Są jednak sytuacje, w których dostęp zdalny nie wystarcza. Jeśli chcemy chronić dane znajdujące się np. na serwerach niewystawiających niczego sieciowo, konieczny będzie dedykowany agent.

Podobnie wygląda sytuacja z monitorowaniem stacji roboczych. Tutaj w zasadzie nie ma innego wyjścia, jak tylko dorzucenie kolejnego oprogramowania. Podobnie jak w przypadku ruchu sieciowego, również na stacjach roboczych pojawia się problem związany z szyfrowaniem. Nie będziemy mogli przecież zajrzeć w zaszyfrowany przez użytkownika plik. Aby uniknąć takich sytuacji, z reguły wprowadza się zmiany w polityce bezpieczeństwa, które nie zezwalają na samodzielne (tj. z pominięciem mechanizmów znajdujących się pod kontrolą organizacji) szyfrowanie przesyłanych dokumentów. Jeżeli jednak użytkownik spróbuje przesłać taki plik, możliwe jest stworzenie reguły, która spowoduje zatrzymanie załącznika i powiadomi osobę odpowiedzialną za obsługę incydentów. Wówczas będzie ona mogła zezwolić na komunikację lub całkowicie ją zablokować.

Ciągle to szyfrowanie

Czasami jednak przesłanie zaszyfrowanych danych jest koniecznością, a w pewnych okolicznościach nie możemy czekać na akceptację. Wyobraźmy sobie np. sytuację, w której księgowy musi przesłać dokumenty finansowe do współpracującej z nim firmy doradztwa podatkowego. Zasadą jest, że przesłanie tych danych pocztą elektroniczną nie jest zgodne z polityką bezpieczeństwa, a jednak dokumenty muszą zostać wysłane. Taki problem zauważają również producenci DLP, dając możliwość integrowania swoich rozwiązań z korporacyjnymi systemami szyfrowania, np. PGP. W ten sposób możemy zabezpieczyć dokument i pozostać w zgodzie z ustanowioną polityką, a jednocześnie uniknąć sytuacji, w której tracimy kontrolę nad tym, co faktycznie jest szyfrowane.

Są też przypadki, kiedy system DLP okazuje się bezradny. Typowym przykładem jest kradzież komputera lub nośników danych. A tego typu zdarzenia niewątpliwie łączą się z wyciekiem danych. Tutaj znowu naturalną metodą zabezpieczenia danych jest zastosowanie rozwiązań szyfrujących szczególnie FDE (Full Disk Encryption) czy ME (Media Encryption). Ten problem znowu zostaje zauważony. Część producentów oferuje już rozwiązania DLP zarządzane wspólnie z rozwiązaniami FDE, np. McAfee (DLP i FDE zarządzanie z poziomu ePO), inni co prawda mają w portfolio odpowiednie narzędzia, ale nie są one kompatybilne, np. Symantec (chociaż w ramach platformy Altiris wkrótce należy spodziewać się takiej właśnie integracji). Dlatego też na razie w większości przypadków jesteśmy skazani na utrzymywanie dodatkowych systemów chroniących przed fizyczną kradzieżą nośników lub komputerów.

Czy potrzebujemy DLP?

Odpowiedź na to pytanie nie jest zaskakująca i brzmi: "To zależy". Podjęcie decyzji o wdrożeniu lub zrezygnowaniu z DLP powinno zostać poprzedzone dokładną analizą ryzyka, przeprowadzoną na podstawie wcześniej oszacowanych wartości informacji, które mogą być zagrożone. Analizy należy dokonać zarówno na podstawie kryteriów jakościowych (quantitative analysis), jak i ilościowych (qualitative analysis). Kolejny krok to wyliczenie poziomu ryzyka. Na koniec zostaje podliczenie kosztów wdrożenia i utrzymania systemu DLP oraz obliczenie, w jakim procencie jego wdrożenie wpłynie na obniżenie ryzyka. Należy się spodziewać, że trzeba będzie zatrudnić dodatkowych pracowników, którzy będą pilnowali, aby każdy nowy dokument został objęty przez system, tworzyli nowe reguły polityki, obsługiwali incydenty itp. Koszty mogą być zatem całkiem znaczne. Ale pieniądze to nie wszystko. Jak już mówiliśmy, system DLP jest kojarzony z głęboką inwigilacją pracowników. W niektórych organizacjach wzajemne zaufanie i komfort pracy są ważniejsze, niż wyśrubowane wymagania związane z bezpieczeństwem.

Z wyjątkiem bardzo dużych przedsiębiorstw, o najwyższych wymaganiach w zakresie bezpieczeństwa, większość organizacji nie dysponuje funduszami, zasobami ludzkimi, a często i potrzebą wdrażania DLP na dużą skalę.