Евгений Климов, RISSPA

DLP: "за" и "против"

О чем пойдет речь?• Как позиционируют технологию DLP?

• Что закрываем и какие задачи решаем?

• Какие получаем проблемы?

• Есть ли альтернативы?

• Где еще применить?

Позиционирование DLP• Защита от преднамеренных и непреднамеренных действий персонала

• Обеспечение соответствия требованиям законодательства

• Контроль выполнения политик безопасности

• Архив событий

• Malware DLP

Что закрываем?• Корпоративная почта

• Http

• Web mail

• Icq, MSN, и др.

• Внешние носители

• Печать документов

• Контроль содержимого РС

Что не закрываем?• Skype

• Collaboration tools

• iPhone, iPad, и др. мобильные устройства

• "Облачные" сервисы

• Криптография, стеганография, неизвестные форматы данных

• Covert channels

• Общедоступные best practices

От умышленной утечки DLP не защищает

Compliance?У "них"

• HIPAA, SOX, PCI, GLBA, COPPA, FERPA, PIPEDA

Возможно обеспечить формальное соответствие

У "нас"

• ФЗ-152, приказ N58

Все что-то делают, но соответствие никто не гарантирует

DLP не помогает соответствовать законодательству

Какие получаем проблемы?• Очень дорого и сложно обосновать

• Сколько вендоров, столько и подходов. Как объективно выбрать решение?

• Технического внедрения и настройки мало, необходимо интегрироваться в бизнес-процессы

• Как выстроить систему учета и категорирования конфиденциальной информации? Как учитывать доступы?

• Как не довести до "охоты на ведьм"?

Есть ли альтернативы?

Ужесточение дисциплины

Мониторинг действий

DLPaaS?

Рабочие места DLPaaS(руб./мес.)

DLP(кап.затраты)

100 95 000 -

500 320 000 от 7 000 000

1000 710 000 от 15 000 000

По материалам DLP Expert 2010

DLPaas?Преимущества

• Отсутствие капитальных затрат

• Нет необходимости создавать инфраструктуру

• Тест драйв

• Доступность SMB

Недостатки

• А смысл?

• Все риски безопасности SaaS, проблема доверия

• Только внешние каналы

• Необходимо обучение и индивидуальная настройка

• Отсутствие специализированных решений и публичных референсов

Где еще применить?• ФЗ N98 "О коммерческой тайне"

• Положение о коммерческой тайне

• Перечень сведений, составляющих коммерческую тайну

• Понятно руководству

Автоматизация процессов защиты коммерческой тайны

Установление режима защитып.1 ст.39 ГК РФ:

• Информация обладает коммерческой ценностью

• Коммерческая ценность обусловлена неизвестностью третьим лицам

• Нет свободного доступа на законном основании

• Обладатель принимает меры к охране конфиденциальности

Алгоритм• Актуализируем "Положение о КТ" и "Перечень КТ"

• Интегрируемся с процедурой документооборота

• Все конфиденциальные документы должны передаваться ответственному за учет в электронном виде

• Для хранения должны использоваться специальные хранилища

• Регламент передачи

• Настраиваем соответствующие правила на DLP

• При необходимости, интегрируемся с RMS и IdM

Вместо заключения

Вопросы?