Предотвращение утечек данных (DLP).

Предотвращение утечек данных (DLP) — это категория средств защиты, которая проверяет содержимое при передаче, хранении и использовании, применяя политики для удержания регулируемой или конфиденциальной информации в доверенном периметре. Модули DLP сочетают сопоставление шаблонов, лексические правила, точное совпадение данных, машинное обучение и цифровые отпечатки документов, чтобы распознавать PII, платёжные данные, исходный код или объекты интеллектуальной собственности. Типовые действия включают блокировку исходящего письма, помещение файла в карантин, запрос обоснования или маскирование содержимого перед отправкой. Зрелые внедрения интегрируют DLP с классификацией данных, IAM и SIEM/SOAR, обеспечивая приоритизацию инцидентов, сохранение доказательств и снижение ложных срабатываний в соответствии с GDPR, HIPAA и PCI DSS.

Каналы, обнаружение и проблема инсайдера

DLP обычно развёртывается на трёх точках контроля: агенты на рабочих станциях (блокировка копирования на USB, печати, буфера обмена и скриншотов), сетевые/почтовые шлюзы (проверка SMTP, веб-загрузок и облачной синхронизации) и облачные/API-коннекторы, сканирующие данные в состоянии покоя в SaaS и объектных хранилищах. Качество обнаружения зависит от точного распознавания нужного содержимого: одни регулярные выражения помечают слишком много, поэтому серьёзные программы наслаивают точное совпадение данных (хеширование строк реальной клиентской базы), цифровые отпечатки документов для проприетарных файлов и словари регулируемых терминов. Требование 4 PCI DSS и статья 32 GDPR — распространённые драйверы, но самое ценное правило зачастую наименее хитроумно: оповещать, когда один пользователь единовременно выгружает тысячи записей.

Самые сложные случаи — это инсайдеры и утечка через рабочие станции, а не массовые взломы. В 2022 году Yahoo подала иск против увольнявшегося научного сотрудника Цянь Сана (Qian Sang), утверждая, что он скачал около 570 000 файлов интеллектуальной собственности компании AdLearn на личные устройства спустя минуты после получения предложения о работе от конкурента — ровно та утечка «в процессе использования», которую призван перехватывать DLP. Поскольку мотивированные инсайдеры могут сфотографировать экран или воспользоваться зашифрованными каналами, DLP лучше всего работает как один слой более широкой программы: доступ по принципу наименьших привилегий, мониторинг активности пользователей (UEBA) и шифрование, непрерывно настраиваемые так, чтобы ложные срабатывания не приучали персонал игнорировать оповещения.

flowchart TD
  D[Конфиденциальные данные<br/>PII / PCI / исходный код] --> C{Проверка DLP}
  C -->|Рабочая станция| E[USB / печать / буфер обмена]
  C -->|Сеть / почта| N[SMTP / веб-загрузка]
  C -->|Облако / API| S[SaaS / объектное хранилище]
  E --> P{Совпадение с политикой?}
  N --> P
  S --> P
  P -->|Да| B[Блокировка / карантин / редактирование<br/>+ оповещение в SIEM]
  P -->|Нет| A[Разрешить]