Wyzwania stojące przed DLP

DLP to stosowanie środków bezpieczeństwa, w celu wykrycia i zapobiegania wyciekom poufnych danych poza fizyczne i logiczne granice przedsiębiorstwa lub poza obszary stanowiące granicę dla tych danych. Dane mogą opuścić firmę lub jej krytyczne systemy zarówno w wyniku ataku, jak i z powodu nieświadomości lub niedbalstwa użytkowników. Drogi wycieku danych to najczęściej kanały normalnej aktywności firmy: poczta elektroniczna, komunikatory internetowe i nośniki pamięci wymiennej.

Stosowanie technologii DLP powinno wynikać z potrzeb firmy, w której ma być wdrożona. W tym celu konieczne jest dokonanie oceny zasobów informacyjnych firmy, zarówno pod względem ich wartości, jak i ryzyka, na jakie są one narażone. Wyniki analiz powinny być odzwierciedlone w regułach polityki bezpieczeństwa firmy.

Dostawcy narzędzi DLP przeznaczonych dla przedsiębiorstw projektują rozwiązania zapobiegające wyciekom wrażliwych danych firmowych, skupiające się na identyfikowaniu i kategoryzowaniu wszystkich danych w organizacji, a następnie na wdrażaniu korporacyjnych zasad polityki DLP, w celu śledzenia wrażliwej informacji w ramach całego przedsiębiorstwa, stosując (tam gdzie to niezbędne) odpowiednią kontrolę.

Rozwiązania te - koncepcyjnie dopracowane - w praktyce jednak napotykają wdrożeniowe problemy, związane z następującymi kwestiami:

Ogrom danych. W wielu organizacjach dane są rozproszone, nieuporządkowane, a wolumen danych, które trzeba dokładnie sklasyfikować, jest olbrzymi i wymaga zaangażowania do tego wielu pracowników IT.

Opór środowisk IT. Wiele dostępnych produktów DLP jest stosunkowo nowych i ciągle boryka się z problemem fałszywych rozpoznań. Działy IT są niechętne inwestowaniu swoich coraz bardziej kurczących się środków - w kolejne złożone infrastruktury.

Opór użytkowników. Wdrażanie jeszcze jednego agenta na każdym desktopie, który może nakładać się na aplikacje biznesowe i obniżać ich wydajność, wykorzystując cykle procesora oraz wymóg częstych uaktualnień, nie jest mile widziane przez użytkowników.

Kłopoty z otoczeniem. Wdrożenie precyzyjnej, realnej polityki bezpieczeństwa obsługiwanej przez rozwiązania DLP może wymagać ingerencji w regularne praktyki biznesowe, co wymaga włączenia w ten proces nie tylko zespołu IT, lecz także działów kadrowych, finansowych, prawnych oraz zarządu.

Chybiony cel. Wiele z takich przedsięwzięć skupia się zbytnio na zamierzonych (celowych) wyciekach danych, podczas gdy w praktyce taki wyciek danych jest trudny do zatrzymania. Osoba działająca z premedytacją może umyślnie zmienić np. zawartość plików, aby uniknąć wykrycia lub wykorzystać bardziej przyziemny sposób: po prostu podzielić się niewłaściwą informacją w czasie konwersacji.

Jak groźny jest wyciek?

W lipcu tego roku bank HSBC został ukarany grzywną 3 mln funtów za brak odpowiednich systemów i procedur chroniących informacje o klientach. Stało się tak m.in. dlatego, że ktoś w swej niefrasobliwości przesłał pocztą płytę CD zawierającą dane ponad 180 tys. klientów. Podobne zdarzenie w grupie HSBC miało miejsce rok wcześniej. Organizacji Highland Council w Wielkiej Brytanii skradziono również w tym roku dwa laptopy z danymi medycznymi ponad 1400 pacjentów, a w USA w jednym z okręgów szkolnych w stanie Utah zaginął pendrive z informacjami osobowymi ok. 6 tys. aktualnych i byłych pracowników. Tego typu przykłady są ujawniane przynajmniej kilka razy w miesiącu. Stąd rosnąca popularność rozwiązań do ochrony danych przed wszelkiego rodzaju wyciekami.