Ochrona wrażliwych danych w przedsiębiorstwie

Szkolenie użytkownika końcowego. Żaden produkt nie jest doskonały, dlatego edukacja użytkownika końcowego stanowi krytyczny element każdej polityki ochrony danych. Pracownicy powinni zostać przeszkoleni w zakresie klasyfikacji danych i tego, które środki ochrony winny być stosowane do poszczególnych typów danych. Polityka ochrony powinna takie szkolenia wymuszać. Należy też pamiętać, że kontrola polityki DLP może być czymś nowym dla wielu użytkowników. Trzeba być przygotowanym na nieświadome pomyłki, ale też każdy, kto notorycznie nie przestrzega reguł, winien być przykładnie karany. Strategia DLP może być efektywna tylko wtedy, gdy otrzymuje pełne wsparcie w ramach całej organizacji.

Włączenie do systemu partnerów biznesowych. Należy pamiętać, że dane często wyciekają "frontowymi drzwiami". Z wielu badań nad bezpieczeństwem danych wynika, że konsultanci, dostawcy, partnerzy i inne strony trzecie są odpowiedzialne za wiele incydentów związanych z wyciekiem danych. Warto upewnić się, czy osoby niebędące pracownikami firmy przestrzegają tych samych reguł ochrony danych co pracownicy. Należy z nimi (lub organizacjami, które reprezentują) podpisywać umowy zobowiązujące do przestrzegania określonych zasad polityki. Niektóre organizacje idą na tyle daleko, że wymagają, aby ich dane nie opuszczały nigdy zarządzanych przez nie zasobów.

Systematyczne usuwanie zbędnych danych. Nic nie jest bezpieczniejsze niż dane, których nie ma. Jeżeli dane nie są potrzebne, to należy je usuwać. W tym celu trzeba używać oprogramowania do deduplikacji, które kasuje niepotrzebne kopie danych. Ważne jest też opracowanie polityki zachowywania danych, która jasno definiuje, gdzie dane mają być przechowywane i jak długo. W ramach polityki proaktywnego usuwania danych należy stosować automatyczne narzędzia do jej wspomagania. Usuwane dane powinno się tymczasowo składować, aby mieć możliwość odzyskania danych skasowanych w wyniku fałszywej oceny przydatności. Wraz ze spadającymi kosztami pamięci masowych, pojawia się pokusa zachowywania tak wielu informacji, jak jest to możliwe, niezależnie od rzeczywistych potrzeb. Redukując wolumen niezbędnych danych, ułatwia się tym samym ich ochronę.

Kryteria doboru rozwiązania DLP

(w zależności od specyfiki potrzeb w zakresie ochrony danych)

• Problemy wydajności. Niezależnie od tego, czy jest to rozwiązanie sieciowe czy hostowe, ma ono wpływ na wydajność systemu, w którym działa. Każdy dodatkowy proces uruchomiony na hoście musi wpływać w jakimś stopniu na wydajność. To samo dotyczy dogłębnej inspekcji pakietów w sieci. Z tych samych powodów trzeba mieć na uwadze, że niektóre procesy DLP mogą konsumować więcej cykli CPU niż inne. Konieczne jest więc gruntowne przetestowanie produktu, aby nie narazić się na ryzyko znacznego spowolnienia wykonywania zadań po wprowadzeniu DLP do systemów produkcyjnych. Można spodziewać się pewnego spowolnienia, ale trzeba poszukiwać produktów, które godzą akceptowalny poziom skuteczności z wymaganą wydajnością.

• Jakie hosty mają być chronione? Jeżeli używa się hostowego DLP, to należy upewnić się, jakiego typu hosty obsługuje? Jeśli jest to Microsoft Windows, to która wersja (NT 4.0, Windows 98, Windows 2000)? Wiele rozwiązań zaczyna listę od Windows XP i późniejszych, ale w złożonych środowiskach Windows mogą jeszcze pracować systemy starsze. Ponadto, część rozwiązań nadal nie obsługuje Windows Server 2008. Środowiska heterogeniczne sprawiają jeszcze większe kłopoty. Trzeba się upewnić, czy narzędzie współpracuje z Mac OS X, Linuksem, BSD, Solaris itp. Nawet w jednorodnym środowisku Windows istnieje jeszcze problem pokrycia ochroną komputerów i urządzeń przenośnych - laptopów, tabletów, smartfonów.

Poza systemem operacyjnym, pod uwagę trzeba również wziąć inne czynniki techniczne. Czy narzędzie uwzględnia mechanizm ochronny UAC (User Account Control), czy też wymaga jego wyłączenia? Czy pracuje na systemach 64-bitowych? Czy współpracuje z różnymi serwerami webowymi, czy tylko z IIS lub Apache? Ile potrzebuje wolnej przestrzeni dyskowej? Jaka minimalna pamięć operacyjna jest potrzebna? Jak sprawnie współpracuje ze stosowanymi produktami szyfrowania dysków? Przy zakupie rozwiązania hostowego trzeba się też liczyć z wprowadzeniem specyficznych ustawień konfiguracyjnych w swoim środowisku.

• Jaki ruch sieciowy ma być kontrolowany? Samo stwierdzenie, że potrzebne jest sieciowe DLP, nie wystarczy. Żadne rozwiązanie sieciowe DLP nie zapewni inspekcji każdego pakietu w sieci. Kontrola sieciowa będzie też utrudniana przez ruch szyfrowany - HTTPS, IPSec, chronione hasłem pliki zip, szyfrowane pliki PDF itp. Oprócz tego, ważne jest pytanie: jaki rodzaj nieszyfrowanego ruchu może obsługiwać narzędzie? Większość sieciowych narzędzi DLP może prowadzić inspekcję ruchu HTTP, FTP i NetBIOS. Jeżeli jednak potrzebne jest narzędzie mogące prowadzić inspekcje ruchu pocztowego, który często jest ukryty lub zaszyfrowany, to możliwość wyboru znacznie się zawęża. Ważne jest również to, czy można skonfigurować narzędzie do inspekcji dowolnego portu w sieci, czy tylko do predefiniowanego protokołu sieciowego? Przed podjęciem decyzji o zakupie trzeba dokładnie zdefiniować, jaki obszar ma pokrywać DLP sieciowe.

• Jaki rodzaj danych ma być wykrywany? Jak wspomniano wcześniej, większość narzędzi DLP może pilnować danych mających wcześniej określoną charakterystykę, takich jak daty czy numery formatowane (np. PESEL), ale już możliwości przesiewania danych niestrukturalizowanych mogą być bardzo różne. Pojawia się tu także problem danych szyfrowanych. Czy narzędzie może zaglądać do szyfrowanych strumieni danych lub archiwów chronionych hasłem? Niektóre rozwiązania mogą to robić, ale jeżeli ten rodzaj inspekcji jest potrzebny, to trzeba się jeszcze upewnić, jak trudna jest jego implementacja oraz jaki to ma wpływ na wydajność hosta.

Opracowano na podstawie raportu: "InfoWorld Data Loss Prevention Deep Dive".


TOP 200