Эволюция DLP-систем к интегрированным программным комплексам

Рынок систем для предотвращения похищения информации (DLP-систем) признан одним из наиболее динамично развивающихся сегментов в области обеспечения ИБ. Однако в отечественной сфере до сих пор не удается полностью удовлетворить мировым требованиям, что создает свои особенности для рынка DLP-систем в РБ.

Как работают DLP-системы

Прежде чем обсуждать рынок и внедрение DLP-систем, необходимо понять, что подразумевается под этими решениями. Данные системы – это программные продукты, предназначенные для защиты от возможных похищений сведений. DLP расшифровывается как Data Leak Prevention, то есть предотвращение утечки данных.

ПО гарантирует наличие специальной цифровой «оболочки» внутри компании, поскольку проверяется весь трафик. ПО анализирует как исходящую, так и получаемую информацию. Оно контролирует не только интернет-трафик, но и другие информационные потоки. Речь идет о файлах, которые могут выноситься из организации на флешке, съемных HDD, других носителях, а также печатных материалах, отправляемых через Bluetooth на мобильные устройства и т.д.

DLP-системы имеют ключевую задачу – предотвращение похищения секретных сведений, поэтому они включают в себя встроенные механизмы для определения уровня конфиденциальности документов, обнаруженных в перехваченном трафике. Для этой цели обычно применяются два основных метода: анализ специальных маркеров внутри файла, а также проверку содержимого.

Первый способ основан на использовании специальных маркеров или тегов, которые присваиваются конфиденциальным документам. Эти маркеры могут быть определенными метаданными или шаблонами, указывающими на уровень конфиденциальности. DLP-системы могут сканировать перехваченный трафик и идентифицировать наличие этих элементов в документах. Если файл содержит данные свидетельства, указывающие на высокий уровень конфиденциальности, система принимает соответствующие меры. Например, блокирует отправку таких документов или требует авторизации для доступа к ним.

Однако более распространенным методом является анализ содержимого документа. DLP-системы сканируют содержимое с целью нахождения секретных сведений, используя различные алгоритмы и эвристические методы. Этот подход более гибкий, поскольку он устойчив к изменениям, вносимым в документ перед его отправкой. Например, система может обнаружить секретные сведения, основываясь на сигнатурах или шаблонах этих данных. Среди них банковские реквизиты, социальные номера или патентные данные.

Преимущество второго метода заключается в том, что систему можно легко настроить на работу с новыми типами конфиденциальных документов, просто добавив соответствующие правила или шаблоны. Это позволяет системе адаптироваться к изменяющимся потребностям и требованиям организации, не требуя значительных изменений в самой системе.

Дополнительные задачи

В дополнение к задаче по сохранению сведений в безопасности, DLP-системы также эффективно решают ряд дополнительных задач. Они заключаются в обеспечении высокой производительности труда работников.

Наиболее распространенные дополнительные задачи DLP-систем включают:

• Контроль рабочего времени, а также распоряжения имеющимися ресурсами, сотрудниками.
• Мониторинг коммуникации сотрудников для выявления скрытой деятельности, которая может причинить вред организации.
• Контроль законности действий сотрудников, включая защиту от создания поддельных бумаг.
• Поиск сотрудников компании, которые отсылают свои резюме в другие организации. Таким образом можно заранее подготовиться к их возможной замене.

Классификация

Некоторые организации считают задачи классификации данных важнее сохранения имеющихся сведений внутри компании. В результате появился ряд программ, разработанных специально для достижения этих целей, но в некоторых случаях также способных предотвращать утечку информации. Отличительной особенностью таких программ от полноценных DLP-систем является отсутствие развитых инструментов для проверки пойманных данных, что требует ручной обработки экспертом в области ИБ. Мелкий бизнес с небольшим числом контролируемых сотрудников (до 10) успешно использует указанную систему.

DLP-системы можно классифицировать по нескольким основным критериям. Одним из них является способ блокирования идентифицированных сведений. Существуют программные продукты, которые активным образом защищают ценную информацию. Также имеются альтернативные решения, которые выполняют задачу пассивным образом. ПО первого типа способно блокировать нежелательные соединения, тогда как ПО второго типа не может предложить указанную функцию. Это ПО, которое активно защищает более эффективно в борьбе со случайными утечками, но может привести к остановке бизнес-процессов организации.

Альтернативный подход к классификации заключается в проверке архитектуры. Шлюзовые запускаются на промежуточных серверах. Альтернативный вариант в виде хостовых систем применяет агенты, работающие на ПК сотрудников. Чаще всего оба вида используются вместе.

Состояние современного рынка

Современный мировой рынок DLP-систем сейчас контролируется крупными компаниями, которые также славятся программными решениями в сфере ИБ. Среди основных игроков можно выделить Symantec, McAffee, TrendMicro и WebSense. Объем рынка DLP-решений составляет около 400 миллионов долларов, что пока невелико по сравнению с рынком антивирусных программ. Однако DLP демонстрирует быстрый рост: в 2009 году его объем составлял немного более 200 миллионов долларов.

Эксперты отмечают, что главным трендом является переход от фрагментированных систем, состоящих из компонентов разных производителей, к большим системам, внутри которых присутствуют все необходимые элементы. Это позволяет избежать проблем совместимости между компонентами и облегчает конфигурацию для множества рабочих компьютеров клиентов в организациях. Разработчики также стремятся к интегрированным системам из-за важности обеспечения ИБ. Если хотя бы один канал остается незащищенным, возникает угроза утечки информации.

Мировые производители DLP-систем, вступившие на рынок СНГ, узнали о сложностях локализации для использования конечным клиентом. Рынок постсоветского пространства представляет интерес для иностранных производителей, поэтому они работают над локализацией в РФ и других русскоязычных странах для успешного проникновения на этот рынок.

Другим трендом в DLP признается внедрение системы модулей, позволяющей клиентам выбирать нужные компоненты. Если OS не поддерживает подключение дополнительных устройств хранения информации, не требуется платить за опции контроля этих устройств. Также можно ожидать появления специализированных DLP, которые разработаны для финансовой сферы, административных зданий и других подобных отраслей.

Влияние популярности переносных вычислительных устройств в организациях также оказывает значительное влияние на развитие DLP-систем. Особенности портативных компьютеров, такие как работа вне офиса и возможность кражи данных вместе с устройством, требуют создания альтернативных механизмов в области сохранения данных. По состоянию на 2023 год только некоторые производители обеспечивают опции контроля переносных вычислительных устройств в своих DLP-системах. Зато их продукция соответствует высоким техническим стандартам.