вашей организации влияют на политику и реализацию безопасности.

Подумайте о последствиях утечки данных: ущерб бренду, нарушения нормативных требований (и связанные с этим штрафы), а также потеря продаж и клиентов наносят ущерб компании в целом. После размышлений об этом внезапно оказалось, что возможности ИТ-отдела недостаточно широки, чтобы решить все эти проблемы. Создавая аргументы в пользу решения DLP, вы должны привлечь руководителей вашей компании, которые станут основными заинтересованными сторонами ». — Выбор решения DLP: управляемый план, Nightfall.ai

При создании аргумента в пользу решения DLP вы должны привлечь руководителей вашей компании, которые станут основными заинтересованными сторонами.Приведите этих людей к столу во время процесса открытия и дайте им возможность просмотреть демонстрации и задать вопросы, прежде чем подписать окончательное решение. Потребности каждой организации различаются, но участие в таких обсуждениях руководителей инженерных, производственных, юридических и даже отделов продаж и маркетинга помогает.

2. Шифрование важно. «Конечно, безопасность — это больше, чем шифрование. Но шифрование — важный компонент безопасности. Хотя это в основном невидимое, вы используете надежное шифрование каждый день, и наш Интернет-мир был бы гораздо более рискованным местом, если бы вы этого не сделали.

Когда все сделано правильно, надежное шифрование — это нерушимое шифрование. Любая слабость в шифровании будет использована хакерами, преступниками и иностранными правительствами. Многие взломы, о которых пишут новости, можно отнести к слабому или, что еще хуже, к несуществующему шифрованию «. — Брюс Шнайер, Значение шифрования, Шнайер по вопросам безопасности

3. Помните об инсайдерских угрозах. «Я работал с организациями, чтобы предотвращать внутренние угрозы, а также реагировать на инциденты. По моему опыту, представление о том, что «легко» сдерживать и обнаруживать внутренние угрозы, возможно только в том случае, если организации в первую очередь проявляют инициативу в отношении своего подхода.Существуют стратегические способы проактивности — от внутреннего обучения для бизнес-пользователей, чтобы они чувствовали себя ответственными с помощью знаний, навыков и осведомленности, — до мониторинга действий, которые компании могут использовать, которые устанавливают правила и параметры того, что считается целесообразным для различных сотрудников в качестве части. своих рабочих функций и отметок, которые выходят за рамки этих правил ». — Исаак Коэн, Выявление и сдерживание инсайдерских угроз: насколько это просто?, LinkedIn

Почему Digital Guardian?

Digital Guardian — это облачная платформа защиты данных нового поколения, которая является единственным решением, объединяющим DLP, обнаружение конечных точек и ответ (EDR), а также аналитику поведения пользователей и объектов (UEBA) для обеспечения защиты данных от всех угроз.Наша комплексная платформа DLP устраняет необходимость в дополнительных агентах и ​​консолях для EDR или UEBA и позволяет группам ИТ-безопасности консолидировать свои возможности безопасности. Мы были названы лидером Gartner Magic Quadrant в области Enterprise DLP в течение пяти лет подряд и занимаем первое место в рейтинге Gartner по защите IP.

Наша платформа обеспечивает:

1. Самая глубокая видимость — Мы видим и коррелируем системные события, пользовательские события и события данных в конечной точке, в сети, в облаке и в базах данных, чтобы дать вам 360-градусную перспективу перемещение данных в вашей организации.Это критически важно для защиты конфиденциальных данных от всех угроз, как внутренних, так и внешних.
2. Аналитика в реальном времени — Digital Guardian Analytics & Reporting Cloud использует архитектуру облачных сервисов больших данных для агрегирования и анализа миллионов системных событий, пользовательских событий и событий данных. События организованы в виде полезной информации, позволяющей аналитикам определять приоритеты и реагировать на угрозы более разумно и эффективно.
3. Гибкие средства управления — Наша платформа автоматизирует средства контроля для предотвращения утечек данных до того, как они произойдут.Элементы управления гибкие с ситуационной детализацией, поэтому они не мешают вашей повседневной деловой деятельности.

Мы осознаем нехватку специалистов в области безопасности и готовы восполнить этот пробел. Наша программа управляемой безопасности расширяет возможности вашей команды. Наши круглосуточные группы глобальных аналитиков по безопасности помогут гарантировать, что конфиденциальные данные не покинут вашу организацию. Мы полностью управляем вашей инфраструктурой защиты данных и поможем развернуть ее в кратчайшие сроки.

Дополнительные ресурсы:

Подробнее о Digital Guardian

Теги: Data Protection 101, Data Loss Prevention

Что такое Data Loss Prevention (DLP) | Устранение утечки данных

Причины утечки данных

Три распространенные причины утечки данных:

• Внутренние угрозы — злоумышленник или злоумышленник, который взломал привилегированную учетную запись пользователя, злоупотребляет их разрешениями и пытается переместить данные за пределы организации.
• Экструзия злоумышленниками — многие кибератаки используют конфиденциальные данные в качестве своей цели. Злоумышленники проникают через периметр безопасности, используя такие методы, как фишинг, вредоносное ПО или внедрение кода, и получают доступ к конфиденциальным данным.
• Непреднамеренное или небрежное раскрытие данных — многие утечки данных происходят в результате того, что сотрудники теряют конфиденциальные данные публично, предоставляют открытый доступ к данным в Интернете или не могут ограничить доступ в соответствии с политиками организации.

Предотвращение утечки данных

Вы можете использовать стандартные инструменты безопасности для защиты от потери и утечки данных.Например, система обнаружения вторжений (IDS) может предупреждать о попытках злоумышленника получить доступ к конфиденциальным данным. Антивирусное программное обеспечение может предотвратить взлом уязвимых систем злоумышленниками. Брандмауэр может заблокировать доступ любой неавторизованной стороны к системам, хранящим конфиденциальные данные.

Если вы являетесь частью крупной организации, вы можете обратиться к специальным инструментам или решениям DLP для защиты ваших данных. Вы также можете использовать инструменты в Центре управления безопасностью (SOC) для помощи с DLP. Например, вы можете использовать систему информации и событий безопасности (SIEM) для обнаружения и сопоставления событий, которые могут представлять собой утечку данных.

Узнайте, как Imperva File Security может помочь вам с DLP.

Компоненты решения проблемы потери данных

• Защита данных в движении — технология, установленная на границе сети, может анализировать трафик для обнаружения конфиденциальных данных, отправленных с нарушением политик безопасности.
• Защита конечных точек — агенты на основе конечных точек могут управлять передачей информации между пользователями, группами пользователей и внешними сторонами. Некоторые системы на основе конечных точек могут блокировать попытки связи в режиме реального времени и предоставлять обратную связь с пользователем.
• Защита данных в состоянии покоя — политики контроля доступа, шифрования и хранения данных могут защитить архивные данные организации.
• Защита данных при использовании — некоторые системы DLP могут отслеживать и отмечать несанкционированные действия, которые пользователи могут намеренно или непреднамеренно выполнять при взаимодействии с данными.
• Идентификация данных — важно определить, нужно ли защищать данные. Данные могут быть определены как конфиденциальные либо вручную с применением правил и метаданных, либо автоматически с помощью таких методов, как машинное обучение.
• Обнаружение утечки данных — Решения DLP и другие системы безопасности, такие как IDS, IPS и SIEM, выявляют аномальные или подозрительные передачи данных. Эти решения также предупреждают сотрудников службы безопасности о возможной утечке данных.

Решения DLP и решения для защиты файлов

Решения

для обеспечения безопасности файлов, такие как Imperva File Firewall, являются важной частью стратегии защиты от потери данных. Такие решения защищают хранящиеся и используемые данные, а также обнаруживают утечки файловых данных.

Imperva File Firewall помогает предотвратить утечку данных:

• Мониторинг доступа ко всем конфиденциальным файлам и запись подробных данных об использовании, таких как пользователь, отдел, доступ к файлу, тип файла и время отклика операции.
• Предупреждение и автоматическая блокировка действий с файлами, нарушающих политики безопасности.
• Обнаружение ненормального или подозрительного поведения пользователей с помощью машинного обучения для обнаружения внутренних угроз.
• Защита от атак программ-вымогателей путем обнаружения и блокировки типичных схем доступа к файлам.
• Аудит и отчетность по всем файловым операциям в целях соблюдения нормативных требований и расследования.

Что такое предотвращение потери данных (DLP)?

Proofpoint Email Data Loss Prevention предлагает интегрированную защиту данных для электронной почты и вложений. Он предназначен для предотвращения случайного раскрытия данных и предотвращения атак сторонних злоумышленников или самозванцев по электронной почте. Его можно использовать вместе с другими продуктами пакета защиты информации, такими как Proofpoint Data Discover и Proofpoint Email Encryption.

Полнофункциональный инструмент DLP состоит из четырех элементов: центрального сервера управления, сетевого мониторинга, DLP хранилища и DLP конечных точек. В небольшом развертывании все, кроме агента конечной точки, может быть консолидировано на одном сервере или устройстве. Более крупные развертывания могут включать в себя несколько распределенных частей для охвата различных элементов инфраструктуры.

С помощью этого инструмента организации всегда знают, где находятся их личные или служебные данные, включая интеллектуальную собственность, личную идентификацию, информацию о пациентах, финансовую информацию и многое другое.Это помогает организациям упростить обнаружение и быстро оценить данные, чтобы они могли решить любую проблему. Решение Proofpoint для локальной защиты от потери данных, Content Control, помогает организациям:

• Легко находите конфиденциальные данные, где бы они ни находились на предприятии. Упрощенный процесс обнаружения позволяет специалистам по информационным технологиям и ИТ знать о проблемах, не имея дело со сложным решением DLP или используя подход «все заблокировано».

• Оцените исторические данные и убедитесь, что новые данные обрабатываются по мере их создания.Поместите в карантин, переместите или удалите любые нарушения, чтобы на них не повлиял неправильный материал. Например, если корпоративный контент обнаружен в папке синхронизации Dropbox, пользователь будет автоматически предупрежден, и данные будут перемещены в санкционированный репозиторий службы ИТ-безопасности.

• Оцените метаданные и полный текст в файле. Это позволяет отделам ИТ-безопасности идентифицировать кредитные карты, личную идентификацию, номера лицензий, медицинскую информацию и многое другое.Этот процесс также учит пользователей передовым методам управления данными и безопасности на рабочем месте — без снижения производительности или рабочего процесса.

Что такое DLP и как оно работает?

Как работает DLP?

Понимание различий между осведомленностью о контенте и контекстным анализом необходимо для понимания любого решения DLP в целом. Полезно подумать о разнице, если содержание — это письмо, а контекст — это конверт.В то время как осведомленность о содержании включает в себя захват конверта и просмотр внутри него для анализа содержимого, контекст включает внешние факторы, такие как заголовок, размер, формат и т. Д., Все, что не включает содержание письма. Идея осведомленности о содержании заключается в том, что, хотя мы хотим использовать контекст, чтобы получить больше информации о содержании, мы не хотим ограничиваться одним контекстом.

После того, как конверт открыт и содержимое обработано, существует несколько методов анализа содержимого, которые можно использовать для выявления нарушений политики, в том числе:

1. Основанные на правилах / регулярные выражения : Наиболее распространенный метод анализа, используемый в DLP, включает в себя механизм, анализирующий контент для определенных правил, таких как 16-значные номера кредитных карт, 9-значные U.S. номера социального страхования и т. Д. Этот метод является отличным фильтром первого прохода, поскольку правила могут быть настроены и обработаны быстро, хотя они могут быть подвержены высокому количеству ложных срабатываний без проверки контрольной суммы для выявления действительных шаблонов.
2. Отпечаток базы данных : Этот механизм, также известный как точное сопоставление данных, ищет точные совпадения из дампа базы данных или активной базы данных. Хотя дампы базы данных или живые соединения с базой данных влияют на производительность, это вариант для структурированных данных из баз данных.
3. Exact File Matching : содержимое файла не анализируется; однако хэши файлов совпадают с точными отпечатками пальцев. Обеспечивает низкий уровень ложных срабатываний, хотя этот подход не работает для файлов с несколькими похожими, но не идентичными версиями.
4. Частичное соответствие документа : Ищет полное или частичное совпадение в определенных файлах, например в нескольких версиях формы, заполненных разными пользователями.
5. Conceptual / Lexicon : Использование комбинации словарей, правил и т. Д.эти политики могут предупреждать о полностью неструктурированных идеях, которые не поддаются простой категоризации. Его необходимо настроить для предоставленного решения DLP.
6. Статистический анализ : использует машинное обучение или другие статистические методы, такие как байесовский анализ, для выявления нарушений политики в защищенном контенте. Требуется большой объем данных для сканирования, чем больше, тем лучше, в противном случае возможны ложные срабатывания и отрицательные результаты.
7. Предварительно созданные категории : Предварительно созданные категории с правилами и словарями для общих типов конфиденциальных данных, таких как номера кредитных карт / защита PCI, HIPAA и т. Д.

Сегодня на рынке существует множество методов, которые обеспечивают различные типы проверки контента. Следует учитывать, что, хотя многие поставщики DLP разработали свои собственные движки контента, некоторые используют сторонние технологии, не предназначенные для DLP. Например, вместо построения сопоставления с образцом для номеров кредитных карт поставщик DLP может лицензировать технологию у поставщика поисковой системы для сопоставления с образцом номеров кредитных карт. При оценке решений DLP обращайте пристальное внимание на типы шаблонов, обнаруживаемых каждым решением в отношении реального корпуса конфиденциальных данных, чтобы подтвердить точность его движка контента.

Защита данных — одна из основных задач при внедрении облачных сервисов. Среднее предприятие использует 1427 облачных сервисов, и сотрудники часто вводят новые сервисы самостоятельно. Анализируя данные об использовании облака для 30 миллионов пользователей, McAfee (ранее Skyhigh Networks) обнаружила, что 18,1% документов, загруженных в службы обмена файлами, содержат конфиденциальную информацию, такую ​​как личная информация (PII), защищенная медицинская информация (PHI), данные платежных карт. , или интеллектуальная собственность, что создает проблемы с соблюдением нормативных требований.Отсюда следует, что использование правильного решения DLP в облаке, включающего точность, мониторинг в реальном времени, анализ данных в движении, устранение инцидентов и разработку политики потери данных, имеет важное значение для успешного внедрения облака.

Что такое DLP и как его реализовать в вашей организации?

Из этого поста вы узнаете:

Что такое DLP и как оно работает?

Предотвращение потери данных (DLP) — это подход, направленный на повышение информационной безопасности и защиту бизнес-информации от утечки данных.Это не позволяет конечным пользователям перемещать ключевую информацию за пределы сети. DLP также относится к инструментам, которые позволяют сетевому администратору отслеживать данные, к которым осуществляется доступ и которыми совместно пользуются конечные пользователи.

Вы можете использовать решения DLP для классификации и определения приоритетов безопасности данных. Вы также можете использовать эти решения для обеспечения соответствия политик доступа нормативным требованиям, включая HIPAA, GDPR и PCI-DSS. Решения DLP также могут выходить за рамки простого обнаружения, обеспечивая оповещения, принудительное шифрование и изоляцию данных.

Другие функции, общие для решений DLP, включают:

• Мониторинг — инструменты обеспечивают видимость данных и доступ к системе.
• Фильтрация — инструменты могут фильтровать потоки данных, чтобы ограничить подозрительную или неопознанную активность.
• Отчетность — инструменты обеспечивают ведение журнала и отчеты, полезные для реагирования на инциденты и аудита.
• Анализ — инструменты могут выявлять уязвимости и подозрительное поведение и предоставлять криминалистический контекст командам безопасности.

Решения

DLP могут быть полезны в различных случаях использования, в том числе:

• Применение политик безопасности — Инструменты DLP могут помочь вам определить отклонения от политики, облегчая исправление неправильных конфигураций.
• Соответствие стандартам — Инструменты DLP могут сравнивать текущие конфигурации со стандартами соответствия и предоставлять доказательства принятых мер.
• Повышение прозрачности данных — Инструменты DLP могут обеспечить видимость в разных системах, помогая вам гарантировать безопасность данных независимо от того, где они хранятся.

Тенденции, способствующие принятию политики DLP

• Рост роли директора по информационной безопасности — по мере того, как организации назначают директоров по информационной безопасности (CISO), они становятся ответственными за утечки и используют политику защиты от потери данных в качестве инструмента для обеспечения прозрачности и отчетности по организационным данным.
• Развивающиеся требования соответствия — постоянно вводятся новые правила, например GDPR в Европе и Правила кибербезопасности NYDFS в штате Нью-Йорк. Политики DLP могут помочь в соблюдении этих новых правил.
• Есть больше мест для защиты ваших данных — компании сегодня используют инструменты, которые трудно контролировать, такие как сети цепочек поставок и облачные хранилища. Это усложняет защиту данных. Точное знание того, какие данные пересекают границы организации, имеет решающее значение для предотвращения неправомерного использования.
• Кража данных — растущий риск — конфиденциальные данные — привлекательная цель для злоумышленников. Количество попыток и успешных взломов в организациях любого размера быстро растет.
• Инсайдерские угрозы — потеря данных все чаще вызывается злонамеренными инсайдерами, взломом привилегированных учетных записей или случайным обменом данными.
• Украденные данные стоят больше — Dark Web позволяет злоумышленникам покупать и продавать украденную информацию. Кража данных — прибыльный бизнес.
• Больше данных для кражи — объем и определение конфиденциальных данных со временем расширились. Конфиденциальные данные теперь охватывают нематериальные активы, например бизнес-методологии и модели ценообразования.
• Нехватка специалистов по безопасности — многим компаниям трудно выполнять роли, связанные с безопасностью. Согласно недавним опросам ESG и ISSA, нехватка талантов затронула 43% опрошенных организаций. Это делает более привлекательными автоматизированные инструменты, такие как DLP.

Построение политики предотвращения потери данных — Как разработать стратегию защиты от потери данных

Физические лица в организациях имеют доступ к информации компании и могут делиться этой информацией, что может привести к случайной или преднамеренной потере данных.Распределенный характер современных компьютерных систем усугубляет проблему.

Современное хранилище доступно из удаленных мест и через облачные сервисы; ноутбуки и мобильные телефоны содержат конфиденциальную информацию, и эти конечные точки часто уязвимы. Обеспечение безопасности данных становится все труднее, поэтому стратегия предотвращения потери данных становится столь важной.

3 причины для внедрения политики предотвращения потери данных

1. Соответствие
На предприятия распространяются обязательные стандарты соответствия, установленные правительствами (например, HIPAA, SOX, PCI DSS).Эти стандарты часто оговаривают, как предприятия должны защищать информацию, позволяющую установить личность (PII), и другие конфиденциальные данные. Политика защиты от потери данных является основным первым шагом к соблюдению требований, и большинство инструментов защиты от потери данных созданы с учетом требований общих стандартов.

2. Интеллектуальная собственность и нематериальные активы
Организация может иметь коммерческую тайну, другую стратегическую конфиденциальную информацию или нематериальные активы, такие как списки клиентов, бизнес-стратегии и т. Д. Потеря такого типа информации может быть чрезвычайно разрушительной, и, соответственно, она напрямую нацелена на злоумышленников и злоумышленников.Политика защиты от потери данных может помочь идентифицировать и защитить критически важные информационные активы.

3. Видимость данных
Реализация политики DLP может дать представление о том, как заинтересованные стороны используют данные. Чтобы защитить конфиденциальную информацию, организации должны сначала знать, что она существует, где она существует, кто ее использует и для каких целей.

Советы по созданию успешной политики DLP

• Классификация и интерпретация данных —Определите, какую информацию необходимо защитить, оценив факторы риска и насколько она уязвима.Инвестируйте в классификацию и интерпретацию данных, потому что это основа для реализации подходящей политики защиты данных.
• Распределите роли — четко определите роль каждого человека, участвующего в стратегии предотвращения потери данных.
• Начните с защиты наиболее конфиденциальных данных. — начните с выбора определенного типа информации для защиты, которая представляет наибольший риск для бизнеса.
• Максимально автоматизируйте — чем больше автоматизированы процессы DLP, тем шире вы сможете их развернуть в организации.Ручные процессы DLP по своей природе ограничены по своему объему и количеству данных, которые они могут охватить.
• Использовать обнаружение аномалий — некоторые современные инструменты DLP используют машинное обучение и поведенческую аналитику вместо простого статистического анализа и правил корреляции для выявления аномального поведения пользователей. Каждый пользователь и группа пользователей моделируются на основе поведенческого базового уровня, что позволяет точно определять действия с данными, которые могут представлять собой злонамеренные намерения.
• Вовлеките руководителей в организацию — менеджмент является ключом к тому, чтобы DLP работала, потому что политики бесполезны, если их нельзя применять на уровне организации.
• Обучите заинтересованное лицо — недостаточно внедрить политику DLP. Инвестируйте в информирование заинтересованных сторон и пользователей данных о политике, ее значении и о том, что им нужно делать для защиты данных организации.
• Документирование стратегии защиты от потери данных —Документирование политики защиты от потери данных требуется многими стандартами соответствия. Он также обеспечивает ясность, как на индивидуальном, так и на организационном уровне, в отношении того, что требуется и как применяется политика.
• Установите показатели — измерьте эффективность DLP с помощью таких показателей, как процент ложных срабатываний, количество инцидентов и среднее время до ответа.
• Не сохраняйте ненужные данные — компаниям следует использовать, сохранять и хранить только важную информацию. Если информация не нужна, удалите ее; данные, которые никогда не сохранялись, не могут пропасть.

4 Лучшие практики для реализации DLP

1. Классификация данных должна быть центральным элементом выполнения DLP

Прежде чем внедрять решение DLP, обратите особое внимание на характер конфиденциальной информации и определите, как она передается из одной системы в другую.Определите, как информация передается потребителям — это позволит выявить пути передачи и хранилища данных. Используйте ярлыки или категории, такие как «данные о сотрудниках», «интеллектуальная собственность» и «финансовые данные» для классификации конфиденциальных данных.

Обязательно изучите и запишите все точки выхода данных. Организационные процессы могут не документироваться, и не все перемещения данных являются результатом рутинной практики.

2. Предварительное установление политик

Привлекайте ИТ-персонал и бизнес-персонал на ранних этапах разработки политики.Этот этап процесса должен включать идентификацию:

• Выделенные категории данных
• Действия, которые необходимо предпринять для борьбы с злоупотреблениями
• Дальнейшее развитие стратегии DLP
• Действия, которые необходимо предпринять в случае ненормальной ситуации.

Прежде чем стратегия DLP будет реализована на практике, важно установить процессы управления инцидентами и убедиться, что они применимы для каждой категории данных.

3.Как запустить

Начать внедрение DLP с мониторинга данных организации. Это позволяет вам точно настроить и предвидеть влияние DLP на корпоративную культуру и операции. Слишком быстро блокируя конфиденциальную информацию, вы можете нанести вред центральным бизнес-процессам.

Вы обнаружите, что DLP предоставляет много информации, такой как путь передачи и расположение всей конфиденциальной информации, которая может быть огромной. У вас может возникнуть соблазн попытаться решить все проблемы защиты данных сразу, но это не лучший подход.

Хорошая реализация DLP должна начинаться с низких результатов, устанавливать правила и обеспечивать их постоянное рассмотрение и улучшение. Привлекайте все соответствующие заинтересованные стороны и убедитесь, что они предоставляют отзывы о новых типах данных, форматах или путях передачи, которые не указаны в текущей стратегии DLP или не защищены в настоящее время.

4. Знайте, что технология DLP имеет свои ограничения

• Шифрование — Инструменты DLP могут проверять только зашифрованную информацию, которую они изначально расшифровывают.Если пользователи шифруют данные с помощью ключей, недоступных операторам системы DLP, информация невидима.
• Rich media — Инструменты DLP обычно бесполезны при работе с мультимедийными данными, такими как изображения и видео, поскольку они не могут анализировать и классифицировать их содержимое.
• Mobile —Решения DLP не могут отслеживать все типы современной мобильной связи, например сообщения, отправленные с частных мобильных устройств пользователя.

Что такое программное обеспечение DLP?

Программное обеспечение

Data Loss Prevention (DLP) классифицирует важную и конфиденциальную информацию компании и распознает нарушения политики.Программное обеспечение DLP часто поставляется со встроенными политиками, соответствующими таким стандартам, как GDPR, HIPAA или PCI-DSS.

Как только программное обеспечение DLP обнаруживает нарушение в политике, принимаются меры защиты, такие как предупреждения и шифрование данных. Программное обеспечение DLP также отслеживает перемещение конечных точек и защищает данные в состоянии покоя, в движении и при использовании.

Какой тип решения DLP подходит для вашей организации?

Сеть DLP

• Защищает сетевые процессы организации, такие как веб-приложения, электронная почта и FTP.
• Живет в сети компании и отслеживает данные по мере их перемещения по сети.
• Поддерживает базу данных, в которой содержится подробная информация о том, какие данные используются и кто их использует.
• Обеспечивает видимость всех данных, передаваемых по их сети.

Хранилище DLP

• Предоставляет информацию о файлах, хранящихся и совместно используемых пользователями сети организации.
• Позволяет просматривать конфиденциальные файлы, совместно используемые и хранящиеся в сети.
• Обеспечивает видимость информации, хранящейся через локальное хранилище и облачное хранилище.

Конечная точка DLP

• Контролирует рабочие станции, серверы и мобильные устройства, такие как ноутбуки, мобильные телефоны, внешние жесткие диски и USB-диски.
• Устанавливается как агент на оконечном оборудовании и предотвращает утечку данных из оконечных точек.
• Обеспечивает видимость данных, хранящихся на конечных точках, физически расположенных внутри и за пределами организации.

Популярные инструменты DLP

Symantec DLP
Symantec DLP дает компаниям возможность увидеть, как и где хранится информация в организации. Это масштабируемый программный пакет, который может контролировать мобильные, облачные и множественные конечные точки. Эта система эффективна даже тогда, когда сотрудники не в сети.

McAfee DLP
Решение McAfee DLP (часть Intel Security) защищает интеллектуальную собственность и помогает обеспечить соблюдение нормативных требований, защищая конфиденциальную информацию.Контролирует данные локально, в облаке или на конечных точках.
КПП DLP
Check Point DLP обучает предприятия и частных лиц, чтобы они могли действовать эффективно и быстро, чтобы предотвратить потерю данных. Он предлагает централизованную консоль управления и предоставляет предварительно настроенные правила для упрощения внедрения.
DLP Digital Guardian
Digital Guardian DLP совместим с конечными точками Mac, Windows и Linux и может управлять большим количеством рабочих станций. Доступен как облачная или локальная система.

6 показателей для оценки эффективности вашего решения DLP

Как и любая сложная критически важная система, важно оценить ваше решение DLP и измерить, какую ценность вы извлекаете из него, и будет ли эта ценность постепенно улучшаться с течением времени или снижаться. Вот шесть простых показателей, которые могут помочь вам выявить проблемы с вашей реализацией DLP или лежащими в основе политиками DLP.

1. Доля исключений из правил

Исключения можно объяснить как разовые разрешения, предоставляемые отдельным лицам или группам через инструмент DLP в отношении доступа к данным или их передачи.Исключения указывают на данные организации, которые используются вне политики защиты от потери данных и могут быть уязвимыми. Отслеживайте количество исключений в процентах от всех событий, связанных с данными, чтобы увидеть, в какой степени применяется политика защиты от потери данных.

2. Процент ложных срабатываний

Системы

DLP генерируют большое количество предупреждений, и многие из них не являются реальными инцидентами безопасности, что ложится бременем на службы безопасности. Процент ложных срабатываний всех предупреждений измеряет эффективность вашего средства защиты от потери данных при отфильтровывании нерелевантных предупреждений и выявлении реальных проблем с данными.

3. Время реакции на оповещение

Измеряет среднее время, необходимое для ответа на предупреждения DLP (исключая ложные срабатывания). Во многих случаях из-за большого количества предупреждений группы безопасности могут поздно реагировать на критические предупреждения DLP или даже вообще игнорировать некоторые предупреждения. Измерение времени отклика на оповещения может помочь вам определить проблемы в реализации или процессе DLP, которые не позволяют сотрудникам службы безопасности реагировать на оповещения о критических данных.

4. Количество, тип и размер хранилища неуправляемых устройств

Вы должны отслеживать количество неуправляемых устройств, содержащих конфиденциальную информацию.Такие устройства могут включать конечные точки, серверы, съемное хранилище и облачное хранилище (в зависимости от того, что управляется вашей системой DLP). Все это может служить отправной точкой для конфиденциальной информации. Ваша реализация DLP должна сводить количество неуправляемых устройств к минимуму, и если их количество увеличивается, подумайте о переходе на решение, которое может управлять большим количеством устройств.

5. Доля баз данных с отпечатками пальцев

Решения

DLP создают цифровой отпечаток реляционной базы данных, который позволяет обнаруживать вмешательство, отслеживать предателей (идентифицируя источник утечки) и проверять целостность данных.Измерьте процент баз данных, в которых снимаются отпечатки пальцев в любой момент времени, чтобы обеспечить надежный контроль над конфиденциальными источниками данных.

6. Уровень успешности классификации данных

Первым действием в любом решении Data Loss Prevention является классификация данных. Классификация данных помогает идентифицировать и изолировать конфиденциальную информацию и понимать ее контекст. В решениях DLP используются различные методы автоматической или полуавтоматической классификации данных. Измерьте процент ошибочных классификаций, чтобы увидеть, сколько конфиденциальных данных может оставить ваша DLP.

Дополнение DLP с помощью аналитики безопасности нового поколения

Решения

DLP отлично подходят для мониторинга потоков данных и защиты от известных шаблонов угроз. Однако злонамеренные инсайдеры и изощренные злоумышленники могут действовать способами, которые не соответствуют ни одному известному шаблону, или не могут быть зафиксированы правилами безопасности DLP. В этом может помочь категория инструментов безопасности под названием User and Event Behavioral Analytics (UEBA).

Инструменты

UEBA устанавливают базовый уровень поведения для отдельных пользователей, приложений, сетевых устройств, устройств IoT или одноранговых групп любого из них.Используя машинное обучение, они могут идентифицировать аномальную активность для определенного объекта или группы объектов, даже если они не соответствуют какой-либо известной угрозе или шаблону. Это может дополнять традиционные решения DLP, предупреждая группы безопасности об инцидентах, связанных с данными, которые не соответствуют правилам DLP.

В качестве примера системы UEBA, которая может помочь предотвратить утечку данных из-за неизвестных угроз, узнайте больше о Exabeam Advanced Analytics.

Узнайте, как расширенная поведенческая аналитика Exabeam может помочь быстрее выявлять утечки данных и предотвращать их потерю.

Подробнее о DLP

Шаблон политики предотвращения потери данных

Сегодня данные стали более доступными, передаваемыми и конфиденциальными, чем когда-либо. Лучший способ остановить утечку данных — реализовать решение по предотвращению потери данных (DLP). DLP применяет автоматизированную корпоративную политику, которая может идентифицировать и защищать данные до того, как они покинут вашу организацию

Многие инструменты, включая специализированные инструменты DLP, почтовые серверы и решения для обеспечения безопасности общего назначения, предлагают шаблоны политик предотвращения потери данных.Эти шаблоны могут помочь вам легко создавать политики защиты от потери данных, которые определяют, какой контент организации должен быть защищен политикой потери данных. Например, DLP может гарантировать, что контент, идентифицированный политикой, не будет передан внешним лицам, изменен или удален.

Подробнее: Шаблон политики предотвращения потери данных

Инструменты предотвращения потери данных

По оценке Gartner, размер рынка защиты от потери данных (DLP) вырос до 670 миллионов долларов в 2013 году. Это на 25% больше, чем в 2012 году.Поскольку доступно множество различных поставщиков средств защиты от потери данных, изучение лучших предложений в этой области является хорошей отправной точкой. В этом посте мы даем определение DLP и объясняем, почему инструменты предотвращения потери данных так важны.

Подробнее: Инструменты предотвращения потери данных

Нарушения безопасности: что нужно знать

Кажется, каждый день объявляются о новых нарушениях безопасности, некоторые из которых затрагивают миллионы людей. Эти нарушения связаны не только с потерей данных; они могут повлиять на общую доступность услуг, надежность продуктов и доверие общественности к бренду.Читайте дальше, чтобы узнать о нарушениях безопасности и о том, где вы можете начать минимизировать вероятность нарушения в вашей организации.

Подробнее: Нарушения безопасности: что нужно знать

См. Наши дополнительные руководства по информационной безопасности

Более подробные руководства по дополнительным темам информационной безопасности, таким как утечки данных, см. Ниже:

Руководство по угрозам кибербезопасности

Угрозы кибербезопасности — это преднамеренные и злонамеренные попытки организации или отдельного лица осуществить атаки на другую организацию или отдельное лицо.

См. Популярные статьи в нашем руководстве по угрозам кибербезопасности

Руководство по безопасности SIEM

Безопасность

SIEM означает интеграцию SIEM с инструментами безопасности, инструментами мониторинга сети, инструментами мониторинга производительности, критически важными серверами и конечными точками, а также другими ИТ-системами.

Смотрите популярные статьи в нашем руководстве по безопасности siem

Руководство по аналитике поведения пользователей и сущностей

UEBA — это аббревиатура от User and Entity Behavior Analytics, которая представляет собой категорию инструментов кибербезопасности, которые анализируют поведение пользователей и применяют расширенную аналитику для обнаружения аномалий.

См. Популярные статьи в нашем руководстве по аналитике поведения пользователей и объектов.

Руководство по внутренним угрозам

Внутренняя угроза — это злонамеренная деятельность против организации, исходящая от пользователей, имеющих законный доступ к сети, приложениям или базам данных организации.

См. Популярные статьи в нашем справочнике по внутренним угрозам

Руководство по операционным центрам безопасности

Операционный центр безопасности (SOC) — это традиционно физический объект с организацией, в которой размещается группа информационной безопасности.

См. Главные статьи в нашем руководстве по центру безопасности.

Руководство по реагированию на инциденты

Реагирование на инциденты — это подход к устранению нарушений безопасности.

См. Популярные статьи в нашем руководстве по реагированию на инциденты

Руководство по соответствию нормативным требованиям

См. Популярные статьи в нашем руководстве по соблюдению нормативных требований

систем DLP | Что такое DLP-система и как она работает?

На сегодняшний день рынок DLP-систем является одним из самых быстрорастущих среди всех рынков средств защиты информации.

Что такое DLP и как он работает

Прежде чем говорить о рынке DLP, необходимо уточнить, что подразумевается под такими решениями. Под системами DLP мы обычно подразумеваем программные продукты, которые защищают компании от утечки конфиденциальных данных. Аббревиатура DLP расшифровывается как Data Leak Prevention.

Такие системы создают вокруг компаний цифровой периметр безопасности и анализируют всю исходящую, а иногда и входящую информацию. Контроль должен охватывать не только Интернет-трафик, но и ряд других информационных потоков: документы на внешних устройствах вне защищенной схемы безопасности, документы, которые распечатываются или отправляются на мобильные устройства через Bluetooth и т. Д.

Поскольку системы DLP предотвращают утечку конфиденциальной информации, они должны иметь встроенные механизмы для определения уровня конфиденциальности документа, обнаруженного в перехваченном трафике. Как правило, наиболее распространены два метода: анализ специальных маркеров документа и анализ содержимого документа. В настоящее время более распространен второй вариант, так как он устойчив к изменениям, внесенным в документ перед его отправкой, и позволяет легко увеличить количество конфиденциальных документов, с которыми может работать система.

Дополнительные задачи DLP

Помимо основной задачи предотвращения утечки информации, DLP-системы могут также решать ряд других задач, связанных с контролем деятельности сотрудников. Чаще всего DLP-системы решают следующие неосновные задачи:

Поскольку компании считают ряд этих задач (особенно контроль использования рабочего времени) более приоритетными, чем защита от утечек данных, существует ряд программ, разработанных специально для этой цели.В некоторых случаях они также могут защитить компании от утечек. В отличие от полноценных DLP-систем, эти программы не имеют расширенных инструментов для анализа перехваченных данных. Это должен делать специалист по ИБ вручную, что подходит только для небольших компаний (до десяти подконтрольных сотрудников).

Классификация DLP-систем

По ряду характеристик все DLP-системы можно разделить на несколько основных классов. Что касается возможности блокировать информацию, идентифицированную как конфиденциальную, существуют системы с активным и пассивным контролем действий пользователя.

Активные системы могут блокировать передаваемую информацию. Напротив, пассивные системы DLP не имеют этой функции. Первые системы намного лучше справляются с случайными утечками данных, но они могут случайно приостановить бизнес-процессы. Последние безопасны для ведения бизнеса, но подходят только для предотвращения систематических утечек.

Другая классификация DLP-систем основана на их сетевой архитектуре. Системы шлюзовой защиты от потери данных работают на промежуточных серверах, в то время как хост-системы используют агентов, которые работают непосредственно на рабочих станциях сотрудников.Сегодня наиболее распространенным вариантом является использование общих компонентов шлюза и хоста.

ЧТОБЫ УЗНАТЬ БОЛЬШЕ ЗАПРОСИТЕ БЕСПЛАТНЫЙ ПРОБНЫЙ ПЕРИОД

Мировой рынок DLP

В настоящее время основными игроками на мировом рынке DLP являются компании, широко известные своими другими продуктами для защиты информации. Это Symantec, MacAfee, TrendMicro, WebSense. Общий объем мирового рынка DLP оценивается в 400 миллионов долларов, что мало по сравнению с рынком антивирусных решений. Тем не менее, рынок DLP демонстрирует стремительный рост: в 2009 году его оценивали чуть более 200 миллионов.

Перспективы и тенденции

Специалисты считают, что основной тенденцией является переход от «патченных» систем, состоящих из компонентов разных производителей и решающих отдельные задачи, к единым интегрированным программным комплексам. Причина очевидна: сложные интегрированные системы избавляют специалистов по информационной безопасности от необходимости решать проблемы совместимости различных компонентов «пропатченной» системы. Такие системы также позволяют специалистам по информационной безопасности удобно изменять настройки на большом количестве клиентских рабочих станций и упростить передачу данных от одного компонента единой интегрированной системы к другому.Разработчики также переходят на интегрированные системы в связи со спецификой задач информационной безопасности. Если оставить хотя бы один канал утечки неконтролируемым, о корпоративной безопасности говорить не приходится.

Еще одна важная тенденция в сфере InfoSec — постепенный переход к модульной структуре. Это означает, что заказчик может самостоятельно выбирать необходимые компоненты (например, если на уровне операционной системы отключена поддержка внешних устройств, заказчику не нужно переплачивать за их управление).Специфика отрасли также будет играть значительную роль в развитии систем DLP. Например, можно ожидать выпуска специальных версий, разработанных специально для банковской сферы, госучреждений и т.д., отвечающих запросам организаций.

Что такое предотвращение потери данных? Определения и связанные с ними часто задаваемые вопросы

Основные инструменты защиты информации могут в некоторой степени защитить от потери и утечки данных. Например, брандмауэр может предотвратить несанкционированный доступ к системам, в которых хранятся конфиденциальные данные.Антивирусное и антивирусное программное обеспечение и системы обнаружения вторжений (IDS) также могут защитить системы от злоумышленников.

Более продуманные или продвинутые меры безопасности для обнаружения нерегулярного доступа к данным также могут быть подходящими для некоторых организаций, включая средства контроля целостности данных, приманки, анализаторы сетевого трафика, машинное обучение безопасности, а также проверку личности пользователя или проверку на основе активности.

Однако, особенно для крупных предприятий, специальные решения по предотвращению потери данных могут быть лучшими для защиты ваших данных.Эти инструменты специально разработаны для предотвращения попыток передачи или копирования конфиденциальных данных в неавторизованные места, будь то преднамеренные или нет.

Сетевые решения для предотвращения потери данных устанавливаются по периметру корпоративных сетей для защиты данных в движении. Их механизмы анализа отслеживают сетевой трафик, включая электронную почту, обмен мгновенными сообщениями, трафик SSL, взаимодействие с социальными сетями и приложения Web 2.0, для обнаружения нарушений установленных политик раскрытия информации, таких как отправка конфиденциальных данных.

Решения для предотвращения потери данных для центров обработки данных или хранилищ защищают данные, хранящиеся в инфраструктуре центра обработки данных компании, такой как базы данных, файловые серверы и инструменты для совместной работы, такие как SharePoint. Эти инструменты предотвращения потери данных обнаруживают конфиденциальные данные и помогают пользователям определить, безопасны ли они.

Решения для предотвращения потери данных на основе конечных точек отслеживают устройства, такие как ноутбуки, торговые точки (POS), смартфоны и планшеты, для всех действий по передаче данных, таких как печать, загрузка, копирование или перенос на CD / DVD , социальные сети, USB или веб-почта.Эти инструменты предотвращения потери данных могут быть настроены на активную блокировку определенных действий или только для пассивного мониторинга.

Средства предотвращения потери данных с учетом содержимого снижают риск случайного раскрытия конфиденциальных данных за пределами разрешенных каналов.