Классификация информации в DLP-системах

Для того чтобы DLP-система достоверно различала конфиденциальную и открытую информацию, необходимо передать в систему логику, на основании которой должна происходить классификация. Встроенные механизмы DLP позволяют максимально автоматизировать и облегчить процессы обучения системы.

Несколько лет назад существовало только два основных метода описания условий классификации:

– грифование секретных документов (требовались простановка текстовой метки или изменение свойств каждого документа вручную);

– подбор слов и выражений (подчас требовалась работа лингвиста для составления словаря характерных для бизнеса организации терминов, на основании которых должна реагировать система), а также регулярные выражения.

Сегодня в решениях DLP появился широкий набор комбинированных методов:

– цифровые отпечатки документов и их частей (в систему вводятся сотни тысяч документов одной командой);

– цифровые отпечатки баз данных (в систему вводятся выгрузки из баз данных клиентов и прочей структурированной информации, которую важно защитить от распространения);

– статистические методы (повышение чувствительности системы при повторении нарушений).

Современные DLP-системы включают в себя набор готовых правил реагирования на обнаружение, например, данных кредитных карт, паспортов, стандартных форм финансовой отчетности. Но наибольший интерес DLP-системы представляют собой после настройки на образцах конфиденциальных данных, имеющихся в обращении.

Распознавание конфиденциальной информации в DLP-системах проводится двумя способами:

– анализом формальных признаков (например, грифа документа, специально введенных меток, сравнением хэш-функций);

– анализом содержания передаваемых информационных пакетов.

Первый способ позволяет избежать ложных срабатываний (ошибок второго рода), но зато требует предварительной классификации документов, внедрения меток, сбора сигнатур и т.д. Пропуски конфиденциальной информации (ошибки первого рода) при этом методе вполне вероятны, если конфиденциальный документ не подвергся предварительной классификации.

Второй способ дает ложные срабатывания, зато позволяет выявить пересылку конфиденциальной информации не только среди грифованных документов.

Кроме основной задачи DLP-системы решают и вторичные:

– архивирование пересылаемых сообщений на случай возможных в будущем расследований инцидентов;

– предотвращение передачи вовне не только конфиденциальной, но и другой нежелательной информации;

– предотвращение передачи нежелательной информации не только изнутри наружу, но и снаружи внутрь информационной системы;

– предотвращение использования работниками казённых информационных ресурсов в личных целях;

– оптимизация загрузки каналов, экономия трафика;

– контроль присутствия работников на рабочем месте;

– отслеживание благонадёжности сотрудников, их политических взглядов, убеждений, сбор компромата.

Обучение DLP-системы осуществляется:

– вводом образцов конфиденциальной информации, разбитой по категориям (обычно организация указывает, в каких рабочих папках на серверах находятся массивы документов) для снятия цифровых отпечатков;

– вводом выгрузок из актуальных баз данных для снятия отпечатков баз данных;

– включением существующих заведенных в системе шаблонов политик обнаружения (например, номеров кредитных карт, номеров российских паспортов, ключей активации программных продуктов, реагирования на отправку зашифрованных вложений);

– вводом собственных слов и выражений, характерных для конфиденциальных данных;

– вводом исключений (например, шаблоны договоров, стандартные поля для исходящей корреспонденции).

Основные практические достоинства DLP-систем:

– способны классифицировать и выделять наиболее важные для защиты данные (развитые механизмы анализа содержимого);

– приспособлены для тотального охвата информационных потоков организации (множество отслеживаемых каналов, развитая система обработки инцидентов, гибкое распределение ролей);

– подстраиваются под существующие бизнес-процессы (эффект от использования DLP достижим без организационных преобразований и увеличения штата).

Основные ограничения DLP-систем являются оборотной стороной их преимуществ:

– из-за своей приспособленности для общекорпоративного охвата (множество документов, каналов передачи, подразделений организации) DLP-системы плохо подходят для гранулярной защиты единичных документов и не содержат встроенных средств шифрования;

– методы классификации данных, используемые в DLP-системах и подходящие для глобального охвата всех обрабатываемых ресурсов, могут пропустить те данные, которым система не была обучена. Например, в системе не так легко прописать логику распределения специальных ценовых предложений по различным клиентам.

Если основная задача по обеспечению конфиденциальности организации заключается в том, чтобы не допустить распространения только нескольких конкретных документов, либо обезопаситься от попадания прайс-листа одного клиента другому клиенту (когда типов прайс-листов – тысячи), то использование DLP-систем является нерациональным.

Дата добавления: 2015-11-14