Напевно всі чули про чудодійне рішення, що стоїть на сторожі витоку інформації з Організації. На жаль, багато хто уявляє собі, що встановлення DLP системи захистить бізнес від витоків важливої інформації та дозволить безпечно обмінюватися чутливою інформацією. Це не зовсім правда, а точніше – неправда, як і вся часткова правда.
DLP (Data leak prevention) системи запобігають ненавмисному витоку класифікованої інформації. Саме так буде правильним сформулювати визначення для DLP систем.
Як можна пересвідчитися, різниця у визначенні всього в двох словах, але сенс змінюється майже повністю.
Справа в тому, що для спрацювання захисту DLP система має побачити окремі тригери небезпеки на які вона налаштована. Такими тригерами, першу чергу, є класифікація інформації. Класична класифікація – Unclassified, Official, Restricted, Confidential, Secret, Top Secret може бути розширена. Іншим типом тригерів може бути набір певної інформації, щодо якої можна впевнено стверджувати що це заборонено пересилати за межі Організації. Наприклад, це може бути набір інформації з прізвища та номера банківського рахунку або картки. Або наявність в документі слів «Договір + БТР4 + Дата постачання». Таким чином постає дві ключові проблеми ефективного впровадження DLP системи – кожен користувач, створюючи кожен документ, повинен його класифікувати та обов’язково вказати в тексті документу до якого класу відноситься цей документ. Одночасно, підрозділ інформаційної безпеки повинен чітко розуміти який довільний набір слів буде викликати спрацювання DLP системи, та вказати його в налаштуваннях до того як інцидент виникне.
Проблеми починаються вже з класифікації, бо неймовірно важко навчити всіх користувачів та примусити їх правильно класифікувати документи. Найпростішим рішенням для швидкої класифікації може бути запитання автора документа до себе: «До яких збитків може призвести виток інформації з цього документу?» Але більшість співробітників не можуть уявити всю потенційну загрозу або дійсні обставини, а тому зазвичай помиляються – суттєво завишаючи або занижуючи оцінку, а з нею і класифікацію. Проблеми створення тригерів за довільним набором слів ще цікавіші, оскільки потрібно завчасно описати всі можливі варіанти таких наборів слів, що зазвичай неможливо і призводить або до дуже вибіркового спрацювання DLP системи або до постійних помилкових спрацювань, що в свою чергу, призводить до зниження уваги підрозділів безпеки. Наприклад, якщо тригер налаштовано на «Договір + БТР4 + Дата постачання», то електронний лист зі словами: «Завтра відвантажуємо дві та ще чотири четвірки на базу 1234» не викличе спрацювання DLP системи, більше того – у великій організації знайти співробітника, що відправив такого листа, після витоку буде малоймовірним.
І це ще не всі нюанси захисту від витоку інформації 😊
Сучасні системи ще не навчилися блокувати пам’ять користувачам по закінченню робочого дня, а отже якщо співробітник просто прочитає договір із датами поставки БТР4, та повідомить про це назовні через свій приватний телефон (навіть якщо той був залишений у сейфі до входу на підприємство), то жодна DLP система нічим не допоможе.
Таким чином, DLP (Data leak prevention) системи запобігають саме ненавмисному витоку класифікованої інформації.
Важливо зауважити, що мова про «класичні» DLP системи (не будемо перераховувати їх, щоб не отримати позови до суду😊). Водночас існують доволі потужні системи User and Entity Behavioral Analytics (UBA/UEBA) (особливо у авторитарних країнах) які доволі цинічно можуть порушувати права співробітників на приватне життя, але вже надають можливість провести розслідування інциденту та звузити коло підозрюваних у сприянні витоку або розповсюдженні.