Особенности построения системы предотвращения утечки данных
Многие организации прилагают массу усилий для предотвращения утечки данных, но постоянно меняющаяся информационная инфраструктура делает эту цель труднодостижимой. Распространение мобильных устройств, съемных носителей и облачных приложений, наряду с повсеместным использованием Интернета и электронной почты, позволяет потоку данных легко пересекать границы корпоративных сетей. Становится все сложнее обеспечивать безопасность информации, когда сотрудники используют личные ПК для удаленного доступа или берут служебные ноутбуки, смартфоны или USB носители в командировку.
Скорость утечки данных растет повсюду. Отчеты компаний InfoWatch и Лаборатория Касперского, которые специализируются в разработке программного обеспечения защиты от утечек, показывают, что число инцидентов выросло в более чем в два раза с 2008 по 2009 год. В России, где недавно был принят закон о защите персональных данных, статистика сообщает о росте числа утечек с 6% в 2008 году до 30% в 2009 году. Риски, связанные с разглашением данных, заставляют компании обращаться к решениям по предотвращению утечек (DLP) и технологиям защиты данных “в движении”, которые позволяют отслеживать, каким образом критическая информация покидает пределы корпоративных сетей. На основе данных консалтинговой компании Frost & Sullivan, рынок DLP к 2013 году достигнет 780 млн. долларов США.
Выделим три основных фактора, которые заставляют компании использовать решения по защите данных:
- необходимость соответствия законам, постановлениям, требованиям регулирующих органов и договорным обязательствам;
- преумножение преимуществ и увеличение прибыли в рамках обеспечения защиты интеллектуальной собственности и конфиденциальных данных;
- защита авторитета и бренда, предотвращение негативных последствий при утечке данных в виде снижения доверия партнеров и клиентов.
Прежде чем инвестировать средства в конкретные продукты или решения, необходимо провести ряд мероприятий, а именно определить критичные данные, выделить места их обработки и разработать приемлемые методы защиты.
Важным шагом в создании системы предотвращения утечки является выделение критичной и конфиденциальной информации в существующих процессах обработки, хранения и передачи данных. При определении важности данных необходимо отталкиваться от основы бизнеса; не существует универсальной политики, которая подходит всем компания одинаково. Составление перечня защищаемой информации является одной из наиболее приоритетных и сложных задач, возникающих при построении любой системы информационной безопасности. Для ее решения необходимо получить ответы на следующие вопросы:
- Какими постановлениями регулируется защита данных от утечки?
- Какие данные будут непосредственно влиять на прибыль компании в случае, если они «просочились»?
Для выделения критичных данных используются основные характеристики конфиденциальной информации (номера договоров, имена и паспортные данные, ключевые слова, контрольные суммы и хэш-функции нетекстовых файлов), отслеживается их перемещение внутри корпоративной сети и выход за ее пределы. Таким образом, можно определить бизнес-процессы, в которых обрабатываются те или иные данные, описать производимые над ними действия и сделать вывод, как лучше обеспечить их сохранность и целостность. Процесс отслеживания конфиденциальных данных не должен прекращаться после внедрения системы предотвращения утечек: данные, не имеющие сегодня никакого статуса и ценности, могут стать важными завтра.
После выявления критичных данных необходимо произвести анализ бизнес-процессов, в которых они обрабатываются и хранятся, а также определить потенциальные бреши, через которые может утечь конфиденциальная информация. Например, это может быть невнимательность сотрудников, случайно пересылающих по электронной почте важные сообщения в незашифрованном виде или наличие инсайдеров и вредоносных программ, нацеленных на преднамеренную передачу данных. Внутренние угрозы часто связаны с неавторизированным доступом к данным или их нецелевым использованием. На степень защищенности активов компании влияет наличие и частота проведения внутренних тренингов по работе с критичными данными, знание сотрудниками принципов действия при получении сомнительных сообщений, фишинговых ссылок и т.д., а также выполнение положений политики безопасности.
Рассмотрим методику создания системы предотвращения утечки данных:
1. Определение критичных данных. Необходимо выявить все данные и активы компании, которые организация обязана защищать в первую очередь, а также те, которые являются наиболее ценными.
2. Оценка риска. Риск утечки данных может меняться в зависимости от бизнес-процессов, в которых они задействованы. На данном этапе следует определить потенциальные проблемы в процедуре обработки данных по всей длине жизненного цикла, начиная от их создания и заканчивая уничтожением или утилизацией. При этом предлагаемые механизмы защиты должны соответствовать уровню важности данных.
3. Решение. Применяемые решения по предотвращению утечки данных должны быть адекватными и соответствовать чистой стоимости защищаемого актива. Несмотря на то, что технологии играют важную роль, основывать выбор исключительно на принципах защиты не стоит. Необходимо уделить внимание степени осведомленности пользователей правилам работы с критичной информацией, улучшить описание и управляемость бизнес-процессов.
4. Мониторинг. После внедрения выбранных решений следует обеспечить как внутренний непрерывный мониторинг состояния защищенности данных, так и внешний контроль обработки данных партнерами, мобильными сотрудниками или аутсорсинговыми компаниями.
Компании, внедрившие систему защиты данных без предварительной подготовки, часто не имеют понимания, какие данные имеют наибольшее значение для организации и выбирают неправильный баланс между стоимостью средств защиты и стоимостью защищаемой информации.
Безопасность информации – это особое состояние защищенности активов, за поддержание которого несет ответственность каждый сотрудник. Средства и технологии предотвращения утечки данных носят важную роль в построении систем защиты и необходимы практически каждой организации. Любые DLP решения должны обладать следующим функционалом:
- возможность классификации типов данных;
- управление политиками, основанными на содержании и контексте данных;
- мониторинг перемещения данных;
- возможность создания отчетов и документов об инцидентах утечки данных.
Для правильного выбора производителя рекомендуется протестировать и сравнить несколько решений, желательно опросить специалистов, которые непосредственно пользуются данными продуктами в повседневной деятельности.
Необходимо добавить, что внедрение DLP решений является необходимой, но не достаточной частью системы предотвращения утечки данных. Обучение сотрудников работе с конфиденциальными документами, материальный учет съемных носителей и организационный контроль перемещаемой информации позволят значительно повысить уровень защищенности корпоративной инфраструктуры.
