DLP для небольшой компании: когда нужен и как внедрить без лишних затрат

DLP (data loss prevention) — класс систем, которые следят за перемещением важных данных и блокируют или фиксируют попытки вынести их за пределы компании: по почте, через облако, на флешку, в мессенджер. Для небольшой компании это дорого и требует людей, поэтому сначала нужно понять, решают ли задачу более простые меры. Ниже разбор, когда DLP действительно нужен, какие есть каналы утечек, как выбрать решение и внедрить его, не парализуя работу.

Статья опирается на логику направления «Безопасность данных» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Мониторинг переписки и действий сотрудников затрагивает их права и персональные данные: решения согласуйте с юристом и кадровой службой.

Что должно получиться

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия. Для уровня 2 DLP как продукт не обязателен: достаточно защищённой передачи и контроля каналов. DLP — следующий шаг, когда базовые меры уже на месте.

Сначала проверьте, не хватит ли простых мер

Если эти меры не внедрены, DLP их не заменит: он покажет множество нарушений, которые вы не сможете разобрать.

Когда DLP оправдан

• Есть данные, утечка которых приводит к серьёзному ущербу или обязательствам: большие массивы ПДн, коммерческая тайна, исходный код.
• Есть требования клиентов, партнёров или регуляторов по контролю каналов.
• Базовые меры внедрены, а утечки по-прежнему возникают через почту, облака, мессенджеры или съёмные носители.
• Есть человек, который будет разбирать срабатывания: без него система бесполезна.

Каналы утечек

Как работает DLP

• Обнаружение. Поиск данных по шаблонам (номера документов, карт, СНИЛС), словарям, отпечаткам документов и меткам классификации.
• Контроль каналов. Анализ трафика почты, веб, мессенджеров и действий на устройстве (через агент).
• Политики и реакции. Разрешить, предупредить, блокировать, запросить обоснование, уведомить ответственного.
• Расследование. Хранение событий и копий для разбора инцидентов.

Критерии выбора

Внедрение по шагам

1. Определите, что защищаете. Выберите два–три типа данных (например, базу клиентов и договоры) и каналы с наибольшим риском. Начинать с «всё и везде» не стоит.
2. Согласуйте правила. Утвердите политику: какие каналы и действия контролируются, уведомите сотрудников (правила, подпись), согласуйте с юристом.
3. Пилот в режиме наблюдения. Подключите небольшую группу, правила пишут события без блокирования; 4–6 недель собирайте срабатывания.
4. Настройте политики. Уберите ложные срабатывания, уточните шаблоны, определите уровни серьёзности.
5. Включите предупреждения, затем блокирование для наиболее критичных сценариев. Исключения оформляйте письменно.
6. Масштабируйте поэтапно на остальные группы и каналы.

Реагирование на срабатывания

Если срабатывание указывает на утечку персональных данных, включаются сроки уведомления регулятора: как уведомить Роскомнадзор.

Показатели

• Доля срабатываний, подтверждённых как реальные нарушения (точность).
• Время разбора срабатывания высокой серьёзности.
• Динамика числа нарушений по каналам: снижается ли после обучения и блокирования.
• Доля пользователей и каналов под контролем.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Безопасность данных» (материалы направления, карта зрелости). Для уровня 2 важны классификация, защищённая передача и контроль каналов; DLP — инструмент для автоматизации контроля, когда процессы и права уже настроены.

Как проверить

1. Определены защищаемые типы данных и каналы, есть утверждённая политика и сотрудники уведомлены.
2. Пилот в режиме наблюдения проведён, ложные срабатывания разобраны.
3. Назначен ответственный за разбор срабатываний, определены сроки реакции.
4. Ежеквартально оцениваются показатели и корректируются политики.

Источники

• Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
• NIST SP 800-53 Rev. 5 (семейства мер защиты информации при передаче и хранении, мониторинг): csrc.nist.gov. Международная практика, не российский норматив.