Блокировка передачи данных: как DLP останавливает утечку в моменте

Почему важно останавливать утечку именно в момент передачи

Утечка — не одномоментное событие, а цепочка шагов. Сначала сотрудник получает доступ к данным, подготавливает их к отправке: копирует, архивирует, меняет формат; затем — передает через письмо, веб-сервис, съемный носитель или другой канал. Как итог — информация может покинуть периметр компании.

Вмешаться эффективнее всего до того, как данные окажутся у внешнего получателя. После выхода за периметр остается расследование и минимизация ущерба.

Постфактумное расследование отвечает на вопрос «кто виноват», когда данные уже утрачены: происходит оценка ущерба, уведомление регулятора, объяснения перед клиентами. Предотвращение на этапе передачи отвечает на вопрос «как не допустить» и обходится дешевле: система защиты не просто фиксирует событие, а может остановить передачу на поддерживаемом канале.

Каналы утечки данных, которые встречаются чаще всего:

• электронная почта: вложения на личный или внешний адрес;
• мессенджеры и веб: загрузка файлов через браузер, HTTPS-трафик;
• USB и другие съемные устройства;
• печать документов;
• буфер обмена;
• облачные хранилища;
• сетевые папки и общие ресурсы.

Защита строится не на одном канале, а на контроле каналов коммуникации в комплексе. В противном случае — заблокированная почта не сможет спасти от утечки данных через флешку, печать или другой разрешенный путь передачи.

Политики безопасности: как задаются правила под компанию

В основе блокировки — политики безопасности, которые настраиваются в DLP-системе: правила вида «условие → действие». Условие описывает, какие данные, по какому каналу и от какого сотрудника передаются. Действие определяет реакцию: уведомить офицера безопасности, заблокировать передачу или зафиксировать событие без блокировки.

Что можно использовать для настройки политик безопасности?

• категории данных — персональные данные, коммерческая тайна, финансовая отчетность, исходный код;
• группы сотрудников — для кого действует правило, а для кого не действует (например, бухгалтерия может правомерно отправлять финансовые документы);
• контентный анализ — ключевые слова, словари, регулярные выражения для номеров карт, паспортных данных, внутренних документов;
• цифровые отпечатки документов — детектирование даже частичных совпадений с эталоном.

Если блокировать все, то бизнес-процессы тоже будут заблокированы. Для стандартных операций уместен мониторинг с фиксацией без блокировки; для критичных данных — жесткая блокировка.

Правила могут как настраиваться под компанию, так и использоваться из готового шаблона.

Блокировка передачи в моменте: как это работает

Это механика, которая отличает DLP-систему от простой постфактумной защиты. Агент на рабочей станции и анализ трафика перехватывают и анализируют данные при передаче. Содержимое — текст, вложение, файл — проходит контентный анализ на соответствие категориям данных, шаблонам, цифровым отпечаткам. Результат сверяется с политикой, если правило срабатывает, то система останавливает передачу до того, как данные покинут контролируемый канал.

Ниже — разница между пассивным наблюдением и активным вмешательством в передачу данных.

Мониторинг vs Блокировка

Мониторинг — пассивное наблюдение: система фиксирует операцию и сохраняет копию, не прерывая передачу. Уместен там, где ложное срабатывание дороже риска — для «серых» операций и на старте калибровки правил.

Блокировка — активное вмешательство: передача прерывается до завершения проверки. Включают там, где цена утечки высока — коммерческая тайна, персональные данные клиентов, финансовая отчетность.

Контроль файловых операций и мониторинг сетевых папок

Утечке часто предшествуют файловые операции: копирование на другой диск, переименование с целью скрыть содержимое, запись на съемный носитель, загрузка в личное облако. Операция отслеживается и сопоставляется с политикой: система видит не только факт передачи, но и подготовку к ней.

Мониторинг сетевых папок

Общие сетевые ресурсы — частый источник риска массовой утечки: сотрудник с доступом к общей папке может работать с большим объемом документов, накопленных годами. Контроль сетевых ресурсов показывает, кто и через какой процесс выполнял операции с файлами, что было записано, скачано или изменено, и помогает фиксировать аномальную активность — например, попытку массовой передачи данных на сетевой ресурс в нерабочее время.

Съемные устройства и печать

Подключение USB-накопителя фиксируется и ограничивается конкретным правилом: разрешить чтение, запретить запись, заблокировать передачу данных, заблокировать устройство целиком для пользователя или группы. Печать — отдельный канал утечки. Но контроль вывода показывает, какой документ и кем отправлен на печать, а при срабатывании политики безопасности система может заблокировать печать.

От сигнала к инциденту: фиксация и доказательства

Когда правило срабатывает, блокировкой или уведомлением, система фиксирует инцидент и сохраняет контекст: кто, когда, с какого устройства и через какой канал пытался передать информацию. Офицер безопасности может восстановить цепочку событий и проверить, были ли похожие срабатывания у сотрудника ранее. При необходимости DLP-система помогает подготовить отчет для руководства, учитывая в нем факты и доказательную базу.

Нормативная база для внедрения DLP:

• средство контроля должно быть объявлено служебным в локальном нормативном акте, политике информационной безопасности;
• информация закреплена в трудовом договоре и сотрудник ознакомлен с документом под подпись;
• обработка ведется с определенной целью по 152-ФЗ «О персональных данных», режим коммерческой тайны вводится по 98-ФЗ.

Заключение

Остановить утечку в момент передачи — не одна функция, а связка элементов: точные политики безопасности, активная блокировка на поддерживаемых каналах, контроль файловых операций и сетевых ресурсов, фиксация срабатываний для расследования.

Профилактика в общих словах не отвечает на вопрос «что произойдет в момент, когда сотрудник отправит файл». DLP-система отвечает на него конкретно: анализом содержимого, сверкой с политикой и блокировкой передачи.

Часто задаваемые вопросы

• Как DLP блокирует утечку в момент передачи данных?

   

  Агент на рабочей станции или средства анализа трафика перехватывают операцию, содержимое проверяется на соответствие политике. При совпадении с запрещенным условием передача прерывается до того, как файл дойдет до получателя.

• Чем режим блокировки отличается от простого мониторинга?

   

  Мониторинг фиксирует операцию и сохраняет копию, не прерывая ее. Блокировка активно останавливает передачу там, где риск утечки неприемлем.

• Как настроить политики безопасности блокировки под свою компанию?

   

  Определить категории данных, выбрать каналы контроля, назначить группы сотрудников, задать действие при срабатывании и прописать исключения для легитимных процессов.

• Можно ли контролировать выгрузку файлов из сетевых папок?

   

  Да, мониторинг сетевых папок показывает, кто обращался к общему ресурсу, что было скачано или изменено, а также помогает выявить аномальную массовую выгрузку.

• По каким каналам DLP может остановить отправку, а по каким — только зафиксировать?

   

  Блокировка поддерживается не по всем каналам одинаково: для почты — по MAPI и SMTP, для веб-почты — через HTTP/HTTP(S)-правила, тогда как перехват для анализа охватывает более широкий набор протоколов.