Защита данных является одной из ключевых задач для любой организации, безотносительно к ее размеру или отрасли. В зависимости от типа и уровня критичности данных организации должны применять различные меры защиты для предотвращения раскрытия конфиденциальной информации. В этой статье мы рассмотрим классы защиты данных.

Для определения класса защиты данных используют классификацию данных по степени их критичности. Такая классификация поможет определить, какие необходимо соблюдать требования к оценке уровня безопасности конфиденциальных сведений, методам и средствам создания архитектуры и мониторинга ИБ.

Категории информации, которые подлежат защите

Классификация данных по степени их уязвимости является ключевым шагом в процессе защиты данных. Чтобы разработать и реализовать меры защиты данных, соответствующие определенному классу защиты, необходимо прежде всего установить, какими типами данных располагает организация.

Существует несколько классов защиты данных, каждый из которых соответствует определенному типу защищаемой информации в зависимости от уровня ее ценности и критичности. Вот наиболее распространенные типы данных, которые подлежат разной степени защиты:

1. Публичные данные (Public Data) – это данные, которые не содержат конфиденциальной информации и могут свободно распространяться и использоваться любым лицом. Примерами таких данных может быть информация, размещенная на публичных сайтах или опубликованная организацией для общего доступа.
2. Внутренние данные (Internal Data) – это данные, которые не являются публичными, но в то же время не содержат секретной информации. Внутренние данные могут включать в себя контакты сотрудников, отчеты о продажах или сведения финансового характера, которые не являются конфиденциальными.
3. Конфиденциальные данные (Confidential Data) – это данные, которые содержат чувствительную информацию и требуют ее защиты от несанкционированного доступа, использования или раскрытия. Конфиденциальные данные могут включать в себя персональные данные физлиц, финансовую, медицинскую или коммерческую информацию, не подлежащую разглашению.
4. Секретные данные (Secret Data) – это данные, которые имеют высокую степень критичности и требуют очень серьезной защиты. Секретные данные могут включать в себя, например, коммерческие секреты или любую другую информацию, раскрытие которой может причинить серьезный ущерб организации или ее клиентам.
5. Строго секретные данные (Top Secret Data) – это данные, которые имеют наивысший уровень критичности и требуют максимальной защиты. Строго секретные данные могут включать в себя сведения, связанные с национальной безопасностью, неправомерное использование которых может причинить катастрофический ущерб государству в случае их раскрытия.

Уровни защищенности данных

Уровень защищенности данных – это стандартизированный показатель уровня безопасности информации в зависимости от степени ее критичности. Определение уровня защищенности данных помогает организациям понять, какие меры должны быть реализованы для их защиты. Ниже приведены наиболее распространенные уровни защищенности данных:

1. Базовый уровень защищенности (Basic Level). Меры безопасности этого уровня защищенности предназначены для защиты данных, которые не содержат конфиденциальной информации и не представляют высокого риска при их раскрытии. Базовый уровень защищенности может включать в себя простые меры безопасности, такие как использование паролей и антивирусного программного обеспечения.
2. Средний уровень защищенности (Moderate Level). Меры безопасности этого уровня защищенности предназначены для защиты данных, которые содержат конфиденциальную информацию, но не представляют высокого риска при их раскрытии. Средний уровень защищенности может включать в себя дополнительные меры безопасности, такие как шифрование данных и контроль доступа.
3. Высокий уровень защищенности (High Level). Меры безопасности этого уровня защищенности предназначены для защиты данных, которые содержат особо чувствительную информацию и представляют высокий риск при их раскрытии. Высокий уровень защищенности может включать в себя дополнительные меры безопасности, такие как двухфакторная аутентификация, сегментация сети, защита данных от утечек, мониторинг активности работников.
4. Наивысший уровень защищенности (Very High Level). Меры безопасности этого уровня защищенности предназначены для защиты данных, которые имеют наивысший уровень критичности и представляют максимальный риск при их раскрытии. Наивысший уровень защищенности может включать в себя наиболее строгие меры безопасности, такие как использование специальных сертифицированных устройств для хранения и передачи данных, а также особый контроль доступа и использование системы защиты данных от утечек с возможностью анализа поведения пользователей.

Регулярная оценка рисков и пересмотр мер безопасности также являются необходимым шагом для поддержания эффективной защиты данных.

DLP (Data Loss Prevention) – это современные программные решения, которые помогают предотвратить утечку конфиденциальных сведений в корпоративной сети. Могут использоваться при работе с информацией разных классов и уровней защиты. Помогают соблюдать требования надзорных органов и законодательства.

Как Solar Dozor определяет и защищает различные классы данных

DLP-решение Solar Dozor отслеживает каналы передачи данных, выявляет и предотвращает утечку конфиденциальной информации. Функционал системы позволяет контролировать движение данных внутри организации, а также анализировать действия и поведение пользователей. Solar Dozor обеспечивает защиту информации разного уровня за счет решения следующих задач:

• Сканирование потоков информации по каналам передачи (электронная почта, мессенджеры, звонки, облачные хранилища).
• Блокировка действий пользователей на рабочих станциях в случае попытки передачи информации третьим лицам или в сеть, где неограниченное количество пользователей могут получить доступ к закрытым данным.
• Инвентаризация содержимого файловых хранилищ для выявления нарушений правил хранения конфиденциальной информации.
• Поведенческий анализ и сбор досье на сотрудников для выявления факторов риска внутренних нарушений.

Solar Dozor не допускает распространения конфиденциальных сведений. Решение можно настроить для работы с любыми объемами данных разного уровня защиты.

Заключение

Конфиденциальные данные классифицируют в зависимости от того, какой уровень защищенности в соответствии с законодательными требованиями необходимо им обеспечить. DLP-система Solar Dozor успешно решает задачи такого типа и предотвращает утечки информации любой степени конфиденциальности.  

Источник
https://icore.kz/predotvrashhenie-utechek-informaczii/solar-dozor/
https://rt-solar.ru/products/solar_dozor/blog/4163/

Автор:
Только Dozor

Адаптация:
Лебедев Александр

Развитие технологий влечет за собой изменения в рабочих процессах, и в этих условиях мессенджеры становятся незаменимым инструментом в корпоративной среде. Во многих компаниях сотрудники взаимодействуют между собой и с клиентами через мессенджеры, поскольку это быстро и удобно. Для общения чаще всего используются всем известные площадки Telegram и WhatsApp. С удобством такого способа коммуникации трудно поспорить, однако с ним сопряжены определенные риски, например вероятность утечки конфиденциальной информации. Разберемся, какие данные могут оказаться под угрозой и что необходимо предпринять для предотвращения инцидентов. Также обсудим, какую роль в защите информации играют DLP-системы (Data Loss Prevention).

Роль мессенджеров в корпоративной переписке

Раньше для корпоративной переписки преимущественно использовали электронную почту. Это не слишком удобно, поскольку ответы приходят отдельными письмами, которые легко пропустить. Мессенджеры позволяют вести быстрые диалоги, облегчая обмен информацией и позволяя сотрудникам быстро решать проблемы. В них можно создавать группы по отделам — тогда информация будет доходить до всех сотрудников одновременно. Это снижает время, затраченное на ожидание ответов на электронные письма, и ускоряет процессы принятия решений. В итоге все важное можно быстро донести до коллег, не затягивая переписку на часы и даже дни.

Во-вторых, в мессенджерах можно пересылать файлы. Это тоже удобнее, чем отправлять их по почте, тем более сотрудники могут быстрее просмотреть или скачать вложения.

Еще одним важным аспектом использования мессенджеров в корпоративной переписке является возможность проводить оперативные совещания и рабочие встречи. С помощью мессенджеров можно участвовать в видеоконференции, обмениваться документами и вести дискуссии без сложных процедур и затрат на организацию традиционных совещаний.

Кроме того, благодаря мессенджерам у новых пользователей есть возможность видеть историю чата и читать все предыдущие сообщения.

В целом мессенджеры способствуют укреплению корпоративной культуры и коммуникации сотрудников. Они облегчают людям общение, дают возможность обмениваться идеями и совместно решать задачи. Групповые чаты, тематические комнаты и средства обмена файлами в мессенджерах стимулируют коллаборацию. Удобство и практичность использования делают их важным инструментом для компаний, стремящихся к повышению производительности и эффективности рабочих процессов.

Однако, несмотря на множество преимуществ, связанных с использованием мессенджеров в корпоративной переписке, важно помнить о том, что они могут стать инструментом для преднамеренной или непреднамеренной утечки конфиденциальной информации.

Какие данные под угрозой слива

Под утечкой информации через мессенджеры понимают нарушение конфиденциальности данных. Часто причиной инцидентов становится человеческий фактор, когда сотрудники по ошибке отправляют сведения не тому адресату. Также случаются намеренные сливы, совершаемые с полным осознанием последствий.

Какие данные могут утечь:

• Корпоративные документы.
• Отчеты.
• Персональные сведения клиентов, сотрудников и партнеров.
• Финансовая информация.

Вероятные последствия утечки данных компании — финансовые убытки и пошатнувшаяся репутация. А в случае нарушения конфиденциальности персональных данных возможны административная и даже уголовная ответственность.

Меры защиты данных от утечки через мессенджеры

В первую очередь необходимо проинструктировать персонал, донести до него, насколько важно при работе с информацией соблюдать четкие правила, проинформировать о мерах ответственности за утечку и т. д. – одним словом, формировать культуру информационной безопасности. Что еще может помочь предотвратить инциденты:

• Установка защищенных корпоративных мессенджеров. Их использование необходимо для обеспечения защиты корпоративных данных и безопасного общения сотрудников. Корпоративные мессенджеры, основанные на современных технологиях шифрования, создают заслон для проникновения злоумышленников в корпоративную сеть и помогают предотвратить утечку информации. И кроме того, они обеспечивают возможность централизованного управления безопасностью: администраторы, настроив права доступа, могут наблюдать за обменом сообщениями и документами внутри организации.
• Минимизация обращения к общедоступным мессенджерам, поскольку в случае их использования нет никаких гарантий конфиденциальности. К тому же на этих ресурсах могут встречаться фишинговые ссылки с приглашениями в различные группы и на самые разные сайты. Переходы по ним в разы увеличивает риски утечки.
• Использование различных технических средств и программного обеспечения для мониторинга активности пользователей и отслеживания их коммуникаций. Решить эти задачи поможет установка DLP-системы.

Подход к защите данных всегда должен быть комплексным, поскольку какой-то одной меры будет недостаточно. Особенно если организация располагает большим штатом сотрудников и несколькими филиалами, то просто физически невозможно контролировать коммуникации исключительно силами службы безопасности.

Как DLP-системы помогают предотвратить утечку информации через мессенджеры

DLP-системы – программные продукты, предназначенные для защиты данных от рисков утечки и корпоративного мошенничества. Также они хорошо себя зарекомендовали в вопросах профилактики инцидентов ИБ.

Такие решения контролируют используемые каналы передачи информации, в том числе мессенджеры. Системы фиксируют все сообщения, выстраивают связи общения, анализируют переписки и содержимое документов.

DLP умеют выявлять контакты сотрудников — как рабочие, так и личные. Это позволяет отслеживать, куда и кому поступает информация, чтобы в случае инцидента быстро найти источник утечки.

Как Solar Dozor предотвращает утечки информации через мессенджеры 

Отечественная DLP-система Solar Dozor с помощью модулей-перехватчиков собирает сетевой трафик, проводит контекстный и контентный анализ, что позволяет вовремя обнаружить предпосылки к инцидентам ИБ.

Такой алгоритм применяется и к данным, пересылаемым через мессенджеры, поэтому риски утечки через такой канал коммуникации сильно снижаются.

В Solar Dozor поддерживаются наиболее популярные мессенджеры (Telegram, WhatsApp, Viber, Skype, Express, TrueConf и проч.), список которых постоянно пополняется.

Благодаря отображению в Solar Dozor связных бесед офицер безопасности при поиске сообщений может постоянно находиться в контексте диалога работников, просматривая их предыдущие и последующие сообщения. Создав запрос на поиск сообщений, сотрудник службы безопасности может получить:

• Перечень бесед с указанием мессенджера.
• Список собеседников.
• Данные инициатора беседы.
• Общее количество сообщений и переданных файлов.

Что еще умеет Solar Dozor:

Анализировать поведение сотрудников по различным паттернам, что позволяет выявить потенциальных инсайдеров, которые могут намеренно сливать информацию.

• Выявлять скрытые связи работников, анализировать интенсивность коммуникаций и используемые при этом каналы. Это значительно упрощает работу специалистов службы безопасности, поскольку в их распоряжении есть детальные сведения о том, кто, куда и зачем пересылал информацию.
• Обнаруживать в сообщениях зашифрованные признаки конфиденциальной информации, «читать» изображения.
• Усиленно контролировать сотрудников из группы риска, например тех, кто готовится к увольнению или ранее нарушал регламенты организации.
• Формировать отчеты и визуальные срезы в удобных форматах для изучения положения дел внутри компании и быстрого расследования инцидентов.
• Блокировать подозрительные действия или уведомлять о них ответственных сотрудников.

Solar Dozor обладает расширенным набором функции, которых нет у большинства конкурентных решений. При этом система удобна в управлении и эксплуатации, легко масштабируется. Благодаря этим качествам она подходит для бизнеса разного масштаба во всех сферах деятельности.

Выводы 

Утечки информации через мессенджеры происходят достаточно часто, поэтому коммуникации сотрудников должны отслеживаться и анализироваться. Для этих целей организации внедряют DLP-решения, которые берут под контроль мессенджеры, установленные на рабочих компьютерах. С помощью таких систем удается обнаружить как намеренные, так и случайные утечки, быстро принять оптимальные меры реагирования и минимизировать последствия инцидентов

Источник
https://rt-solar.ru/products/solar_dozor/blog/4035/
https://icore.kz/predotvrashhenie-utechek-informaczii/solar-dozor/

Автор:
Только Dozor

Адаптация:
Лебедев Александр

Наверное, излишне говорить, что мы живем в особое время. Перед миром стоят вызовы, равных которым еще не было в современной истории. Один из главных вызовов –– информационная война, которая идет в масштабах, коих раньше вообще никогда не было. А раз информация стала оружием, то и обеспечение ее безопасности становится стратегической задачей.

Мы знаем, что за последний год давление на ИТ-инфраструктуру стран СНГ возросло в разы. Причем угрозы появляются не только снаружи, но и изнутри: на фоне происходящего в стране активизировались всякого рода недоброжелатели, которые влились в ряды нехороших людей, которых в информационной безопасности (ИБ) называют инсайдерами.

Инсайдеры могут нанести организации значительный, а то и непоправимый ущерб. Он может выразиться в том числе в утечке информации ограниченного доступа. В связи с этим встает вопрос о защите внутреннего контура от возможных утечек. В организации за это должны отвечать СЗИ (средства защиты информации), главная из которых – DLP-система. На нее ложится контроль внутренних и внешних коммуникаций сотрудников и анализ информационных потоков: корпоративной почты и мессенджеров, печати на принтерах, записи на внешние носители, взаимодействия с внутренними и внешними информационными системами. Конечно, DLP также может контролировать и личную почту сотрудников, общественные файлообменники, соцсети и прочее, если они используются на рабочем АРМ. Но мы подразумеваем, что такая активность пользователей в организации с высоким уровнем ИБ должна быть запрещена и будет пресекаться на уровне файрволов и других специализированных СЗИ, хотя современные DLP-системы, и Solar Dozor в частности, обладают такой функциональностью и способны ограничивать действия пользователей. Сразу скажу, что мы рассматриваем возможности DLP-систем в целом, но Solar Dozor, который я представляю, – это одна из наиболее зрелых российских систем предотвращения утечек, и все сказанное мной про DLP в полной мере относится именно к нему.

Аббревиатура DLP расшифровывается как система предотвращения утечек информации, а значит, в идеале она должна пресекать попытки передачи информации из закрытого контура. В этом случае для контроля, например, почты DLP-система настраивается «в разрыв», то есть сервер DLP становится шлюзом, через который проходит почтовый поток. При этом DLP в соответствии со своими политиками безопасности распаковывает и анализирует почтовые сообщения, в результате чего информация классифицируется по содержимому и в случае выявления попытки отправки запрещенного контента за пределы контура такая отправка пресекается и сообщение не уходит. Система регистрирует событие и уведомляет об этом по почте подразделение, ответственное за ИБ.

Далее уполномоченные сотрудники анализируют событие и при необходимости принимают решение о возбуждении инцидента – это в том случае, если срабатывание DLP-системы было оправданно. Если же выясняется, что срабатывание было ложноположительным, то заблокированное сообщение можно вручную отправить получателям. Кстати, о ложноположительных срабатываниях (ЛПС). При неправильной настройке политики существует риск возникновения большого числа таких ЛПС, что в активном режиме, о котором сейчас идет речь, может привести к коллапсу почтового трафика и, как следствие, – к серьезному сбою в бизнес-процессах организации. Чтобы избегать таких ситуаций, требуется тонкая настройка политики DLP‑системы с использованием наборов исключений и исключаемого текста. К слову, гибкость настройки политики – это один из самых важных критериев при выборе DLP-системы. Качественная политика – это залог и снижения потенциальных рисков утечки, и сокращения трудозатрат на разбор инцидентов.

Но вернемся к почте. При настройке системы «в разрыв» мы можем не только блокировать сообщения, попадающие под политику, но и всё-таки отправлять их получателям, при этом удаляя или заменяя файлы, содержащие конфиденциальные данные. В Solar Dozor эта технология называется реконструкцией сообщений. То есть сообщение все равно дойдет до получателей, но без конфиденциальной информации, которая была изъята DLP-системой на этапе фильтрации. Этот механизм очень удобен в случаях, когда серьезное вмешательство в бизнес-процессы со стороны DLP-системы не допускается ЛНА (локальными нормативными актами организации).

В централизованном активном режиме можно обрабатывать не только почту, а также пользовательские веб-запросы, поступающие с прокси/NGFW, а также переписку и файлы, передаваемые в корпоративных мессенджерах. Конечно, работа в режиме активного противодействия предъявляет дополнительные требования к ресурсам и отказоустойчивости кластера DLP, но тем не менее он является наиболее эффективным для предотвращения утечек информации.

Помимо этого, DLP-систему можно использовать и в другом режиме: так называемом режиме журналирования. В этом случае, например, почтовый трафик пойдет обычным маршрутом, но его копия поступит на анализ в DLP с прокси-сервера или корпоративной почтовой системы, а переписка корпоративного мессенджера – с соответствующего сервера. Использование данного режима хотя и не предотвращает утечки, но дает офицеру ИБ полное представление о содержимом информационных потоков и позволяет проводить расследования, связанные с нарушением правил обработки конфиденциальной информации в корпоративной сети передачи данных (КСПД).

Также средствами DLP-системы можно контролировать информацию в покое. Для этого, например, в Solar Dozor есть специальный модуль – File Crawler, который проводит аудит и классификацию данных, хранящихся в файловых хранилищах и на АРМ (автоматизированное рабочее место) пользователей. В случае обнаружения конфиденциальной информации в неположенном месте она изымается и переносится в специальное файловое хранилище, а на ее месте остается информативный файл-заглушка.

На АРМ активное противодействие осуществляется с помощью агентов, которые могут блокировать запуск заданных приложений, копирование и печать конфиденциальной информации, а также ограничивать использование съемных носителей, применяя белые и черные списки. С помощью агента можно контролировать и многое другое, например личную почту пользователей и открытые файловые шары, но, как было сказано ранее, такие каналы должны блокироваться в любой организации в принципе, централизованно и с использованием других СЗИ.

Теперь немного о том, что и как регистрировать. В первую очередь, конечно, речь идет об информации ограниченного доступа. Для этого в организации должен быть классификатор такой информации, определяющий степень критичности различных категорий данных. Соответственно и политика безопасности DLP-системы должна быть настроена на выявление передачи конфиденциальной информации (КИ). В первую очередь это ограничительные грифы, которыми КИ должна маркироваться. Но не менее важен и контентный анализ данных, то есть – по содержимому, потому что гриф на документе может быть еще не проставлен или он намеренно скрыт.

При настройке политики не стоит забывать про персональные данные, утечки которых в последний год опять увеличились – даже если говорить только о тех, случаях, которые получили огласку. При этом закон и регуляторов никто не отменял, а штрафы за утечки ПДн для организаций постоянно растут. Уместно напомнить, что если некто И. на работе отсканировал и отправил на личный почтовый ящик свой паспорт, то формально это сделал не гражданин И., а организация с использованием учетки своего сотрудника отправила за пределы сети персональные данные физического лица И. То есть при неблагоприятном развитии событий это уже явное нарушение регуляторных норм со всеми вытекающими последствиями (не говоря о том, что Иванов использовал корпоративную инфраструктуру в личных целях, что тоже нарушение). Поэтому подобные инциденты надо, конечно же, пресекать.

Кроме того, в DLP-системе рекомендуется настраивать политику не только на выявление информации, в конфиденциальном характере которой нет никаких сомнений. Также необходимо регистрировать зашифрованные архивы и зашифрованные файлы, которые DLP-система не смогла открыть или классифицировать, так как они также могут содержать конфиденциальную информацию. Только в этом случае можно считать, что политика настроена правильно.

Но вернемся к инсайдерам, о которых я говорил ранее. Социальный и возрастной срез этой категории людей очень широкий, и их выявление требует от службы ИБ/СБ значительных усилий. Тут тоже DLP-системы могут помочь. Так, в Solar Dozor разработан модуль поведенческого анализа, UBA, позволяющий с помощью преднастроенных паттернов выявлять аномальные активности в поведении сотрудников. К примеру, в течение длительного времени человека отличало устойчивое, в пределах нормы поведение, но в какой-то момент оно резко изменилось и стало необычным. Если перефразировать – его поведенческая температура стала намного выше средней по палате. Вот этот скачок офицер ИБ и может увидеть в системе и принять по отношению к такому человеку меры превентивного характера. Например, поставить на особый контроль, применить к нему более строгие политики DLP или провести какие-то оперативные мероприятия.

За счет того что DLP-система обладает широкими возможностями по перехвату различных информационных потоков и хранит огромный массив многообразных данных, она становится востребована и в, казалось бы, непрофильных для нее сферах, выполняя самые разные функции: выявлять аномалии, перехватывать действия пользователей на АРМ, записывать видео с экрана ПК, контролировать рабочее время и многое другое.

При этом в структуре ИБ организации DLP не является обособленным звеном: она гармонично в нее вписывается и передает собранные события для дальнейшего использования в IRP, SIEM и BI, что позволяет офицерам ИБ обрабатывать поступившие инциденты в едином информационном пространстве. При этом статистика по событиям DLP будет отображаться на общих дашбордах ИБ.

Говоря об ИБ-инфраструктуре, хочу упомянуть не то чтобы новую, но обострившуюся потребность бизнеса в корпоративной масштабируемости, которую должна поддерживать DLP-система. В крупных корпорациях филиалы – это вообще отдельные компании, и хотя у части из них своя производственная специфика и свои требования к ИБ, не хорошо, когда в головной организации и филиалах стоят неунифицированные СЗИ, и DLP в частности. Поддерживать их дорого, трудозатратно и просто неудобно, централизованный контроль и управление отсутствуют. Лучше всего, когда корпорацию защищает единая DLP-система. Например, модуль MultiDozor, который активно развивает наша компания. Продукт позволяет решить вопрос единой корпоративной DLP. С одной стороны, он обеспечивает раздельное хранение данных и локальные точки входа в систему, с другой – позволяет аналитикам обрабатывать информационные потоки головной организации и дочек как едиными, так раздельными политиками. Головная организация видит общую картину ИБ в корпорации, а региональные подразделения ИБ управляют инцидентами только своих филиалов. Это, конечно, уже решение Enterprise-уровня, и оно требует от DLP соответствующего технологического совершенства. В этом смысле Solar Dozor с крупнейшей в Европе инсталляцией на 300 000 пользователей – пожалуй, лучший выбор.

И наконец, остановлюсь еще на одной животрепещущей теме: импортозамещения. Эта проблема в последнее время коснулась всех сфер нашей жизни, не обошла стороной и корпоративную ИБ, в частности – системы предотвращения утечек. Многие организации столкнулись с проблемой, когда пришлось оперативно принимать решения по замене иностранных систем на российские аналоги, а у производителей DLP встал вопрос о замене своих импортных программных компонентов на российские или хотя бы опенсорсные решения. Кстати, Solar Dozor как раз оказался в выигрышном положении, так как изначально базировался на ОС CentOS, и уже несколько лет как работает на Astra Linux и других российских системах. У нас есть полнофункциональный Linux-агент и организована интеграция досье с FreeIPA и ALD Pro, обеспечена поддержка российских почтовых систем и мессенджеров. Мы продолжаем развиваться в этом направлении. Что касается упомянутых выше вынужденных миграций, в этой части у ГК «Солар» есть успешный опыт: мы провели (и продолжаем вести) несколько проектов миграции заказчиков на нашу DLP-систему с использующихся ранее, например с Forcepoint и McAfee. Это непростая работа, ведь заказчики на таких проектах хотят максимально сохранить привычную функциональность – проще говоря, чтобы стало «как было», – но мы успешно справляемся.

Нынешние тревожные времена наложили особый отпечаток на всех и каждого. К ИБ и DLP, в частности, предъявляются новые требования, причем в условиях жесткого цейтнота. Но мы приняли вызов, мобилизовали свои ресурсы и не просто держим удар – нам, кроме прочего, есть чем ответить.

Источник
https://rt-solar.ru/products/solar_dozor/blog/3872/
https://icore.kz/predotvrashhenie-utechek-informaczii/solar-dozor/

Автор:
Мешавкин Дмитрий, руководитель группы продуктовой аналитики Solar Dozor, группа компаний «Солар»

Адаптация:
Лебедев Александр

Введение в DLP-Системы
DLP, что означает Data Loss Prevention — это специализированный класс решений, предназначенный для защиты компаний от утечки чувствительных данных. Подобного рода системы создают защищенный цифровой периметр вокруг организации, анализируя весь исходящий поток информации по таким каналам передачи данных как почтовые сообщения, веб выгрузки, копирование данных на съемные носители, печать на принтер, публикация в облачные сервисы и приложения.
В организациях используют два метода защиты конфиденциальных данных: организационно-правовой и технический. Организационно-правовой метод обеспечивается за счет разработки и внедрения пакета документов по соблюдению правил информационной безопасности, такие как политика информационной безопасности, правила обращения с информацией в зависимости от ее категорирования, система допуска должностных лиц к информации и т.д. К техническому обеспечению относятся системы класса Data Loss Prevention, антивирусные решения, системы шифрования и т.д.
Эффективным способом защиты конфиденциальной информации является организация комплексного подхода, организационно-правовой метод подкрепляется техническим обеспечением защиты.
DLP делятся на системы с активным и пассивным контролем, устанавливаемым над действиями пользователя. Активные имеют такую способность, пассивные нет. Первые более эффективные, так как предотвращают утечку информации, блокируя действие пользователя или работу ПО при обнаружении инцидента. С другой стороны, у них есть недостаток – технология может непроизвольно нарушить какой-либо критический процесс. С пассивным такого не происходит, они используются для профилактики систематических утечек с реагированием постфактум.
Лучшими практиками в использовании DLP-систем является подход сбора событий утечек, понять по каким каналам и какие данные перемещаются за периметр Организации и далее, выставить ограничения на передачу наиболее чувствительных данных в связке с группами конечных пользователей. Определить информацию, попадающую под категорию ограниченного распространения нам, поможет функционал классификации, позволяющий определить среди всего потока данных интересующую нас информацию, выделить ее в отдельную сущность и наложить соответствующие ограничения. При выборе DLP важным критерием является наличие богатого выбора методов определения классификации, по мимо сложных проверок по содержимому, эффективность показали классификации, работающие по контексту, например расположение файла, цифровые отпечатки, интеграция меток в свойства документов, расширение файлов и т.д.

История DLP-Системы
В начале 2000-х годов, крупнейшие организации осознали, что им необходимо защищаться от утечек. Кроме организаций, это понимание пришло и к различным чиновникам, решившим «штамповать» многочисленные нормативы, направленные на обеспечение безопасности персональных данных. Спрос на решения, которые позже перерастут в рынок DLP, подогревался возрастающими объемами информации, а также рядом конкретных инцидентов с далеко идущими последствиями.
Видение в перспективности решений по защите от утечек стала окончательно ясна уже к 2003 году. А для некоторых особо прозорливых деятелей — и того раньше. Именно они и создали сразу несколько стартапов, которые впоследствии стали базой для еще молодого рынка DLP.
Примерно в 2005-2006 годах этот рынок вступил в фазу уверенного роста. Именно тогда сформировались основные подходы DLP, которые, впрочем, существенно отличались друг от друга. В то время рынок был довольно перспективным, но все еще не осознавал свое предназначение.
В конце 2006 года в сознании этого направления начался перелом. Рынок стал выбирать себе институт, в роли которого выступали крупнейшие разработчики решений по безопасности. За следующие два года ИБ институты выкупили практические все значимые стартапы, которые занимались реализацией данного направления с привлечением больших инвестиций. Общий объем выделенных грантов действительно впечатляет — по оценкам аналитического центра компании Perimetrix, он превышает 2 млрд долл.
Между прочим, ИБ-институты оценивали стартапы DLP-систем весьма высоко. По нашим оценкам, эта сумма в 10-16 раз больше, чем суммарный годовой оборот поглощенных стартапов по другим направлениям. Обычно при покупке ИТ-компаний применяются гораздо более низкие мультипликаторы — в большинстве случаев стоимость покупки не превышает пяти годовых оборотов.
Теперь каждому из поглощенных стартапов предстоит пройти интеграцию с крупной корпорации и определиться со своим будущим. На данный момент у этого будущего просматривается несколько вариантов: влиться в ряды разработчиков корпорации, возглавить отдельный бизнес в рамках корпорации или не выдержать испытания и закрыть направление. В первом случае из текущих наработок получится функция какой-либо комплексной системы, во втором — отдельная система, а в третьем — не получится вообще ничего. По сути, будущее всего рынка DLP определяется успешностью того сможет пройти поглощенный стартап адаптацию внутри корпораций.
Однако не стоит забывать и о тех, кто не сумел влиться в корпорации. В мире существует сразу несколько серьезных поставщиков DLP-систем, которые и по сей день остаются независимыми стартапами: Vericept, Verdasys, Reconnex, Orchestria и ряд других.
Фактически период массовой скупки стартапов привел к временной стагнации лидеров рынка DLP-систем. Как следствие, у их основных конкурентов появилась прекрасная возможность для саморазвития. Пока бывшие лидеры интегрируются, более слабые могут подтянуть собственную подготовку. И далеко не факт, что после этого они станут продаваться крупным корпорациям.
К тому же и бюджеты крупных корпораций на покупку стартапов все-таки ограниченны. Даже компания Symantec, имеющая историческую предрасположенность к шопингу, редко покупает больше двух производителей одного класса решений. Как бы ни старались крупные игроки, поглотить все стартапы они никогда не смогут. Более того — они вполне в состоянии просмотреть настоящий бриллиант, который впоследствии принесет баснословные доходы, а потому вряд ли будет кому-либо продан. В индустрии информационных технологий таких примеров полным-полно.
Исходя из этого вполне реальной представляется и вторая перспектива, которая предполагает, что DLP сохранится в качестве отдельного рынка. Потенциальные заказчики DLP — крупные корпорации — обычно предпочитают качество цене, а тем более — интегрированности. А это дает дополнительные преимущества различным нишевым игрокам, которые могут добиться уникальных технологических преимуществ.
Добавим, что в пользу версии «рынок» говорит и некоторая специфика решений, принадлежащих к классу DLP. А именно — их абсолютная нетиражируемость и важность предпроектно-консалтингово-внедренческих работ. По определению решения класса DLP должны производить фильтрацию сведений, а качественная фильтрация невозможна без тщательной предпроектной подготовки. Именно эта подготовка часто становится основным фактором успешности проекта.
Кроме того, защита от утечек и внутренних угроз требует серьезной работы с персоналом, а в некоторых случаях даже изменения бизнес-процессов. Следовательно, поставщик системы должен обладать серьезной компетенцией в области консалтинга и обучения. Для других классов решений по безопасности такая ситуация не слишком характерна — обычно они внедряются внутри департаментов ИТ (ИБ) и никак не влияют на жизнь обычных пользователей.

Современные DLP-Системы
Тезис о том, что современные DLP-системы растворятся в функциональности комплексных решений по безопасности, безусловно, имеет право на жизнь. В пользу этой версии, в частности, говорит общее текущее предложение ИБ-решений, а также их абсолютная неоднородность. Действительно, сегодня трудно найти отдельно существующий антивирус или межсетевой экран — крупнейшие производители предпочитают выпускать комплексные наборы, поддерживающие множество различных функций с единым интерфейсом управления.
И это логично, ведь «комплексность» позволяет снизить не только начальные расходы на приобретение защитной системы, но и издержки на ее внедрение и поддержку. Понятно, что чем больше составляющих упаковано в единый пакет, тем ниже будет стоимость владения отдельной составляющей.
События последних двух лет наглядно показали, что эти соображения близки не только авторам данного материала, но и руководителям ведущих корпораций в области безопасности. Зачем Symatec, WebSense, Trellix и EMC приобретали стартапы, переплачивая за них в три раза? Даже учитывая перспективность DLP, трудно предположить, что эти покупки напрямую окупятся уже в ближайшем будущем. Дело в другом: покупая производителей DLP-систем, корпорации будут стремиться сохранить свою конкурентоспособность, интегрировав функциональность DLP в стандартные решения. Ведь если у всех остальных конкурентов такая функциональность будет присутствовать, корпорация рискует потерять свой основной, давно насиженный и окученный рынок.
Именно поэтому после покупки стартапов обычно запускается долгий и довольно нудный процесс под названием «интеграция». Основная задача корпорации — инкапсулировать поглощенную функциональность в уже существующие комплексные системы безопасности. Несмотря на кажущуюся простоту, это довольно трудоемкий процесс, требующий серьезных затрат на разработку и тестирование того, что в итоге получилось. При этом никаких радикально новых DLP-функций в продукте, естественно, не появляется; на них попросту не хватает времени.

Будущее DLP-Систем
Пройдя этап инкапсуляции и закрепление основных игроков на рынке, производители плавно перейдут на увеличение функциональных возможностей подключая адаптивную аналитику и искусственный интеллект.
Уже сейчас мы наблюдаем объединение функций контроля пользователей с классическим функционалом DLP.
Из новых достижений можно выделить аналитику поведения пользователей, где фокус перемещается от информации к человеку, а именно, фокус на его фактической роли в коллективе, характере коммуникаций, особенностях работы с защищаемой информацией. Такой подход наиболее эффективный традиционного мониторинга разрозненных данных и низкоуровневых событий. С помощью методов машинного обучения в реальном времени анализирует историю коммуникаций каждого сотрудника и автоматически формирует личный профиль его нормального поведения. На основе собранной информации система выявляет аномалии в поведении сотрудника. Одновременно модуль ищет работников, попадающих под значимые для безопасности паттерны поведения (комбинации поведенческих особенностей и аномалий). Индикаторы, которые фиксируют аномальное поведение работника, позволяет акцентировать внимание только на явные действия нарушителя и не тратить время на обработку ложно положительных срабатываний.
Расширение функционала для использования DLP систем смежными подразделениями, например HR-службы, которые могут получить доступ к системе и статистику рабочего времени в разрезе каждого работника. В простой и наглядной форме DLP-система покажет, как сотрудник проводит рабочее время за компьютером, фактическое активное время, сколько времени провел за тем или иным приложением, фиксирует посещение интернет ресурсов, выводит наглядные отчеты для принятия стратегических мер со стороны заинтересованных подразделений.
Таким образом инструмент предотвращения утечки конфиденциальных данных развивается сообразно с потребностями рынка, приобретая новые функции или выделяя их в качестве отдельных продуктов. DLP-системы не только защищают информационные активы, но и анализируют поведение пользователей или помогают управлять продуктивностью их работы. Это расширяет список сценариев применения, заставляя задуматься о внедрении тем, кто ни с ущербом, ни с вероятностью инцидентов, ни с хищением персональных данных до этого не сталкивался.

Заключение
Все больше компаний понимают, что защищаться от утечек важно. И лучше делать это при помощи специализированных решений, которые отлично справляются с такой задачей, предотвращая финансовые репутационные и другие виды потерь.
DLP решения внедряются как в крупный, так и малый и средний бизнес, предотвращая изменение хода рабочих процессов и обеспечивая защиту ИБ.
Появляются компании, которые сталкивались с перечисленным в полном объеме, ввиду чего стараются быстрее внедрять DLP-решения. К ним относятся финансовые учреждения и бюджетные организации — компании уровня enterprise. Они в первую очередь чувствуют увеличение объема угроз, осознают бессмысленность традиционных методов реагирования.
Предположительно через некоторое время повышение количества и критичности инцидентов затронет также компании меньшего размера, а значит, ответ на вопрос «когда и кому нужна DLP-система?» будет «всем и всегда».

Источник
https://www.trellix.com/
https://www.anti-malware.ru/
https://compress.ru/article.aspx?id=20504

Автор:
Мухаметжанов Д.А.