DLP-система: как предотвращать утечки и не мешать работе

Граница материала: Технический класс систем контроля каналов и политик передачи данных. U1016 описывает сам инцидент и общую профилактику. Сквозной пример — сотрудники отправляют клиентские выгрузки по почте, в облака и мессенджеры. Каждый раздел заканчивается решением или доказательством, которое можно проверить через показатель: покрытие каналов и данных, подтверждённые инциденты, ложные срабатывания, обходы, время разбора и влияние на процессы.

Определить защищаемые данные: DLP-система

Шаг «определить защищаемые данные» оценивают по снижению реального риска. В контуре «DLP-система» владелец актива сохраняет артефакт операции «определить защищаемые данные» для темы «DLP-система»: свидетельство защиты по шагу «определить защищаемые данные» с датой, источником и итогом теста, границу действия и известные исключения. Сопоставьте угрозу, стоимость меры и показатель «покрытие каналов и данных, подтверждённые инциденты, ложные срабатывания, обходы, время разбора и влияние на процессы». Если остаётся «при действии «определить защищаемые данные» в теме «DLP-система» возникает отклонение: для «определить защищаемые данные» нет проверки в контуре «DLP-система»», решение возвращают на уточнение.

• Угроза: «определить защищаемые данные» в системе «DLP-система».
• Кто решает: владелец актива.
• Оценка меры: артефакт операции «определить защищаемые данные» для темы «DLP-система»: свидетельство защиты по шагу «определить защищаемые данные» с датой, источником и итогом теста.
• Остаточный риск: при действии «определить защищаемые данные» в теме «DLP-система» возникает отклонение: для «определить защищаемые данные» нет проверки в контуре «DLP-система».

Инвентаризировать каналы передачи: DLP-система

Не доверяйте одному сигналу. Для действия «инвентаризировать каналы передачи» руководитель безопасности собирает артефакт операции «инвентаризировать каналы передачи» для темы «DLP-система»: свидетельство защиты по шагу «инвентаризировать каналы передачи» с датой, источником и итогом теста минимум из двух независимых источников. На примере «сотрудники отправляют клиентские выгрузки по почте, в облака и мессенджеры» проверьте ложноположительный и пропущенный случаи. При риске «при действии «инвентаризировать каналы передачи» в теме «DLP-система» возникает отклонение: для «инвентаризировать каналы передачи» нет проверки в контуре «DLP-система»» автоматическое решение ограничивают.

• Сигнал: «инвентаризировать каналы передачи» в системе «DLP-система».
• Кто проверяет: руководитель безопасности.
• Два источника: артефакт операции «инвентаризировать каналы передачи» для темы «DLP-система»: свидетельство защиты по шагу «инвентаризировать каналы передачи» с датой, источником и итогом теста.
• Ошибка детектора: при действии «инвентаризировать каналы передачи» в теме «DLP-система» возникает отклонение: для «инвентаризировать каналы передачи» нет проверки в контуре «DLP-система».

Выбрать методы обнаружения: DLP-система

Разделите предупреждение и блокировку. В системе «DLP-система» операция «выбрать методы обнаружения» получает владельца архитектор защиты, правило реакции и артефакт операции «выбрать методы обнаружения» для темы «DLP-система»: свидетельство защиты по шагу «выбрать методы обнаружения» с датой, источником и итогом теста. Сначала протестируйте наблюдение, затем влияние на работу. Признак остановки: при действии «выбрать методы обнаружения» в теме «DLP-система» возникает отклонение: для «выбрать методы обнаружения» нет проверки в контуре «DLP-система».

• Режим реакции: «выбрать методы обнаружения» в системе «DLP-система».
• Кто включает: архитектор защиты.
• Запись события: артефакт операции «выбрать методы обнаружения» для темы «DLP-система»: свидетельство защиты по шагу «выбрать методы обнаружения» с датой, источником и итогом теста.
• Влияние на работу: при действии «выбрать методы обнаружения» в теме «DLP-система» возникает отклонение: для «выбрать методы обнаружения» нет проверки в контуре «DLP-система».

Создать контекстные политики: DLP-система

Права на шаге «создать контекстные политики» выдаются под конкретную функцию и срок. Для «DLP-система» администратор системы подтверждает артефакт операции «создать контекстные политики» для темы «DLP-система»: свидетельство защиты по шагу «создать контекстные политики» с датой, источником и итогом теста. Проверьте отзыв после смены роли и аварийный доступ. Ситуация «при действии «создать контекстные политики» в теме «DLP-система» возникает отклонение: для «создать контекстные политики» нет проверки в контуре «DLP-система»» требует немедленного разбора.

• Минимальное право: «создать контекстные политики» в системе «DLP-система».
• Кто одобряет: администратор системы.
• Срок доступа: артефакт операции «создать контекстные политики» для темы «DLP-система»: свидетельство защиты по шагу «создать контекстные политики» с датой, источником и итогом теста.
• Лишняя привилегия: при действии «создать контекстные политики» в теме «DLP-система» возникает отклонение: для «создать контекстные политики» нет проверки в контуре «DLP-система».

Начать с режима наблюдения: DLP-система

Доказательство безопасности должно пережить смену исполнителя. На этапе «начать с режима наблюдения» владелец данных хранит артефакт операции «начать с режима наблюдения» для темы «DLP-система»: свидетельство защиты по шагу «начать с режима наблюдения» с датой, источником и итогом теста в общей системе. Для случая «сотрудники отправляют клиентские выгрузки по почте, в облака и мессенджеры» воспроизведите проверку по инструкции. Если возникает «при действии «начать с режима наблюдения» в теме «DLP-система» возникает отклонение: для «начать с режима наблюдения» нет проверки в контуре «DLP-система»», процедуру нельзя считать рабочей.

• Процедура: «начать с режима наблюдения» в системе «DLP-система».
• Кто выполняет: владелец данных.
• Повторяемый тест: артефакт операции «начать с режима наблюдения» для темы «DLP-система»: свидетельство защиты по шагу «начать с режима наблюдения» с датой, источником и итогом теста.
• Зависимость от человека: при действии «начать с режима наблюдения» в теме «DLP-система» возникает отклонение: для «начать с режима наблюдения» нет проверки в контуре «DLP-система».

Настроить предупреждение и блокировку: DLP-система

Изменение защиты проходит управляемый выпуск. Для «настроить предупреждение и блокировку» аналитик SOC прикладывает артефакт операции «настроить предупреждение и блокировку» для темы «DLP-система»: свидетельство защиты по шагу «настроить предупреждение и блокировку» с датой, источником и итогом теста, тест, план отката и окно наблюдения. В теме «DLP-система» сравните риск до и после. При условии «при действии «настроить предупреждение и блокировку» в теме «DLP-система» возникает отклонение: для «настроить предупреждение и блокировку» нет проверки в контуре «DLP-система»» выпуск останавливают.

• Изменение: «настроить предупреждение и блокировку» в системе «DLP-система».
• Кто выпускает: аналитик SOC.
• Тест и откат: артефакт операции «настроить предупреждение и блокировку» для темы «DLP-система»: свидетельство защиты по шагу «настроить предупреждение и блокировку» с датой, источником и итогом теста.
• Стоп выпуска: при действии «настроить предупреждение и блокировку» в теме «DLP-система» возникает отклонение: для «настроить предупреждение и блокировку» нет проверки в контуре «DLP-система».

Организовать разбор событий: DLP-система

Инцидентный сценарий проверяется заранее. Во время «организовать разбор событий» координатор изменений использует артефакт операции «организовать разбор событий» для темы «DLP-система»: свидетельство защиты по шагу «организовать разбор событий» с датой, источником и итогом теста и фиксирует время обнаружения, ограничения и восстановления. На примере «сотрудники отправляют клиентские выгрузки по почте, в облака и мессенджеры» проведите настольную тренировку. Риск «при действии «организовать разбор событий» в теме «DLP-система» возникает отклонение: для «организовать разбор событий» нет проверки в контуре «DLP-система»» становится задачей с датой.

• Сценарий: «организовать разбор событий» в системе «DLP-система».
• Кто реагирует: координатор изменений.
• Хронология: артефакт операции «организовать разбор событий» для темы «DLP-система»: свидетельство защиты по шагу «организовать разбор событий» с датой, источником и итогом теста.
• Неготовая роль: при действии «организовать разбор событий» в теме «DLP-система» возникает отклонение: для «организовать разбор событий» нет проверки в контуре «DLP-система».

Защитить приватность сотрудников: DLP-система

Исключение не должно становиться постоянным обходом. Для шага «защитить приватность сотрудников» группа реагирования записывает артефакт операции «защитить приватность сотрудников» для темы «DLP-система»: свидетельство защиты по шагу «защитить приватность сотрудников» с датой, источником и итогом теста, причину, компенсирующую меру и срок закрытия. В «DLP-система» регулярно ищите просроченные исключения. Ошибка: при действии «защитить приватность сотрудников» в теме «DLP-система» возникает отклонение: для «защитить приватность сотрудников» нет проверки в контуре «DLP-система».

• Исключение: «защитить приватность сотрудников» в системе «DLP-система».
• Кто принимает: группа реагирования.
• Компенсация: артефакт операции «защитить приватность сотрудников» для темы «DLP-система»: свидетельство защиты по шагу «защитить приватность сотрудников» с датой, источником и итогом теста.
• Просрочка: при действии «защитить приватность сотрудников» в теме «DLP-система» возникает отклонение: для «защитить приватность сотрудников» нет проверки в контуре «DLP-система».

Провести пилот на одном процессе: DLP-система

После «провести пилот на одном процессе» пересмотрите модель «DLP-система». владелец исключения сопоставляет артефакт операции «провести пилот на одном процессе» для темы «DLP-система»: свидетельство защиты по шагу «провести пилот на одном процессе» с датой, источником и итогом теста с показателем «покрытие каналов и данных, подтверждённые инциденты, ложные срабатывания, обходы, время разбора и влияние на процессы» и обновляет правила по факту. Отдельно сохраните удачные и неудачные решения. При риске «при действии «провести пилот на одном процессе» в теме «DLP-система» возникает отклонение: для «провести пилот на одном процессе» нет проверки в контуре «DLP-система»» назначьте повторную проверку.

• Урок: «провести пилот на одном процессе» в системе «DLP-система».
• Кто закрепляет: владелец исключения.
• Новое правило: артефакт операции «провести пилот на одном процессе» для темы «DLP-система»: свидетельство защиты по шагу «провести пилот на одном процессе» с датой, источником и итогом теста.
• Повторная проверка: при действии «провести пилот на одном процессе» в теме «DLP-система» возникает отклонение: для «провести пилот на одном процессе» нет проверки в контуре «DLP-система».

Улучшать правила по метрикам: DLP-система

Для контроля «DLP-система» сначала определите защищаемый объект. На операции «улучшать правила по метрикам» независимый аудитор оформляет артефакт операции «улучшать правила по метрикам» для темы «DLP-система»: свидетельство защиты по шагу «улучшать правила по метрикам» с датой, источником и итогом теста. Проверьте сценарий «сотрудники отправляют клиентские выгрузки по почте, в облака и мессенджеры» с обычным пользователем и нарушителем. Риск «при действии «улучшать правила по метрикам» в теме «DLP-система» возникает отклонение: для «улучшать правила по метрикам» нет проверки в контуре «DLP-система»» означает, что мера существует только формально.

• Актив: «улучшать правила по метрикам» в системе «DLP-система».
• Владелец: независимый аудитор.
• Доказательство: артефакт операции «улучшать правила по метрикам» для темы «DLP-система»: свидетельство защиты по шагу «улучшать правила по метрикам» с датой, источником и итогом теста.
• Пробел: при действии «улучшать правила по метрикам» в теме «DLP-система» возникает отклонение: для «улучшать правила по метрикам» нет проверки в контуре «DLP-система».

Матрица контроля и владения

Что изучить дальше

• маскирование данных
• персональные данные в ИИ
• маскирование данных
• качество данных
• аудит ИИ-систем
• инциденты с ИИ

Чек-лист запуска