Τα ευαίσθητα δεδομένα μιας επιχείρησης δεν κινδυνεύουν μόνο από μια εξωτερική κυβερνοεπίθεση. Μπορούν να εκτεθούν όταν ένας εργαζόμενος στείλει ένα αρχείο σε λάθος παραλήπτη, αντιγράψει πληροφορίες σε μη εγκεκριμένη υπηρεσία, χρησιμοποιήσει αφαιρούμενο μέσο ή μοιραστεί δεδομένα εκτός των επιτρεπόμενων εταιρικών διαδικασιών.
Το Data Loss Prevention (DLP) βοηθά τις επιχειρήσεις να εντοπίζουν ευαίσθητες πληροφορίες και να εφαρμόζουν κανόνες για τον τρόπο με τον οποίο αυτές χρησιμοποιούνται, αποθηκεύονται και μεταφέρονται.
Τι Είναι το Data Loss Prevention;
Το DLP είναι ένα σύνολο τεχνολογιών, πολιτικών και διαδικασιών που βοηθούν έναν οργανισμό να εντοπίζει και να προστατεύει ευαίσθητα δεδομένα.
Ανάλογα με την πλατφόρμα και τις δυνατότητες που έχουν υλοποιηθεί, μια πολιτική DLP μπορεί να παρακολουθεί συγκεκριμένες ενέργειες και να εφαρμόζει διαφορετική αντιμετώπιση όταν εντοπίζεται ευαίσθητο περιεχόμενο. Αυτό μπορεί να περιλαμβάνει καταγραφή ενός συμβάντος, ειδοποίηση του χρήστη ή του administrator και, όπου υποστηρίζεται και έχει επιλεγεί, περιορισμό μιας ενέργειας.
Στόχος δεν είναι απλώς να «μπλοκάρουμε αρχεία». Το DLP πρέπει να συνδέει την ευαισθησία των πληροφοριών με τους πραγματικούς επιχειρησιακούς κανόνες για τη χρήση τους.
Ποια Δεδομένα Μπορεί να Χρειάζονται Προστασία;
Οι ανάγκες διαφέρουν ανά επιχείρηση, αλλά συνηθισμένα παραδείγματα περιλαμβάνουν:
- προσωπικά δεδομένα πελατών και εργαζομένων,
- οικονομικά και λογιστικά στοιχεία,
- στοιχεία πληρωμών ή τραπεζικών λογαριασμών,
- συμβάσεις και εμπιστευτικά έγγραφα,
- εμπορικές πληροφορίες και τιμολογιακές πολιτικές,
- πηγαίο κώδικα και τεχνική τεκμηρίωση,
- εσωτερικές αναφορές και άλλα δεδομένα επιχειρηματικής αξίας.
Το πρώτο βήμα επομένως δεν είναι η αγορά ενός προϊόντος DLP. Είναι να γνωρίζει η επιχείρηση ποια δεδομένα διαθέτει, ποια θεωρεί ευαίσθητα και πού βρίσκονται.
Data at Rest, Data in Motion και Data in Use
Μια ολοκληρωμένη στρατηγική προστασίας εξετάζει τα δεδομένα σε διαφορετικές καταστάσεις.
Data at Rest
Είναι δεδομένα που βρίσκονται αποθηκευμένα, για παράδειγμα σε εταιρικά file repositories, cloud storage ή άλλες υποστηριζόμενες υπηρεσίες.
Data in Motion
Είναι δεδομένα που μεταφέρονται από ένα σημείο σε άλλο, όπως πληροφορίες που αποστέλλονται μέσω εταιρικού email ή άλλων ελεγχόμενων καναλιών.
Data in Use
Είναι δεδομένα με τα οποία ένας χρήστης ή μια εφαρμογή αλληλεπιδρά ενεργά. Σε ένα endpoint, για παράδειγμα, μια κατάλληλη DLP υλοποίηση μπορεί να εξετάζει συγκεκριμένες ενέργειες πάνω σε ευαίσθητα αρχεία.
Η πραγματική κάλυψη αυτών των καταστάσεων εξαρτάται από την DLP πλατφόρμα, το λειτουργικό περιβάλλον, τις ενεργές δυνατότητες και, σε εμπορικές λύσεις, το διαθέσιμο licensing.
Πώς Αναγνωρίζει το DLP τα Ευαίσθητα Δεδομένα;
Για να εφαρμοστεί ένας κανόνας, το σύστημα πρέπει πρώτα να μπορεί να αναγνωρίσει το περιεχόμενο που ενδιαφέρει την επιχείρηση.
Ανάλογα με τη λύση, η ανίχνευση μπορεί να βασίζεται σε μηχανισμούς όπως:
- μοτίβα και χαρακτηριστικά συγκεκριμένων τύπων ευαίσθητων πληροφοριών,
- λέξεις ή άλλα χαρακτηριστικά περιεχομένου,
- labels ταξινόμησης ή ευαισθησίας,
- ακριβή αντιστοίχιση με γνωστά εταιρικά δεδομένα,
- classifiers για συγκεκριμένες κατηγορίες περιεχομένου.
Δεν υποστηρίζουν όλες οι DLP πλατφόρμες τους ίδιους μηχανισμούς ούτε σε όλα τα κανάλια. Η επιλογή πρέπει να γίνεται με βάση τα πραγματικά δεδομένα και τις επιχειρησιακές ανάγκες.
Τι Μπορεί να Κάνει μια Πολιτική DLP;
Αφού αναγνωριστεί το ευαίσθητο περιεχόμενο, εφαρμόζονται κανόνες που συνδυάζουν το είδος των δεδομένων με το context της ενέργειας.
Για παράδειγμα, ανάλογα με την πλατφόρμα και την πολιτική, ένα DLP σύστημα μπορεί να:
- καταγράφει μια ενέργεια για μεταγενέστερο έλεγχο,
- δημιουργεί alert για την ομάδα IT ή ασφάλειας,
- εμφανίζει προειδοποίηση στον χρήστη,
- επιτρέπει μια ενέργεια μόνο υπό συγκεκριμένες προϋποθέσεις,
- περιορίζει μια μη επιτρεπόμενη ενέργεια.
Το DLP δεν χρειάζεται επομένως να λειτουργεί πάντα ως απόλυτο block. Σε αρκετά σενάρια, η παρακολούθηση και η ενημέρωση του χρήστη μπορούν να χρησιμοποιηθούν πριν εφαρμοστούν αυστηρότεροι περιορισμοί.
Email, Cloud, Endpoints και USB
Μια επιχείρηση πρέπει να εξετάζει τα κανάλια μέσω των οποίων μπορούν πραγματικά να διακινηθούν τα δεδομένα της.
Μια DLP πολιτική μπορεί, σε υποστηριζόμενα περιβάλλοντα, να εντοπίζει ευαίσθητο περιεχόμενο σε εταιρικά email και να εφαρμόζει διαφορετική αντιμετώπιση ανάλογα με τον παραλήπτη, το περιεχόμενο και τους κανόνες της επιχείρησης.
Cloud Services
Η προστασία πρέπει να εξετάζει τις υπηρεσίες στις οποίες αποθηκεύονται ή μοιράζονται εταιρικά αρχεία. Η πραγματική δυνατότητα ελέγχου εξαρτάται από το αν η συγκεκριμένη DLP λύση υποστηρίζει την υπηρεσία και το συγκεκριμένο σενάριο χρήσης.
Endpoints και Αφαιρούμενα Μέσα
Endpoint DLP δυνατότητες μπορούν, ανάλογα με την πλατφόρμα, να παρακολουθούν ή να περιορίζουν συγκεκριμένες ενέργειες με ευαίσθητα αρχεία σε εταιρικές συσκευές. Αυτό μπορεί να αφορά αφαιρούμενα μέσα, εφαρμογές, browsers, network shares ή άλλες υποστηριζόμενες δραστηριότητες.
Δεν πρέπει όμως να θεωρείται ότι κάθε προϊόν DLP υποστηρίζει όλα αυτά τα σενάρια ή ότι οι δυνατότητες είναι διαθέσιμες σε κάθε συνδρομή.
DLP, Κρυπτογράφηση και MFA Δεν Είναι το Ίδιο
Το DLP αποτελεί ένα μέρος της συνολικής προστασίας των εταιρικών δεδομένων. Δεν αντικαθιστά άλλα security controls.
Η κρυπτογράφηση προστατεύει πληροφορίες από μη εξουσιοδοτημένη ανάγνωση υπό συγκεκριμένες συνθήκες. Το MFA ενισχύει την ταυτοποίηση και μειώνει τον κίνδυνο μη εξουσιοδοτημένης πρόσβασης σε λογαριασμούς. Το endpoint security και το EDR επικεντρώνονται σε διαφορετικές απειλές και δραστηριότητες στις συσκευές.
Αυτοί οι μηχανισμοί μπορούν να συνεργάζονται με το DLP, αλλά δεν είναι συνώνυμοι.
DLP και GDPR
Το DLP μπορεί να υποστηρίξει μια ευρύτερη στρατηγική προστασίας προσωπικών δεδομένων, βοηθώντας έναν οργανισμό να εντοπίζει ευαίσθητες πληροφορίες και να ελέγχει ορισμένους τρόπους χρήσης και διακίνησής τους.
Δεν πρέπει όμως να αντιμετωπίζεται ως «λύση συμμόρφωσης με τον GDPR». Η συμμόρφωση εξαρτάται από το σύνολο των σχετικών νομικών, οργανωτικών και τεχνικών υποχρεώσεων και από τον τρόπο με τον οποίο πραγματοποιείται η συγκεκριμένη επεξεργασία δεδομένων.
DLP και ISO/IEC 27001
Αντίστοιχα, ένα DLP σύστημα δεν κάνει από μόνο του έναν οργανισμό συμβατό με το ISO/IEC 27001. Το πρότυπο αφορά ένα συνολικό Information Security Management System και μια προσέγγιση διαχείρισης κινδύνων για την προστασία της εμπιστευτικότητας, ακεραιότητας και διαθεσιμότητας των πληροφοριών.
Οι δυνατότητες DLP μπορούν να αποτελέσουν μέρος των τεχνικών και οργανωτικών controls που επιλέγει ένας οργανισμός με βάση τους κινδύνους και τις απαιτήσεις του.
Γιατί το DLP Δεν Πρέπει να Ξεκινά με «Block Everything»
Μια υπερβολικά αυστηρή πολιτική μπορεί να εμποδίσει νόμιμες επιχειρησιακές διαδικασίες και να δημιουργήσει μεγάλο αριθμό alerts ή false positives.
Για αυτό μια σωστή υλοποίηση πρέπει να ξεκινά από πραγματικά use cases. Η επιχείρηση χρειάζεται να γνωρίζει ποια πληροφορία προστατεύει, ποια ενέργεια θεωρεί επικίνδυνη και ποια νόμιμη διαδικασία πρέπει να συνεχίσει να λειτουργεί.
Όπου το επιτρέπει η πλατφόρμα, είναι χρήσιμο οι νέες πολιτικές να δοκιμάζονται αρχικά με monitoring, audit ή περιορισμένο scope. Τα αποτελέσματα μπορούν στη συνέχεια να χρησιμοποιηθούν για tuning πριν εφαρμοστούν αυστηρότερες ενέργειες.
Πρακτικά Βήματα για μια ΜΜΕ
- Εντοπίστε τα κρίσιμα δεδομένα: προσωπικά στοιχεία, οικονομικά δεδομένα, συμβάσεις και άλλες εμπιστευτικές πληροφορίες.
- Καταγράψτε πού βρίσκονται: email, cloud repositories, endpoints και άλλες επιχειρησιακές εφαρμογές.
- Καθορίστε επιτρεπόμενες ενέργειες: ποιος μπορεί να χρησιμοποιεί, να μοιράζεται ή να μεταφέρει κάθε κατηγορία δεδομένων.
- Επιλέξτε κατάλληλους μηχανισμούς ανίχνευσης: με βάση το πραγματικό περιεχόμενο που χρειάζεται προστασία.
- Δοκιμάστε τις πολιτικές: αξιολογήστε alerts και false positives πριν εφαρμόσετε εκτεταμένο blocking.
- Παρακολουθήστε τα συμβάντα: τα DLP alerts χρειάζονται διαδικασία αξιολόγησης και αντιμετώπισης.
- Επανεξετάζετε τις πολιτικές: τα δεδομένα, οι εφαρμογές και οι επιχειρησιακές διαδικασίες αλλάζουν.
Πώς Μπορεί να Βοηθήσει η DataShield
Η DataShield μπορεί να βοηθήσει μια επιχείρηση να χαρτογραφήσει πού βρίσκονται τα ευαίσθητα δεδομένα της, να αξιολογήσει τα βασικά σενάρια διαρροής και να σχεδιάσει κατάλληλους ελέγχους προστασίας.
Η αξιολόγηση μπορεί να περιλαμβάνει data classification, email και endpoint controls, cloud data protection, δικαιώματα πρόσβασης και σχεδιασμό DLP policies με βάση τις πραγματικές επιχειρησιακές ανάγκες.
Όταν η υλοποίηση βασίζεται σε συγκεκριμένη εμπορική πλατφόρμα, πρέπει επίσης να ελέγχονται οι τεχνικές προϋποθέσεις και το licensing των απαιτούμενων δυνατοτήτων.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της προστασίας των εταιρικών δεδομένων και των DLP αναγκών της επιχείρησής σας.
