Применение dlp систем как инструмента обеспечения информационной безопасности компании

Тимченко Г.В.
выпускник группы МВА CISO-01
Школы IT менеджмента
РАНХиГС при Президенте РФ

Данная работа рассматривает информационные активы Компании и их уязвимости при различных типах угроз. В случаи реализации угроз Компания несёт убытки не только финансовые, но и опасности подвергается репутация компании, что ставит под сомнение её дальнейший успех.

В рамках дипломного проекта рассматривается объект, использующий в процессе документооборота информацию, являющуюся коммерческой тайной. Таким образом, можно сделать вывод, что данный объект подлежит анализу на соответствие требованиям законодательства, и в случае не соответствия – подлежит модернизации.

Предметом исследования является защита от утечки конфиденциальной информации из Компании.

Актуальность работы связана с увеличивающимся количеством утечек информации в организациях и необходимостью защиты от таких утечек. Эти задачи выполняют так называемые DLP – системы.

Целью проекта является повышение уровня защищённости системы информационной безопасности в ООО «ХХХ».
Задачи дипломного проекта:

Исследование понятия «информационная безопасность»;
Классификация каналов утечки информации;
Описание общих мероприятий по обеспечению информационной безопасности;
Анализ особенностей DLP-систем и их места в системе информационной безопасности компании;
Проведение сравнительного анализа DLP-систем;
Разработка организационных мер по защите информации;
Описание реализации проекта.

Гипотеза работы заключается в том, что при существующем положении дел после внедрения программного комплекса по защите от утечек информации количество таких утечек резко сократится либо вообще прекратится.

В первой главе рассмотрена задача построения информационной безопасности, для решения которой проводится характеристика информационной системы предприятия, угроз ИБ, и выдвижение требований к системе защиты информационной безопасности.

При этом, под информационной безопасностью понимается защищённость информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.

Далее рассматривается комплекс методов, применяемых для решения задачи защиты информации. Данный комплекс включает в себя: организационные, инженерно-технические, технические и программно-аппаратные методы.

Организационные методы направлены на исключение возможности тайного проникновения на территорию объектов Компании посторонних лиц, обеспечение удобства контроля прохода и перемещения сотрудников, создание отдельных зон с самостоятельной системой доступа, ознакомление и изучение сотрудников, их обучение работе с защищаемой информацией, ознакомление с мерой ответственности за разглашение, контроль за действиями персонала, проведение расследований нарушений установленных правил.

Инженерно-технические методы ориентированы на оптимальное построение зданий, сооружений, сетей инженерных и транспортных коммуникаций Компании с учетом требований обеспечения безопасности информации.

Технические методы основаны на применении специальных технических средств защиты информации и контроля обстановки и ориентированы на устранение угроз, связанных с действиями внешних антропогенных источников угроз по добыванию информации незаконными техническими средствами.

Программно-аппаратные методы нацелены на устранение проявления угроз, непосредственно связанных с процессом обработки и передачи информации в информационных системах.

Система обеспечения безопасности информации (СОБИ) представляет собой практическую реализацию на объекте защиты комплекса методов, способов и приёмов противодействия возможным деструктивным воздействиям при реализации значимых угроз.

Во второй главе затрагиваются общие вопросы работы DLP-систем, их роль и особенности применения, проведён сравнительный обзор существующих программных продуктов.

Существующие DLP-системы обеспечивают контроль над распространением конфиденциальной информации за пределы предприятия по всем доступным каналам. DLP-решения (Data Loss Prevention) предотвращают несанкционированные операции с конфиденциальной информацией (копирование, изменение и т.д.) и ее перемещение (пересылку, передачу за пределы Компании, пересохранение в альтернативные директории и т.д.) через контроль:

отправки корпоративной и web-почты (mail.ru, gmail.com и т.п.);
ftp-соединений;
передачи мгновенных сообщений (ICQ, MSN, AOL и т.п.);
печати документов на принтере;
использования внешних USB-накопителей, CD/DVD, мобильных устройств;
локальных соединений – Bluetooth, WiFi и т.п.

Основные преимущества систем DLP перед альтернативными решениями – продуктами шифрования, разграничения доступа, контроля доступа к сменным носителям, архивирования электронной корреспонденции, статистическими анализаторами – это:

контроль над всеми каналами передачи конфиденциальной информации в электронном виде (включая локальные и сетевые способы), регулярно используемыми в повседневной деятельности;
обнаружение защищаемой информации по ее содержимому (независимо от формата хранения, каналов передачи, грифов и языка);
блокирование утечек (приостановка отправки электронных сообщений или записи на USB-накопители, если эти действия противоречат принятой в компании политике безопасности);
автоматизация обработки потоков информации согласно установленным политикам безопасности (внедрение DLP-системы не требует расширения штата службы безопасности).

Основное назначение DLP — обеспечивать защиту от случайного или намеренного распространения конфиденциальной информации со стороны сотрудников, имеющих доступ к информации в силу своих должностных обязанностей. Но, помимо того, любая DLP может быть настроена и для борьбы со злонамеренными инсайдерами.

Тем не менее, DLP не могут в прямом смысле предотвратить все утечки, поскольку существуют человеческий фактор, хакерские способы обхода системы. Коммерческая целесообразность данных систем заключается в значительном снижении рисков утечки информации по неосторожности и в частичном снижении рисков преднамеренной кражи конфиденциальных сведений.

Третья глава посвящена устранению недостатка в системе информационной безопасности предприятия, а именно описанию структуры используемой DLP-системы и внедрения программного-аппаратного комплекса для защиты информации компании.

Одной из основных организационных мер по защите информационной безопасности будет добавление в штат Компании специального сотрудника, отвечающего за разработку, внедрение и выполнение мер информационной безопасности. В качестве альтернативы, возможно наделение уже работающего сотрудниками вышеуказанными функциями.

Кроме того, в рамках организационного направления работ создаётся комплексная система защиты информации (КСЗИ), т.е. совокупность правил (руководящих документов) и технических средств, регламентирующих деятельность сотрудников при обращении с информацией независимо от форм её представления.

КСЗИ включает в себя разработку регламента обеспечения безопасности, применение методологии при работе с персоналом, при создании подразделения, ответственного за защиту информации (СОК), при обучении и консультации сотрудников СОК, работы по уточнению требований к характеристикам защищённости системы, анализ информационной структуры, разнесение субъектов и объектов информационных отношений по категориям конфиденциальности, определение допустимых формы их взаимодействий и т.д.

Мероприятия по созданию систем защиты конфиденциальной информации, реализуемые вне единого комплекса мер, прописанных в рамках концепции политики безопасности, бесперспективны с точки зрения ожидаемой отдачи по решению проблем безопасности.

Для развёртывания системы защиты информации потребуется установка программного комплекса на специально выделенный сервер. При этом обеспечивается такая конфигурация сети, сетевого оборудования, что весь трафик организации перенаправляется через элементы данного комплекса. Каждый элемент выполняет свои функции по анализу трафика, выделяя неразрешенный или опасный.

В дипломном проекте рассмотрено существующее положение с защитой информации в компании ООО «ХХХ» и сделан вывод, что используемых мер и средств недостаточно.

В качестве основного средства повышения информационной безопасности предлагается использовать семейство программных комплексов защиты информации в составе:

Zgate — сетевая DLP-система для защиты от утечек корпоративной информации;
Zlock — система, обеспечивающая предотвращение утечек конфиденциальной информации через периферийные устройства;
Zdisk – средство защиты от НСД для рабочих станций.

Предлагаемый комплекс мероприятий позволит вывести обеспечение информационной безопасности обрабатываемой и передаваемой информации на качественно новый уровень.

Дальнейшее совершенствование системы защиты информации предполагается развивать в направлении конвергенции различных областей информационной безопасности, в частности в следующих направлениях:

непрерывной модернизации системы защиты информации;
строгом выполнении и контроле мероприятий разработанной политики безопасности;
создании понятия неотвратимой ответственности за нарушение требований политики безопасности у сотрудников предприятия;
ужесточении требований, предъявляемых к персоналу;
внедрении современных программных комплексов защиты информации.

Рубрика:

Информационная безопасность

Источник

Защита от утечек конфиденциальных данных

Ценная корпоративная информация – это разработки, данные о клиентах, партнерах и продажах, стратегические планы и другие важные сведения. Ведь слитая в сеть информация нанесет серьезный репутационный ущерб. Чтобы не понести убытки, необходимо обеспечить эффективную защиту корпоративных данных.

Современный бизнес очень зависит от информации. Без свежих, актуальных, а иногда и персональных данных он не может конкурировать и занимать свою часть сегмента рынка. Но информация — это не только важный ресурс, но и серьезная ответственность. Утечка данных может превратиться в серьезные убытки, а в случаях утери персональных данных в судебные разбирательства, большие штрафы. В особых случаях ответственность может быть уголовной.

Существует статистика по утечкам информации. Анализ цифр указывает на то, что 2/3 скомпрометированных компаний прекращают работать и закрываются в среднем через 6–12 месяцев. Поэтому утечка информации это не просто больно, но и фатально для бизнеса.

А чтобы держать потоки своей информации под контролем и дать возможность сотрудниками ей пользоваться, компании используют специальные технологии — DLP системы.

DLP (Data Loss Prevention) — это программный продукт для предотвращения утечек конфиденциальных данных в корпоративной сети.

Это общее определение и название класса ПО, которое создано для защиты данных от несанкционированного доступа.

DLP-система позволяет контролировать каналы передачи данных, выявлять и предотвращать утечки критичной информации. Дает возможность гибко классифицировать данные внутри компании и контролировать их потоки. Также дает возможность искать данные в файловых хранилищах, рабочих компьютерах сотрудников, базах данных и т. д. Входит в состав программных блейдов всех современных NGFW решений.

Какие проблемы решает DLP?

Эти задачи невозможно решить без автоматизации и новых технологий. А если их не решать, то информация очень скоро покинет пределы компании и нечего будет защищать. Этот инцидент приведет к остановке функционирования систем, убыткам и судебным тяжбам. DLP решает следующие базовые проблемы защиты информации:

Проводится анализ и маркировка данных, которые считаются конфиденциальными.

Сканируются потоки данных сотрудников во всех средствах передачи информации (корпоративные каналы, мессенджеры, почта, звонки и пр.), чтобы выявить конфиденциальные данные.

Искажается или удаляется информация, которая уходит из рабочей сети к третьим лицам или просто в сеть, где к ней получают доступ неограниченный круг пользователей.

Классификация важной корпоративной информации

Информация о клиентах

Истории покупок, контакты и метрики для анализа по какой-либо активности.

Личная информация

Это персональные данные, а также средства идентификации и аутентификации.

Финансовые данные

Все, что касается денежных потоков, вплоть до размеров заработных плат.

Конфиденциальная

Что является конфиденциальной информацией, устанавливает договор между несколькими сторонами или внутренние документы компании.

Интеллектуальная собственность

Исходные коды ПО, аудио, видео, изображения, исследования и иные данные, которые попадают под действие законодательства об интеллектуальной собственности и авторском праве.

Данные с ограничениями

Данные, защищенные государственными и федеральными законами, а в случае компрометации приведет к штрафам и уголовным обвинениям.

Как DLP работает?

Не существует идеальной DLP, так же как нет «лучшего» антивируса. Каждая компания создает свой коммерческий продукт на базе информационных технологий, проектирует его в своем понимании безопасности, проводит анализ ошибок, использует удачные решения, добавляет востребованные функции для решения узких задач. Мы можем выделить только распространенные варианты классификации компонентов DLP: с активным или пассивным контролем действий пользователя.

Активные системы — это деятельные цифровые охранники, которые проверяют трафик во всевозможном виде и предотвращают утечку данных в 99% случаев. При этом, чтобы работать, они потребляют много ресурсов и без промедления дернут стоп-кран, который остановит весь бизнес или его сегмент до выяснения обстоятельств инцидента. Это профессиональный инструмент, в котором собраны различные компоненты, которыми нужно уметь пользоваться для грамотного решения задач. Обычно этим занимается целый отдел информационной безопасности.

Пассивные системы — это механические фильтры, которые работают с определенными “классическими” угрозами, проводят постоянный анализ критических каналов передачи информации. Им не нужна посторонняя помощь, достаточно только несложной начальной настройки. Они могут предотвратить утечки по неосторожности или при грубой попытке несанкционированного доступа. Это самый распространенный вариант DLP, потому что работает в фоновом режиме и не требует дополнительный штат сотрудников информационной безопасности. Однако, в тех случаях, когда на базы данных компании будет совершена целенаправленная атака специалистов по краже закрытой информации, этот автоматизированный защитник не сможет сдержать натиск.

Чтобы правильно выбрать вариант DLP (активный, либо пассивный), нужно трезво оценивать вероятность тех или иных угроз. Например, если вы продаете товары через интернет-магазин и у вас есть персональные данные вроде имени и телефона, то вам подойдет простая система для решения распространенных задач по защите информации. Она защитит от случайной утечки базы клиентов или мести недовольного работника.

А если ваш бизнес — это крупный банк или маркетплейс, то каждый день будут появляться желающий проверить на прочность вашу защиту данных с помощью технологий взлома. Здесь понадобится сильная DLP-система и компетентный отдел безопасности.

Стоит упомянуть гибридные DLP, в которых есть компоненты активной и пассивной классификации. Это решения для тех, кто находится в промежуточной стадии между мелким и крупным бизнесом. Большую часть задач будет решать пассивная структура посредством анализа трафика, а работать с активным функционалом, учиться отражать новые угрозы, будет только зарождающийся отдел информационной безопасности.

Как DLP обеспечивает безопасность?

В крупных компаниях безопасность обеспечивается за счет корпоративной электроники. Например, человек, который устроился на работу, получает собственный ноутбук, телефон, планшет. В них уже вшито DLP, которое жестко ограничивает функциональность и возможности обмена информацией. Но это решение очень дорогое и его могут себе позволить только настоящие финансовые гиганты. А что делать предпринимателям средней руки?

У них тоже есть возможность создать безопасную информационную среду и для этого не нужно закупать корпоративную технику. Достаточно разрешить работникам пользоваться своими компьютерами и смартфонами, но с корпоративным средством DLP.

Даже крупные компании переходят на второй вариант работы, так как по результатам исследований и анализа эффективности, этот способ обеспечения безопасности выгодней и проще.

Ключевые функции работы DLP

Обнаружение файлов с конфиденциальной информацией

У различных работников свой уровень доступа к конфиденциальной информации. Если анализ информации на компьютере выявил файл, которого быть не должно, то это повод для проведения проверки работника и доработки протоколов безопасности информации.

Предотвращение выхода файлов в сеть

Если информация ушла в сеть, то это безнадежно скомпрометированные данные. Поэтому самые большие усилия направляются на то, чтобы данные не покинули корпоративную сеть. Эта функция самая приоритетная.

Блокировка копирования информации

Например, на физические отчуждаемые носители – оптические диски, usb-flash накопители, ssd и hdd с usb-подключением и иные. Таким образом Эдвард Сноуден смог вынести секретные данные с секретной информацией о работе спецслужб США.

Ограничение и фильтрация веб-серфинга

У этого функционала есть несколько применений: защита данных от утечки, анализ и контроль деятельности работников, предотвращение посещения небезопасных ресурсов.

Контроль доступа к приложениям

Этой функцией можно ограничить инструментарий в телефоне, планшете, ноутбуке на рабочее время. Это нужно, чтобы во время работы с конфиденциальными данным использовались только безопасные приложения.

Полный мониторинг цифровой активности

Электронная почта, мессенджеры, чаты, нажатия клавиш, используемые документы и приложения. Эти данные нужны для анализа трафика и принятия решений в реальном времени, либо для расследования инцидентов.

Удаление или изменение важных данных

То есть конфиденциальной информации до выхода с серверов компании. Это способ защитить сведения от разглашения — обязательная функция.

Рост пользователей DLP систем

Ценность информации увеличивается год от года, а значит и растет количество желающих украсть чужие данные. Это наглядно видно по статистике утечки данных. За последние 3 года количество утечек в мире увеличилось на 10%, в России этот показатель составляет рекордные 40%.

DLP-системы используют те, кто понимает риски утечки информации, а также те, кто уже понес серьезные убытки, но при этом смог удержаться на плаву. Например, в США за 2019 год были проведены исследования среди 1006 малых предприятий, в которых произошла утечка данных:

10 % из них прекратили свое существование сразу,
25% пытались справиться с кризисом, но в итоге признали себя банкротами,
37% пережили жесточайший финансовый удар, который откатил их бизнес на несколько лет назад,
28% смогли максимально смягчить последствия и быстро среагировать на утечку.

Истории с утечками часто мелькают в новостных лентах, их обсуждают на конференциях IT технологий, форумах и бизнес-завтраках. Это уже реальная проблема, бороться с ней, когда она уже произошла, нет возможности. К такой угрозе можно только подготовиться заранее. И лучшее на сегодня решение — DLP системы.

Возможности DLP

Cloud Networks берет на себя все вопросы, связанные с решением задач по подбору, внедрению и эксплуатации новых средств защиты информации. Возможности DLP включают:

Интерактивное взаимодействие с пользователем при использовании разрешенных каналов.

Контроль каналов передачи данных и выявление утечки конфиденциальной информации.

Поиск мест хранения конфиденциальных сведений в файловых хранилищах, базах данных и т. д.

Выявление причины произошедших утечек и блокирование утечек данных.

Мониторинг общения и поведения сотрудников.

Классифицирование данных внутри компании.

Решения DLP от вендоров

На рынке есть решения на любой вкус и кошелек. Каждое решение состоит из модуля защиты или нескольких модулей с различными тонкими настройками и имеет широкие возможности. Наш личный топ решений на базе передовых технологий:

Гарда Технологии DLP

Гарда Предприятие – аппаратно-программный комплекс для контроля и анализа информационных потоков компании, защиты и предотвращения утечек конфиденциальной информации. Решение совмещает в себе классические инструменты DLP и мощные аналитические возможности.

Киберпротект DLP

Ранее Acronis DeviceLock DLP. Осуществление гранулярного контроля действий пользователей с данными, обеспечивать соответствие корпоративным политикам защиты данных, стандартам безопасности в IT и требованиям регуляторов, независимо от места работы сотрудников.

InfoWatch Traffic Monitor

Анализ информационных потоков и поведенческая аналитика способны не только предотвращать инциденты, связанные с человеческим фактором, целенаправленными атаками и утечкой данный, но предсказывать вероятность возникновения рисков и находить пути повышения эффективности.

О работе с Cloud Networks

Команда Cloud Networks выполняет роль цифровых советников, навигаторов по IT-решениям для бизнеса, контрольных органов по внедрению цифровых продуктов в ваши бизнес-процессы.

Если вы беспокоитесь о безопасности данных, но не понимаете, с чего начать, то вот варианты:

Окунуться в тематику, найти нужную информацию, начать тестировать эффективность структуры защиты, о которой узнали;
Позвонить нам, мы предложим уже проверенные решения, подберем оптимальный вариант для вас, потратим на решение проблемы минимум времени.

Наш типовой алгоритм при внедрении DLP-системы:

Изучаем текущие методы защиты данных и оцениваем их эффективность;
Подбираем полную версию DLP или отдельный модуль защиты для решения конкретных задач и презентуем заказчику. Разъясняем преимущества тех или иных технологий;
При необходимости помогаем сформировать отдел информационной безопасности;
Полностью курируем ввод DLP в компании заказчика;
Обучаем персонал, создаем инструкции, выводим систему в режим постоянного функционирования.

Оставьте заявку на получение консультации

Истории успеха

Задача:
Требовались технические сервисы для поддержки и защиты конечных точек компании.
Продукт:
Check Point.
Результаты:
Поставлены устройства на все субъекты, а также предоставлены сервис и техническая поддержка по межсетевым экранам на все представительства компании, включая предприятия в Сибири
и Харабовском крае.

Задача:
Требовалась платформа для администрирования приложений на разных устройствах.
Продукт:
VMware Workspace ONE.
Результаты:
Была установлена аналитическая платформа VMware Workspace ONE на 500 устройствах заказчика для контроля приложений и удобного, безопасного предоставления приложений на любом устройстве.

Задача:
Требовалась защита периметра ИТ-инфраструктуры.
Продукт:
Cisco Firepower.
Результаты:
Был реализован проект в крупнейшем российском энергетическом холдинге по защите периметра сети на основе решений Cisco Firepower. Защищен периметра от сетевых атак, проведена проверка трафика на наличие вредоносного кода
и установлено межсетевое экранирование.

Дополнительные материалы

6 лет на рынке ИБ

Более 100 проектов

65 + партнеров

Cloud Networks – это компания, предоставляющая услуги в области системной интеграции, облачном консалтинге, автоматизации процессов и бизнес-аналитике.

Основной деятельностью компании является обеспечение информационной безопасности и защита данных, а также внедрение информационных технологий для эффективной работы бизнеса.

Источник

DLP-системы завоевали определенное место на рынке средств защиты информации от утечек. Однако споры об их эффективности не умолкают. Причина — не только в завышенных ожиданиях, сформированных вендорами, но и в том, что каждая сложная система требует адекватной настройки.

Предлагаем ряд маркеров, которые помогут выжать максимум из любой системы DLP.

DLP-системы: что это такое

Напомним, что DLP-системы (Data Loss/Leak Prevention) позволяют контролировать все каналы сетевой коммуникации компании (почта, интернет, системы мгновенных сообщений, флешки, принтеры и т д.). Защита от утечки информации достигается за счет того, что на все компьютеры сотрудников ставятся агенты, которые собирают информацию и передают ее на сервер. Порой информация собирается через шлюз, с использованием SPAN-технологий. Информация анализируется, после чего системой или офицером безопасности принимаются решения по инциденту.

Итак, в вашей компании прошло внедрение DLP-системы. Какие шаги необходимо предпринять, чтобы система заработала эффективно?

1. Корректно настроить правила безопасности

Представим, что в системе, обслуживающей 100 компьютеров, создано правило «Фиксировать все переписки со словом «договор»». Такое правило спровоцирует огромное число инцидентов, в котором может затеряться настоящая утечка.

Кроме того, не каждая компания может позволить себе содержать целый штат сотрудников, отслеживающих инциденты.

Повысить коэффициент полезности правил поможет инструментарий по созданию эффективных правил и отслеживанию результатов их работы. В каждой DLP-системе есть функционал, который позволяет это сделать.

В целом методология предполагает анализ накопленной базы инцидентов и создание различных комбинаций правил, которые в идеале приводят к появлению 5–6 действительно неотложных инцидентов в день.

2. Актуализировать правила безопасности с определенной периодичностью

Резкое снижение или увеличение числа инцидентов — показатель того, что требуется корректировка правил. Причины могут быть в том, что правило потеряло актуальность (пользователи перестали обращаться к определенным файлам) либо сотрудники усвоили правило и больше не совершают действий, запрещенных системой (DLP — обучающая система). Однако практика показывает, что если одно правило усвоено, то в соседнем месте потенциальные риски утечки возросли.

Также следует обращать внимание на сезонность в работе предприятия. В течение года ключевые параметры, связанные со спецификой работы компании, могут меняться. Например, для оптового поставщика малой техники весной будут актуальны велосипеды, а осенью — снегокаты.

3. Продумать алгоритм реагирования на инциденты

Есть несколько подходов к реагированию на инциденты. При тестировании и обкатке DLP-систем чаще всего людей не оповещают об изменениях. За участниками инцидентов лишь наблюдают. При накоплении критической массы с ними общается представитель отдела безопасности или отдела кадров. В дальнейшем часто работу с пользователями отдают на откуп представителям отдела безопасности. Возникают мини-конфликты, в коллективе накапливается негатив. Он может выплеснуться в намеренном вредительстве сотрудников по отношению к компании. Важно соблюдать баланс между требованием дисциплины и поддержанием здоровой атмосферы в коллективе.

4. Проверить работу режима блокировки

Существует два режима реагирования на инцидент в системе — фиксация и блокировка. Если каждый факт пересылки письма или прикрепления вложенного файла на флэшку блокируется, это создает проблемы для пользователя. Часто сотрудники атакуют системного администратора просьбами разблокировать часть функций, руководство также может быть недовольно такими настройками. В итоге система DLP и компания получают негатив, система дискредитируется и демаскируется.

Рекомендуем режим блокировки подключать лишь на правила, которые в 100 % случаев являются истинными утечками. При условно-ложных срабатываниях рекомендуется подключать режим фиксации инцидентов.

5. Проверить, введен ли режим коммерческой тайны

Режим коммерческой тайны дает возможность сделать определенную информацию конфиденциальной, а также обязует любое лицо, знающее об этом, нести полную юридическую ответственность за ее разглашение. В случае серьезной утечки информации при действующем на предприятии режиме коммерческой тайны с нарушителя можно взыскать сумму фактического и морального ущерба через суд в соответствии с 98-ФЗ «О коммерческой тайне».

Надеемся, что данные советы помогут снизить число непреднамеренных утечек в компаниях, ведь именно с ними призваны успешно бороться системы DLP. Однако не стоит забывать о комплексной системе информационной безопасности и о том, что намеренные утечки информации требуют отдельного пристального внимания. Существуют современные решения, которые позволяют дополнить функционал систем DLP и значительно снизить риск намеренных утечек. Например, один из разработчиков предлагает интересную технологию — при подозрительно частом обращении к конфиденциальным файлам автоматически включается веб-камера и начинает вести запись. Именно эта система позволила зафиксировать, как незадачливый похититель активно делал снимки экрана с помощью мобильной фотокамеры.

Защита данных от утечки

Узнать больше

Олег Нечеухин, эксперт по защите информационных систем, «Контур.Безопасность»

Источник

Многофункциональные DLP-системы призваны решить задачу защиты информации, полностью исключив ее утечку за пределы компании. Сложность установки и внедрения, высокая цена некоторых программных продуктов может отпугнуть небольшой частный бизнес. Однако на российском рынке представлены DLP-решения, которые вполне способны заинтересовать эту категорию покупателей.

Необходимость защиты информации в небольших компаниях

Небольшие компании частного бизнеса далеко не всегда работают в сфере торговли. В этом формате создается большинство инновационных, внедренческих, научных предприятий, занимающихся актуальными разработками. И интерес конкурентов к их решениям способен привести к организации намеренных утечек. Кроме патентов и результатов исследований ценность для конкурентов могут иметь следующие категории данных:

стратегические планы развития компании;
уникальные бизнес-процессы;
информация о ключевых сотрудниках;
персональные данные клиентов (например, для фирм, работающих в сфере медицины).

Внедрение актуального DLP-решения (аббревиатура расшифровывается как Data Leak Prevention – предотвращение утечек данных) для малого и среднего бизнеса способно обезопасить эти сведения и от инсайдерских, и от внешних угроз. Помимо использования DLP, задача обеспечения информационной безопасности решается следующими мерами:

разработка внутренних регламентов по работе с информационными системами;
установка программ для антивирусной защиты;
использование средств криптографической защиты для шифрования важных сведений;
инструктаж персонала по работе с конфиденциальной информацией и персональными данными.

Если небольшая компания, работающая с персональными данными, например, туристическое агентство, не готова тратить средства на внедрение DLP-системы, она, скорее, приобретет одно из программных решений, которые позволяют отслеживать использование сотрудниками рабочего времени. Эти программы частично воспроизводят функционал DLP, хотя и не могут заменить их полностью. В ряде случаев есть возможность рассмотреть установку системы защиты от утечек конфиденциальной информации как сервисное решение, которое поставляется вендорами на условиях аутсорсинга.

В случае принятия решения о внедрении расходы на установку DLP будут состоять из трех категорий:

стоимость самого программного обеспечения и его внедрения;
доработка аппаратной части (при необходимости);
обучение сотрудников или прием на работу новых.

Эти расходы будут оправданны, если информация, подлежащая защите, имеет высокую ценность. Серьезной сложностью для малого бизнеса станет настройка системы – ее необходимо наполнить информацией, которая сможет идентифицировать утечки именно конфиденциального контента. Эта задача часто оказывается не по силам простому системному администратору. Также в небольших фирмах часто доступ к наиболее важным файлам изначально имеет только руководство, что снижает необходимость контроля за действиями рядовых пользователей.

Установка DLP при всех ее преимуществах будет оправданна только в том случае, когда ценность обрабатываемой информации существенно выше стоимости внедрения – если данные доступны многим пользователям, и к ним может возникнуть интерес конкурентов. Примером такой информации могут стать научные разработки, выполняемые в рамках государственного контракта.

Если решение о приобретении и внедрении продукта принято, определенное время придется потратить на изучение рынка и выбор варианта, адаптированного для русскоязычной аудитории. При выборе DLP руководители компаний и ИБ-специалисты обращают внимание на следующие параметры:

количество контролируемых каналов, на которых осуществляется защита от утечек. Среди них обязательно должны быть электронная почта, съемные носители, в том числе флеш-карты, а также запросы по протоколу HTTP, мессенджеры и вывод на печать. Некоторые компании могут заинтересоваться возможностью контроля выполнения скринов с экрана;
наличие в системе локальных агентов;
качество аналитического аппарата;
многофункциональность, способность решать несколько задач одновременно;
простота администрирования, возможность осуществления техподдержки силами штатных или приглашенных ИБ-специалистов;
доступность по цене;
возможность интеграции с такими часто используемыми программами, как SIEM-системы и «ГосСОПКА»;
наличие решения в реестре рекомендуемых программ для ЭВМ и БД, наличие у вендора требуемых законодательством сертификатов;
способность работать с русскоязычным контентом.

Небольшой бизнес редко может позволить себе проводить длительное, многомесячное внедрение продукта, настройку его аналитики под свои запросы. Поэтому он нуждается в готовом, фактически «коробочном», решении. При его внедрении компания будет заинтересована в том, чтобы применение системы полностью соответствовало требованиям российского законодательства, не было классифицировано как слежка и нарушение прав человека.

Открытые решения

Современный рынок программных продуктов готов предложить малому и среднему бизнесу открытые решения, установка которых является бесплатной. Это такие продукты, как OpenDLP и MyDLP. По сравнению с системными вариантами, стоимость которых начинается от миллиона рублей, такие способы решения задач информационной безопасности кажутся оптимальными. MyDLP эксперты рекомендуют чаще, поскольку его функционал наиболее адекватно отвечает поставленным задачам. Разработчики предлагают два вида лицензий на продукт. Испробовав бесплатную Community, компания может перейти на недорогую и уже знакомую лицензию Enterprise. В любом случае это окажется дешевле приобретения иной системы. Существенной разницей в их использовании будет то, что, зафиксировав инцидент информационной безопасности, версия Community выдаст окно с уведомлением о тревоге, а Enterprise сохранит копию файла.

Установка программы, которую можно скачать на сайте разработчика, займет не более получаса. Инструкция по установке и подробная техническая документация также находятся на сайте. Для контроля электронной почты требуется настроить сервер, создав шлюз к proxy- и smtp-серверам. Правила контроля данных настраиваются самостоятельно, для этого нужно воспользоваться вкладкой Policy.

Приобретение системы

Если компания все же решит выбирать из решений, имеющихся на рынке, необходимо обращать внимание на отечественные продукты. Они имеют русскоязычный интерфейс, понятную документацию. Считается, что система поиска по архиву и аналитика у отечественных продуктов лучше, чем у зарубежных. При этом в архиве сохраняется весь трафик, а не только сведения об инцидентах информационной безопасности. Российская политика импортозамещения, направленная на обеспечение информационной безопасности страны, делает приобретение отечественных продуктов более экономически обусловленным.

Так, при закупке программного обеспечения на торгах, проводимых государственными органами или компаниями с госучастием, предложения российских компаний окажутся приоритетными. Коэффициент оценки их стоимости при общей оценке заявки снизится на 15%. Условно говоря, если иностранная и российская компания предложат выполнить заказ за 100 рублей, в целях определения победителя цена в заявке отечественного разработчика будет принята за 85 рублей.

Такая политика стимулирует активное наращивание потенциала разработок российских компаний, их надежности и удобства. Кроме того, иностранное решение может оказаться неактуальным после того, как будет принят разрабатываемый правительством законопроект о суверенном Рунете, который может создать конфликт между установленными российскими провайдерами средствами борьбы с информационными угрозами и западным программным обеспечением.

DLP для малого бизнеса окажется оптимальным решением в том случае, если расходы на его установку оправдываются ценностью охраняемых данных, а руководство и персонал хорошо понимают, какой продукт и в каких целях они приобретают.

Источник

2.2. Исследование принципов работы DLP-систем

Нужна такая же работа?

Оставь заявку и получи бесплатный расчет

Несколько простых шагов

Оставьте бесплатную заявку. Требуется только e-mail, не будет никаких звонков

Получайте предложения от авторов

Выбирете понравившегося автора

Получите готовую работу по электронной почте

1.1 Цели и основные угрозы информационной безопасности

История передачи информации растянулась на протяжении более десятка лет, поскольку своевременное получение конфиденциальных данных является ключом к взаимодействию между сторонами. И чем важнее информация, тем больше необходимость ее защищать.
Основная цель информационной безопасности, согласно ISO / IEC IS 27001: 2005, которая определяет информационную безопасность как сохранение конфиденциальности, целостности и доступности информации, заключается в защите информационных ресурсов компании от внутренних и внешних преднамеренных и непреднамеренных угроз.
Безопасность данных должна обеспечиваться повсеместно, поэтому цель информационной безопасности – обеспечить непрерывность бизнеса компании и минимизировать бизнес-риски, предотвращая инциденты и уменьшая размер потенциального ущерба.
…

1.2 Основные каналы утечки информации

Источник информации постоянно расползается во внешнюю среду. Каналы распространения информации несут в себе объективный характер, чрезвычайно активны и включают в себя: партнерские, организационные, коммерческие, научные, коммуникативно-контролируемые коммуникации; информационные и коммуникационные сети.
Канал распространения информации – это способ передачи ценной информации из одного источника в другой, санкционированно или же несанкционированно.
Термин «утечка конфиденциальной информации», вероятно, не самый гармоничный, но он более лаконично, чем другие термины, отражает суть явления. Он давно утвердился в научной литературе, нормативных документах.
…

2.1 Анализ объекта исследования

Публичное акционерное общество «МАЗ» входит в группу предприятий ПАО МАЗ и является крупнейшим в России заводом по производству специальных надстроек на шасси МАЗ.
В состав завода входят три основных корпуса: корпус автосамосвалов, корпус вахтовых автомобилей и цистерн, корпус автобусного производства и вспомогательные цеха. Предприятие выпускает:
• автосамосвалы;
• вахтовые автобусы;
• автоцистерны, прицепы и полуприцепы-цистерны;
• тентовые прицепы и полуприцепы;
• пассажирские автобусы;
• сельхозмашины;
• другую технику.
Предприятие серийно выпускает широкий модельный ряд автобусов – городские, пригородные, междугородные, междугородные в северном исполнении, автобус с двигателем, работающим на газе метане, автобус повышенной комфортабельности туристического класса, низкопольные и полунизкопольные автобусы. Производится также коллаборация автобусов с европейской корпорацией VDL7.
…

2.1.1 Обеспечение информационной безопасности

Организационно-правовая, программно-аппаратная и инженерно-техническая поддержка информационной безопасности ПАО «МАЗ» осуществляется с помощью следующих подразделений:
• отдела информационных и коммуникационных технологий;
• службы безопасности ПАО «МАЗ»;
• отдела экономической безопасности.
Ответственным за разработку мер и контроля над обеспечением защиты информации является руководитель отдела информационных и коммуникационных технологий. Специалистами отдела информационных и коммуникационных технологий должны осуществляться следующие виды работ по защите информации:
Контроль безопасности ИТ-инфраструктуры компании от угроз ИБ осуществляется путем:
• проведение аудита безопасности ИС;
• контроль за соблюдением правил, утвержденных политик безопасности пользователями корпоративной сети;
• контроль доступа к сетевым ресурсам.
…

2.1.2 Политика информационной безопасности

Организационно-правовые меры состоят из административных и процедурных мер по защите информации. Основой мер административного уровня, то есть мер, которые принимаются администрацией организации, является политика информационной безопасности. Политика информационной безопасности – это набор документированных управленческих решений, направленных на защиту информации и связанных с ней ресурсов.
Политика информационной безопасности предприятия определяет идеологию информационной безопасности, а также некую степень внимания и число ресурсов, которые администрация считает необходимым выделить.
Политика информационной безопасности предприятия определяется концепцией, а также иными правовыми и организационными документами предприятия.
…

2.1.3 Программно-аппаратные средства защиты информации

Электронный документооборот между пользователями информационных сетей содержит различную информацию, которая по своим признакам и характеристикам имеет свою ценность – государственную, коммерческую или частную и обладает конфиденциальным статусом.
В данной ситуации возникает проблема безопасности информации и ее защиты от несанкционированного доступа с использованием различных злоумышленных действий.
Для контроля сотрудников используется программный комплекс (ПК) «Стахановец». ПК «Стахановец» — программный комплекс, предназначенный для руководителей, HR-директоров, службы информационной безопасности, IT-специалистов.
…

2.2. Исследование принципов работы DLP-систем

DLP-системы (Data Leak Prevention) представляют собой совокупность технологий и технических устройств (программного или программно-аппаратного обеспечения), направленные на предотвращение утечки конфиденциальной информации за пределы информационной системы организации14.
Организации, внедряющие систему DLP, как правило, руководствуются следующими целями:
• снизить финансовые потери от разглашения конфиденциальной информации;
• избежать нанесения ущерба репутации;
• соответствовать отраслевым стандартам безопасности.
Функции DLP-систем:
• контроль перемещения информации как на уровне коммуникаций с внешней сетью, так и на уровне оконечных устройств пользователей (рисунок 2);
• сканирование хранимых файлов и баз данных для поиска конфиденциальной информации;
• предотвратить утечку конфиденциальных данных, заблокировав процесс передачи в случае обнаружения нарушения политики безопасности15.
…

2.2.1 Преимущества DLP-систем

В современном информационном мире задача защиты ценной информации становится не просто прихотью, а насущной необходимостью.
Корпоративный шпионаж и получение несанкционированного доступа к данным становится обыденным явлением, а ценность информации растет с каждым годом.
Даже такой банальный пример, как отправка электронного письма с внутренней бизнес-информаций по неправильному адресу может привести к непоправимым последствиям. К ним относятся, например, огласка данных в СМИ и надлежащее внимание со стороны налоговой и прочих инспекций.
Система DLP контролирует данные, которые передаются по различным каналам и определяет уровень ее конфиденциальности. Это своего рода фильтр, в который поступает вся возможная информация, после чего проводится ее анализ.
По завершению анализа система принимает решение – нужно ли пропустить эти данные либо заблокировать их. Возможен и третий вариант – отправка сомнительных данных контролеру.
…

2.3 Технологии категоризации информации

Лингвистический анализ. Данный метод является одним из самых распространенных контентных способов обнаружения утечек конфиденциальной информации. Суть этого метода заключается в поиске в передаваемом тексте определенных слов или словосочетаний. И, хотя это звучит очень просто, на самом деле он относится к числу самых сложных в реализации методов. Дело в том, что строгий поиск только указанных выражений сам по себе бесполезен, необходим поиск, в котором учитываются всевозможные формы заданных слов.
Главным преимуществом рассматриваемого метода является его универсальность. С одной стороны, лингвистический анализ может использоваться для контроля любых каналов связи, начиная с файлов, копируемых на съемные накопители, и заканчивая сообщениями в мессенджерах и социальных сетях и пр. А с другой – с его помощью могут исследоваться любые тексты и искаться любая информация.
…

2.4 Сравнительный анализ DLP-систем

Выбор любой корпоративной системы защиты информации зачастую занимает столько же времени, сколько внедрение и последующая эксплуатация. Системы DLP только подтверждают это: в настоящее время на рынке имеется несколько десятков различных продуктов с более чем сотней различных параметров, затрудняющих выбор18. Некоторые из них:
• Falcon Gaze Secure Tower;
• Search Inform;
• Perimetrix;
• DeviceLock;
• McAfee;
• Websense;
• Symanteс;
• Forsepoint;
• Digital Guardian;
• Intel Security;
• Clearswift и т.д.
Ниже будут рассмотрены три DLP-системы отечественного производителя.
Zecurion Data Loss Prevention. Отечественная компания, занимающаяся разработкой DLP систем. Компания создана в 2001 году и имела название SecureIT. В 2012 году была переименована в Zecurion. Компания выпускает комплексную DLP систему, состоящую из трех частей Zgate, Zlock, Zdiscovery.
…

2.4.1 Режимы работы

Два основных режима работы систем DLP – активный и пассивный. Обычно активным является основной режим работы, в котором блокируются действия, нарушающие политики безопасности, такие как отправка конфиденциальной информации во внешний почтовый ящик. Пассивный режим чаще всего используется во время настройки системы для проверки и корректировки настроек, когда доля ложных срабатываний высока. В этом случае нарушения правил фиксируются, но ограничения на перемещение информации не накладываются (Таблица 1).

Таблица 1− Режимы работы
DLP-системы

Режим работы
Активный / Пассивный
Активный / Пассивный
Активный / Пассивный
Работа в режиме мониторинга
+
+
+
Работа в режиме блокировки
+
+
+
Возможность контроля пользователей вне сети компании
+
+
+

Глядя на таблицу, можно увидеть, что каждая из анализируемых DLP-решений, работает как в активном режиме, так и в пассивном.

2.4.
…

2.4.2 Технологии распознавания информации

Технологии распознавания позволяют классифицировать информацию, передаваемую по электронным каналам, и выявлять конфиденциальную информацию. Сегодня существует несколько базовых технологий и их разновидностей, похожих по сути, но разных по реализации. Каждая технология имеет свои преимущества и недостатки. Кроме того, различные типы технологий подходят для анализа информации разных классов. Поэтому производители решений DLP пытаются интегрировать максимальное количество технологий в свои продукты (см. Таблицу 2).
…

2.4.3 Контролируемые каналы

Каждый канал данных является потенциальным каналом утечки. Даже один открытый канал может свести на нет все усилия службы информационной безопасности, управляющей потоками информации. Вот почему так важно блокировать каналы, которые не используются сотрудниками для работы, и контролировать оставшиеся каналы с помощью систем предотвращения утечек.
Несмотря на то, что лучшие современные системы DLP способны управлять большим количеством сетевых каналов (см. Таблицу 3), рекомендуется блокировать ненужные каналы. Например, если сотрудник работает на компьютере только с внутренней базой данных, имеет смысл вообще отключить его доступ в Интернет.

Таблица 3− Контролируемые каналы
DLP-системы

Каналы
SMTP
POP3
IMAP
MAPI
Контроль веб-почты
SMTP
POP3
IMAP
MAPI
S/MIME
Контроль веб почты
SMTP
POP3
IMAP
Контроль веб-почты
Контроль мобильных устройств
–
Android устройства (до версии ОС Android 6.
…

2.4.4 Возможности DLP-систем для проактивного предотвращения утечек

Чтобы избежать утечки, важно не только идентифицировать конфиденциальные данные в процессе передачи, но также ограничить распространение информации в корпоративной среде. Для этого производители используют системные инструменты DLP, которые можно использовать для идентификации и классификации информации, хранящейся на серверах и рабочих станциях в сети (см. таблицу 5). Данные, нарушающие политики информационной безопасности, должны быть удалены или перемещены в безопасное хранилище.

Таблица 5− Возможности DLP- систем
DLP-системы

Сканирование хранилищ данных в режиме реального времени
+
–
–
Сканирование по расписанию
+
–
–
Перемещение / удаление файлов нарушающих Политику ИБ
+
–
–

Для обнаружения конфиденциальной информации на узлах корпоративной сети используются те же технологии, что и для контроля утечек по сетевым каналам. Основное отличие – архитектурное.
…

2.4.6 Журналирование и отчеты

Архив DLP – это база данных, в которой аккумулируются и хранятся события и объекты (файлы, письма, http-запросы и т. д.), фиксируемые датчиками системы в процессе ее работы. Собранная в базе информация может применяться для различных целей, в том числе для анализа действий пользователей, для сохранения копий критически важных документов, в качестве основы для расследования инцидентов ИБ. Кроме того, база всех событий чрезвычайно полезна на этапе внедрения DLP-системы, поскольку помогает проанализировать поведение компонентов DLP-системы.
Отчетность – немаловажная часть любой деятельности. Информационная безопасность – не исключение. Отчеты в DLP-системах выполняют сразу несколько функций. Во-первых, краткие и понятные отчеты позволяют руководителям служб ИБ оперативно контролировать состояние защищенности информации, не вдаваясь в детали. Во-вторых, подробные отчеты помогают офицерам безопасности корректировать политики безопасности и настройки систем.
…

2.4.7 Сертификация

Вопрос о необходимости сертификации для средств обеспечения информационной безопасности и DLP в частности является открытым, и в рамках профессиональных сообществ эксперты часто спорят на эту тему. Обобщая мнения сторон, следует признать, что сама по себе сертификация не дает серьезных конкурентных преимуществ. В то же время, существует некоторое количество заказчиков, прежде всего, государственные организации, для которых наличие того или иного сертификата является обязательным.
Кроме того, существующий порядок сертификации плохо соотносится с циклом разработки программных продуктов. В результате потребители оказываются перед выбором: купить уже устаревшую, но сертифицированную версию продукта или актуальную, но не прошедшую сертификацию. Стандартный выход в этой ситуации – приобретение сертифицированного продукта и использование нового продукта в реальной среде (см. таблицу 7).
…

2.4.8 Результаты сравнения

Проведенный сравнительный анализ позволяет сделать вывод, что в процессе развития своих продуктов производители стараются перенимать лучшие практики друг у друга, обогащая функционал как на основании общих тенденций рынка, так и с учетом пожеланий своих заказчиков. Однако есть и интересные моменты, связанные с собственной уникальной технологической стратегией и особенностями позиционирования, характерные для каждого решения. Остановимся на некоторых из них.
В качестве плюсов DLP-системы InfoWatch можно выделить следующие:
• предотвращение большинства угроз информационной системы предприятия;
• гибкая система лицензирования продукта — позволяет приобрести только необходимые модули, что в итоге снижает общую стоимость решения;
• высокая скорость анализа данных;
• поддержка большого числа протоколов для перехвата и анализа данных;
• контроль мобильных устройств и удаленных пользователей.
…

2.5 Выбор DLP-системы для внедрения в ПАО «МАЗ»

Сегодня все большее число предприятий начинают осознавать преимущества и необходимость использования систем DLP в общих чертах внутреннего рынка DLP. В настоящее время лидирующую позицию на российском рынке сохраняет продукт компании InfoWatch, которая приложила значительные усилия для популяризации идей по работе с инсайдерами. Продукт представляет собой мощный набор инструментов для мониторинга каналов передачи данных и предотвращения утечки конфиденциальной информации. Использование системы позволяет значительно снизить риски утечки информации и инцидентов, связанных с незаконными действиями сотрудников организации, в том числе при использовании мобильных устройств в корпоративной среде. Кроме того, решение DLP InfoWatch предоставляет компаниям необходимый набор инструментов как для внутренних расследований, так и для дальнейшей правовой защиты их собственных интересов.
…

2.5.1 Принципиальная схема работы

InfoWatch Traffic Monitor Enterprise Edition 6.5, предназначена для предотвращения утечек конфиденциальной информации через электронную почту, социальные сети, интернет-пейджеры и любые другие сетевые каналы передачи данных. А также решает следующие задачи23:
◦ анализ содержимого пересылаемых сообщений и файлов на предмет наличия в них конфиденциальных данных;
◦ категоризация всей перехваченной информации;
◦ блокирование утечек конфиденциальных данных в режиме подозрительного поведения сотрудников еще на ранней стадии;
◦ создание архива всех сообщений и файлов, пересылаемых законодательством и отраслевыми стандартами.
Продукт InfoWatch Traffic Monitor Enterprise Edition 6.5 состоит из нескольких модулей:
InfoWatch Traffic Monitor — модуль для контроля сетевых каналов передачи данных (web-сервисы, почтовые и файловые сервера, сервисы мгновенных сообщений).
…

2.5.2 Возможности выбранной DLP-системы

InfoWatch Traffic Monitor Enterprise — единственное решение, которое рассчитано на крупные организации с большим объемом анализируемого трафика и территориально распределенной структурой24:
• предотвращение всех внутренних угроз организации;
• мощное высокопроизводительное решение класса данного;
• точное детектирование конфиденциальных данных, автоматическая классификация информации;
• идентификация сотрудников-нарушителей: карточки сотрудников и связей;
• сбор юридически значимой доказательной базы для расследования инцидентов;
• максимальная гибкость и управляемость: задачи бизнеса меняются, поэтому службе ИБ необходимы надежные инструменты для адаптации политик информационной безопасности, отражающих весь спектр рисков и угроз потерь информации, защиты предприятия от внутренних угроз;
• высокая надежность и отказоустойчивость решения;
• сертификация: НДВ 4, ИСПДн до 1 класса включительно, ФСТЭК.
…

Узнайте сколько будет стоить выполнение вашей работы

Источник

Рис. 1. Схема внедрения SecureTower

Для предотвращения утечек SecureTower интегрируется в корпоративную сеть организации и контролирует весь внутренний и внешний трафик, такой как электронная почта, веб-активность, мессенджеры, USB-подключения и т. д. Для мониторинга применяются две схемы перехвата (рис. 1) — серверный и агентский. В первом случае решение анализирует трафик на сервере, во втором перехват происходит непосредственно на рабочих станциях. Второй способ перехвата позволяет значительно расширить перехватываемые каналы, охватив в том числе большинство мессенджеров и веб-трафик по протоколу HTTPS. В зависимости от нужд заказчика способы перехвата могут комбинироваться или использовать только определенные модули системы. Также существуют методы перехвата без установки агентов, такие как совместная работа SecureTower с proxy-устройствами при помощи ICAP-интеграции (контроль веб-трафика) и интеграция с почтовым сервером (контроль корпоративной почты).

Все перехваченные данные анализируются системой для выявления инцидентов, представляющих интерес для соответствующей службы. Их анализ происходит на основе заранее заданных правил безопасности, которые могут быть самыми разными и сколь угодно сложными: система способна, например, уведомлять о передаче большого числа файлов на печать сотрудниками определенного отдела или блокировать передачу по электронной почте документа, содержащего данные из базы конфиденциальных документов. Все уведомления о событиях отправляются ответственному лицу, которое уже принимает решение, был ли инцидент правомерным или необходимо начать расследование.

Для чего нужна DLP

Первоочередная задача, решаемая с помощью внедрения DLP-системы, — защита корпоративных данных от утечки. Использование системы — один из ключевых элементов в процессе построения эффективной системы управления информационной безопасностью. Без нее говорить о какой-либо защищенности от инсайдеров в компании бессмысленно.

Эффективность DLP проявляется не только в упреждении угроз информационной безопасности, но и в работе с бизнес-процессами. Благодаря тому что весь информационный трафик становится доступен для просмотра и оценки, появляется возможность для существенной оптимизации процессов — в том числе с точки зрения бизнес-составляющей. Задачи, на которые без DLP уходили бы значительные временные и человеческие ресурсы (например, классификация информационных активов), решаются значительно быстрее и качественнее.

DLP-система является эффективным инструментом для руководителей и HR-менеджеров. С помощью нее можно получать полную картину рабочего дня сотрудников, корректировать сроки и распределение задач, выявлять слабые места во взаимодействии персонала. В системе также возможен учет рабочего времени и активности сотрудников в рабочих программах.

Для создания полной картины информационных потоков DLP сохраняет все переданные и полученные данные. Это позволяет использовать SecureTower как инструмент ведения архивов бизнес-коммуникации. Любой диалог, а также переданный или полученный документ, можно восстановить из архива.

Как работать с DLP

Для работы с системой предусмотрены две консоли — для администратора и для клиента. Первая позволяет взаимодействовать с серверными компонентами, а вторая предназначена для непосредственной работы с продуктом.

В клиентской консоли для работы с системой доступны семь модулей: модуль активности пользователей, модуль поиска информации, мониторинг файловых систем, модуль комбинированного поиска, центр обеспечения безопасности, центр отчетности и мониторинг в режиме реального времени.

Активность пользователей

Система в автоматическом режиме сохраняет всю перехваченную пользовательскую информацию. Данный модуль обеспечивает возможность ее просмотра и ретроспективного анализа. Здесь можно увидеть всю активность работника за любой период времени. Для каждого сотрудника в системе заводится профайл, в который можно экспортировать данные из Active Directory, а также дополнить его почтовыми адресами, аккаунтами в мессенджерах и т. д. В ходе работы системы профайлы могут заводиться и на всех внешних абонентов, с которыми сотрудник ведет общение, т. е. если сотрудник общается с каким-то внешним контактом, есть возможность посмотреть, с кем еще из работников организации ведет переписку этот контакт. Для удобства все эти данные визуализированы в граф-анализаторе (рис. 2).

Рис. 2. Граф-анализатор

Пользователей можно структурировать по группам, в зависимости, например, от отдела. Доступна статистика по активности каждого сотрудника в течение рабочего дня: количество полученных и отправленных писем, пересылаемых документов, использование принтера и т. д. Все документы можно просмотреть непосредственно в системе или сохранить их на локальный компьютер. В этом же модуле можно увидеть скриншоты рабочего стола пользователя, автоматически создаваемые через заданные промежутки времени.

Поиск информации/ комбинированный поиск/ мониторинг файловых систем

Данные модули позволяют осуществлять поиск нужных документов в перехваченной информации и на компьютерах пользователей. С помощью простого поиска можно находить нужные файлы среди перехваченных документов. Параметры запроса можно конфигурировать, а в результатах поиска просмотреть, когда и какими сотрудниками был передан искомый документ.

Мониторинг файловых систем позволяет выявлять конфиденциальные корпоративные документы, которые по какой-то причине оказались на компьютерах сотрудников. Для контроля передвижения критически важных данных в системе можно создать банк эталонных документов, оборот которых необходимо контролировать. Мониторинг рабочих станций сотрудников осуществляется автоматически: настроенные в системе правила безопасности срабатывают при появлении на компьютере того или иного работника документа, совпадающего с образцом, хранящимся в банке данных.

При комбинированном поиске можно использовать сложные правила и задавать несколько условий: например, вести поиск среди перехваченной информации определенного отдела документа определенного формата, более чем на 70% совпадающего с конфиденциальным.

Центр обеспечения безопасности

В этом разделе можно задать правила безопасности и просматривать архив уведомлений об их нарушениях. Правила устанавливаются как обычные, так и статистические. Также существует возможность задания правил безопасности с контролем по словарю (словари создаются предварительно в системе) или цифровым отпечаткам (базы данных цифровых отпечатков основаны на конфиденциальных документах). Для каждого установленного правила можно назначать подписчиков на уведомления — как сотрудников службы безопасности, так и, например, руководителей отделов.

Центр отчетности

В этом модуле можно просмотреть отчеты за произвольный промежуток времени по всем пользователям (или группам пользователей) и перехватываемым каналам. Отчеты полностью настраиваемые и дают возможность как оценить ежедневную работу сотрудников, так и получить актуальную информацию по инцидентам безопасности. Здесь же можно настроить автоматическое создание отчетов по расписанию и отправку их на электронную почту.

Мониторинг в режиме реального времени

В данном модуле можно в режиме реального времени подключиться к компьютеру работника. Доступен как аудиомониторинг (через подключенную к компьютеру гарнитуру), так и режим просмотра рабочего стола сотрудника.

Внедрение DLP

На первом этапе компании, решившей внедрить у себя DLP-систему, следует провести пилотное тестирование выбранного продукта. Для его проведения предоставляется бесплатная триальная версия на ограниченное количество рабочих мест. Уже во время тестирования становятся видны первые результаты работы системы — выявляются остававшиеся до этого незаметными нарушители. Полученные результаты чаще всего обеспечивают окупаемость системы уже на стадии пилота.

Отличительной чертой внедрения SecureTower является простота этого процесса. Для установки этой системы не требуется привлечение консалтинга или наличие специального оборудования, настройка производится из одной консоли, а развертывание и запуск системы занимает считанные часы.

После внедрения работа с DLP становится частью ежедневных процессов службы безопасности. Постоянное улучшение правил безопасности и выявление критических мест позволяет обеспечить должный уровень защищенности организации.

Источник

Библиографическое описание:

Баранов, А. С. Использование систем предотвращения утечек данных в организациях / А. С. Баранов. — Текст : непосредственный // Молодой ученый. — 2020. — № 48 (338). — С. 15-16. — URL: https://moluch.ru/archive/338/75562/ (дата обращения: 22.03.2023).

Data loss prevention (DLP) — предотвращение утечек данных. DLP-системы — программные и программно-аппаратные средства, которые защищают конфиденциальные данные от утечки за пределы информационной системы организации. В данной статье рассматриваются вопросы, связанные с основными функциями DLP-систем и угрозами, которые способны обнаружить данные системы.

Ключевые слова:

DLP-системы, информационная безопасность, утечка конфиденциальной информации.

Информация в большинстве компаний является одним из самых важных активов, поэтому утечка конфиденциальных данных от несанкционированных действий является актуальной угрозой. Большинство потерь ценной информации связано с внутренними угрозами. Нарушение конфиденциальности информации может серьезно повлиять на репутацию компании, вплоть до ее закрытия.

Рассмотрим три распространенные причины утечки данных:

– Инсайдерские угрозы, при которых злоумышленник, скомпрометировавший привилегированную учетную запись пользователя, злоупотребляет своими правами доступа и пытается переместить данные за пределы организации.

– Угрозы злоумышленника, целью кибератак которого являются конфиденциальные данные. Злоумышленники проникают через периметр безопасности, используя такие методы, как фишинг, вредоносное ПО или внедрение кода, и получают доступ к конфиденциальным данным.

– Непреднамеренное или небрежное раскрытие данных, происходящее в результате того, что сотрудники теряют конфиденциальные данные публично, предоставляют открытый доступ к данным в Интернете или не ограничивают доступ в соответствии с политикой организации.

Традиционные средства защиты информации, такие как антивирусы, межсетевые экраны и др. неспособны противостоять внутренним нарушителям.

Проблема потери конфиденциальных данных может быть решена с помощью систем предотвращения утечек/потерь (DLP). DLP-решения помогают выявлять, контролировать, защищать и снижать риски утечки конфиденциальных данных. Их используют для обнаружения и предотвращения несанкционированного доступа пользователей к конфиденциальным данным, а также для защиты тех данных, которые могут быть случайно или преднамеренно переданы третьим лицам.

Функции, распространенные в DLP-решениях, включают в себя:

– Мониторинг — обеспечивает видимость данных и доступ к системе.

– Фильтрация— фильтруются потоки данных, чтобы ограничить подозрительную или неизвестную активность.

– Отчеты — обеспечивают ведение журнала, полезные для реагирования на инциденты и аудита.

– Анализ — может выявлять уязвимости и подозрительное поведение и предоставлять данные операторам системы.

При внедрении DLP-системы в информационную систему организации необходимо произвести правильную настройку политики безопасности DLP-системы, чтобы проводимые меры, направленные на избежание утечки конфиденциальной информации, не противоречили требованиям законодательства в сфере защиты личной и семейной тайны, а также праву граждан на тайну переписки

Необходимо, чтобы DLP-система самостоятельно сканировала почтовый трафик и выявляла письма, связанные с возможной утечкой конфиденциальной информации. В таком случае оператор DLP-системы видит только оповещение о возможном наличии конфиденциальных данных в отправленном письме, а не его содержание, и поскольку анализ письма производит программа, которая не является субъектом права, не нарушается ни право работников на тайну переписки, ни положения законодательства. Дальнейшие действия оператора DLP-систем в случае появления подобного оповещения зависят от принятых в организации регламентирующих документов.

Также требуется внести информацию в политику безопасности организации о недопустимости использования корпоративной почтовой системы в личных целях, что позволит переложить на работников ответственность за использование корпоративной почты для нерабочих целей, поскольку почтовые ресурсы и их содержимое принадлежат организации. Однако в данном пункте необходимо уточнить, что организация не имеет умысла читать переписку и не будет ей пользоваться при обнаружении.

Внедряя DLP-систему в информационную систему организации, важно проинформировать работников, что позволяет предотвратить утечки конфиденциальной информации и носит профилактический характер [1].

Королев В. В. рассмотрел основные методы контекстного контроля в DLC-системах: сигнатуры, регулярные выражения, Database Fingerprinting, Partial Document Matching, статический анализ, концептуальный анализ, категоризации. Автор выделил две серьезные проблемы DLP-решений, построенных на технологиях контентной фильтрации. Первая — невысокая точность фильтрации, которая не позволяет обнаружить все конфиденциальные документы, покидающие корпоративную сеть, вторая — подавляющее большинство механизмов фильтрации является ресурсоемким и потому, как правило, реализуется на специальном сервере. Такой подход автоматически сопровождается проблемами, связанными с копированием информации на различные мобильные носители информации (прежде всего флэш-карты) [2].

В. С. Чуб и Галушка В. В. рассмотрели методы использования стенографии в DLP-системах, использование которых позволяет находить зашифрованную информацию [4].

DLP-системы возможно использовать во многих сферах.

А. А. Киздермишов и С. Х. Киздермишова рассмотрели вопросы, связанные с функциональными возможностями современных отечественных DLP-систем (InfoWatch и Zecurion DLP), обратили внимание на связь ввода в эксплуатацию DLP-системы с решением организационно-правовых вопросов, привели рекомендации по внесению изменений в локальные нормативные акты, предложили алгоритм внедрения DLP-системы в организации [5].

Т. А. Андриянова и С. Б. Саломатин рассмотрели применение DLP-системы для уменьшения уровня утечки конфиденциальной информации финансовой организации и предложили методику адаптации DLP-системы к специфике деятельности банка, представили сравнительный анализ результатов работы стандартной и адаптированной DLP-систем в финансовой организации. [5]

В настоящее время существует несколько крупных производителей DLP-продуктов: Websense, McAfee, RSA (EMC), Symantec, Raytheon, Trend Micro, IBM, Cisco. В странах СНГ представлены такие вендоры, как InfoWatch, McAfee, Websense, Symantec [6].

Вывод

(DLP)-системы — это набор инструментов и процессов, используемых для защиты конфиденциальной информации от потери и доступа неавторизованным пользователям. Программное обеспечение DLP позволяет классифицировать конфиденциальную информацию и выявлять нарушения политик, определенных организациями. Как только эти нарушения обнаружены, DLP совершает необходимые защитные действия, чтобы предотвратить случайное или злонамеренное совместное использование данных, которые могут подвергнуть организацию риску.

Литература:

Мавринская Т. В. DLP-системы и тайна личных переписок / Т. В. Мавринская, А. В. Лошкарёв, Е. Н. Чуракова. — Текст: непосредственный // Интерактивная наука. — 2017. — № 4(14). — С. 181–183.
Королев В. В. Использование методов анализа контента в DLP системах / В. В. Королев. — Текст: непосредственный // Проблемы науки. — 2016. — № 10(11). — С. 16–20.
Чуб В. С. Исследование реализации применения стенографических методов в DLP системе / В. С. Чуб, В. В. Галушка. — Текст: непосредственный // Молодой исследователь Дона. — 2019. — № 3(18). — С. 101–102.
Киздермишов, А. А. К вопросу о вводе в эксплуатацию DLP-систем / А. А. Киздермишов, С. Х. Киздермишова. — Текст: непосредственный // Вестник АГУ. — 2017. — № 3(206). — С. 128–133.
Андриянова Т. А. DLP: снижение риска утечки конфиденциальной информации банка / Т. А. Андриянова, С. Б. Саломатин. — Текст: непосредственный // Системный анализ и прикладная информатика. — 2017. — № 3. — С. 76–81.
Гречанная А. Ю. DLP-системы и их роль в защите от утечек конфиденциальной информации / А. Ю. Гречанная, А. Д. Тастенов. — Текст: непосредственный // Наука и техника Казахстана. — 2015. — № 3–4. — С. 23–27.

Основные термины (генерируются автоматически): DLP, конфиденциальная информация, данные, информационная система организации, EMC, IBM, RSA, тайна переписки, финансовая организация.

Источник