Manažer bezpečnosti: Rychlé nasazení DLP

Trouble Ticket
Co řešit: Vedení firmy poskytlo finance, ale v omezené míře a s nedostatkem času.
Akční plán: Během několika málo týdnů posoudit technologie, vybrat nástroj a zakoupit ho – na chyby není čas.

Dostal jsem většinu toho, o co jsem žádal, a dostal jsem to brzy. To zní dobře, ne? Ne tak docela.

Ve svém plánu na rok 2013 jsem požádal o rozpočet na systém ochrany před únikem dat (DLP). Měl jsem důvod se domnívat, že mám slušnou šanci na získání finančních prostředků. Do mé kompetence patří ochrana duševního vlastnictví naší společnosti a systém DLP byl pro vysoké manažery žhavým tématem.

Teď jsem se dozvěděl, že dostanu část svého požadavku z rozpočtu, ale ne v roce 2013. Přidalo se to ke zbývajícímu rozpočtu na rok 2012. To znamená, že musím koupit nástroj DLP ještě před koncem tohoto fiskálního roku.

Vypadá to, že vysocí manažeři jsou již přesvědčeni o tom, že nástroj DLP bude cenným přírůstkem našeho arzenálu zabezpečení, a rozhodli se, že čím dříve ho nasadíme, tím lépe. Dobrou zprávou je, že exekutiva bere ochranu informací vážně.

Tou špatnou je, že nechápou, že před samotným rozhodnutím je potřeba mít dostatek času k prostudování technologie. Pokud budete spěchat, můžete skončit s něčím, co vaše problémy dostatečně neřeší.

Můj původní plán byl najmout dva analytiky DLP a pracovat s nimi na ověření konceptu. Omezený rozpočet znamená, že si mohu najmout jen jednoho analytika, ale časové omezení situaci ještě zhoršuje. Máme jen dva měsíce na formální ověření konceptu – dva měsíce, které jsou navíc v době dovolených.

A co víc, nemám rozpočet ani personál na podporu komplexního nasazení DLP.

Naše implementace by kombinovala síťové DLP s detekcí a technologií pro koncové body. Se síťovým DLP nadefinujete data pro monitorování a poté jste upozorněni, když něco z toho opouští společnost, ať už je to přes e-mail Microsoft Exchange, webový e-mail, upload souborů, sociální média, FTP nebo jakoukoli jinou metodou.

Jak již název napovídá, síťový systém DLP monitoruje pouze provoz v síti. Pokud se definují data v notebooku, který se ocitne mimo síť, nezjistíte nic. DLP pro koncové body rozšiřuje příslušné bezpečnostní zásady i na zařízení, která mohou pracovat mimo síť.

Detekovací DLP zase umožňuje určit, kde všude se citlivé informace vyskytují, a upozorní vás, když jsou některá z těchto dat přesouvána nebo se vyskytují někde, kde by být neměla.

S poskytnutým rozpočtem a nedostatkem času bude naše úvodní nasazení omezeno na síťové DLP v našich třech největších lokalitách. Není to sice 100% pokrytí, ale je tomu docela blízko. Budu také moci využít své vlastní zkušenosti, protože v minulosti jsem DLP už úspěšně nasazoval.

V příštích několika týdnech provedeme omezené ověření konceptu a požádáme dodavatele o konfiguraci prostředí pro testování. To všechno nám ale neponechá příliš mnoho času na samotný výběr, vyjednání ceny a kontrolu smlouvy právním oddělením.

Realizace DLP
Pokud se vše stihne včas, můžeme v novém fiskálním roce začít s konfigurací nového nástroje. Očekávám, že bude potřeba vytvořit nějaká počáteční strukturovaná pravidla, která budou pátrat po datech, jako jsou čísla kreditních karet, rodná čísla či některé části zdrojových kódů.

Také použiji klíčová slova jako krycí a pracovní názvy fúzí a akvizic, které by se mohly chystat, takže systém DLP je bude hledat ve veškeré komunikaci. Pro nestrukturovaná data vytvořím chráněné adresáře pro každý větší firemní útvar. Příslušná oddělení pak označí všechna pro ně citlivá data a uloží jejich kopii ve svých adresářích.

Jakmile se tyto dokumenty vytvoří, budeme sledovat síť, zda z ní neunikají nežádoucí data. Případné bezpečnostní incidenty spustí oznámení, které se odešle osobě odpovědné za přezkoumání alarmů, a ta určí, zda situace vyžaduje nějakou další akci.

Řešíte podobné problémy jako Mathias Thurman? Podělte se o svoje zkušenosti s námi i se čtenáři Computerworldu. Můžete psát na adresu bezpecnost@idg.cz.

Tento příspěvek do Zápisníku manažera pro bezpečnost napsal skutečný manažer bezpečnosti, který zde vystupuje jako Mathias Thurman. Jeho pravé jméno ani jméno zaměstnavatele z pochopitelných důvodů neuvádíme.