Инструмент для работы с людьми.

Просмотров: 3301
Автор:
Пономарев Владимир Валерьевич

Пономарев Владимир Валерьевич

заместитель генерального директора — МФИ Софт

Известно, что между «айтишниками» и «безопасниками» немало «спорных территорий», потенциально конфликтных ситуаций, и одна из таких областей — dlp-системы. Вот этот материал это подтверждает. Вы тоже наблюдаете такое положение дел?

Такое противостояние связано с разделением ответственности за вопросы, которые прежде были сосредоточены у одного человека. Инициатива внедрения DLP-системы, исходящая не от ИТ- директора, а от безопасников, дает ему повод думать, что следить собираются именно за ним. Поэтому, прежде всего, мы стараемся убедить ИТ-директоров в том, что DLP-системы направлены не против них. Я прекрасно понимаю, как это бывает: человек построил хорошую работающую систему, он тут хозяин, никого в свою информационную среду пускать не собирается и сам контролирует все, что считает нужным. С DLP-системой в информационной среде появляется какое-то инородное тело, которым ИТ-отдел не управляет, а оно видит больше, чем сам ИТ- директор. Такая ситуация не нравится, но это человеческий фактор, тут важно найти общий язык, все показать и убедить, что DLP – это не для надзора за администраторами.

Во-вторых, ИТ-специалисты с осторожностью относятся к любым изменениям. Многие боятся, что внедряемая DLP-система будет негативно влиять на ИТ-процессы. На самом деле это далеко не всегда так и зависит от качества самой системы и принципов ее внедрения.

Наиболее распространенная схема внедрения DLP – подключение системы в режиме мониторинга, что позволяет минимизировать влияние на инфраструктуру. Наша система «Гарда Предприятие» обычно внедряется именно в режиме мониторинга. Этот режим позволяет находить слабые места в безопасности компании – факты и источники утечек информации, и предотвращать подобные инциденты в будущем. Функционал блокировки обычно используется для ограниченного количества сценариев - блокировки usb-устройств, нежелательных процессов на рабочих станциях, облачных хранилищ информации и конкретных URLадресов. Для контроля шифрованного трафика у нас есть собственная разработка - модуль проксирования шифрованного трафика, и вот для его использования есть необходимость внедрения в разрыв. Для этого случая в системе есть bypass-модуль. Даже в случае физического выключения сервера разрыва канала связи не происходит.

Насколько полно российские компании оценивают внутренние угрозы, описывают их, разрабатывают ли политики безопасности?

По нашему опыту, довольно часто встречается ситуация, когда регламенты и процессы политик безопасности существуют только на бумаге либо отсутствуют. А по факту же, уровни конфиденциальности информации не определены, политики доступа к информации разных типов не соблюдаются. Их наличие - одно из требований к полноценному внедрению DLP.

Построение модели угроз и категоризация информации происходят уже в ходе внедрения, так же как и определение уровня доступа сотрудников, возможных путей движения информации - все эти описательные документы создаются при полноценном внедрении DLP. Иначе неясно, где и что ловить. Компаний, которые в принципе готовы такое сделать, становится все больше. Но жизнь все же сложнее всех политик и процедур, поэтому в некоторых случаях невозможно провести такую работу в полном объеме – не хватает специалистов, ограничены бюджеты, или вообще компания закрыта для внешнего аудита.

Даже в таких сложных случаях эффект от внедрения DLP может быть получен. Мы создаем и такие решения, которые работают сразу после инсталляции. Если возникает подозрение, что произошла утечка данных, то можно проверить – было такое или нет, даже если не была настроена соответствующая политика безопасности. Для этого ведется статистика по всему интересующему трафику, с возможностью записи и мгновенного поиска во всех интересующих потоках информации. Это дает возможность офицеру ИБ восстановить полную картину информационного обмена при проведении внутренних расследований. Другое преимущество подобного подхода – быстрое создание политик ИБ с минимальным количеством ложных срабатываний. Вы сразу видите результат срабатывания политики и можете её тут же скорректировать. Такой подход позволяет компаниям, знающим свои риски и желающим работать в этом направлении, все же находить утечки, определять их причины и источники и «закрывать» проблемные места.

Вы рассматриваете DLP-систему как продукт или как сервис?

Максимальный эффект от внедрения достигается, когда проекту внедрения DLP обеспечивается соответствующий сервис. В таком случае интеграторы берут на себя разработку политик информационной безопасности, составление карты рисков, систематизацию бизнес-процессов. Содействие и помощь специалистов позволяют реализовать проект быстрее и качественнее. При этом, конечно же, многим компаниям хотелось бы получить продукт с коротким периодом внедрения и минимальными затратами на обслуживание и поддержку.

Мы делали всероссийское роуд-шоу в 2013 году, и в каждом городе были слушатели, которые хотели «большую красную кнопку». Многие говорили, что большинство DLP-систем сложные, их требуется постоянно настраивать, а нужно, чтобы появилась проблема – лампочка загорелась, и все.

Совсем «одну кнопку» все же не сделать, но удобный интерфейс, автоматизирование рутинных процессов и интерактивные отчеты у нас есть. Уже на главном экране пользователь сразу видит, есть вообще причины беспокоиться или нет.

Что вам кажется наиболее важным в обеспечении внутренней безопасности?

Прежде всего – системный подход и работа с людьми. На предприятии должен быть внедрен целый комплекс мер по защите информации. У всех утечек есть свои причины, связанные с человеческим фактором. Кто-то не знает, что информация попадает под политику конфиденциальности, кто-то считает, что «ничего не будет», кто-то просто невнимательный. Сотрудники должны понимать, для чего все эти политики нужны, что безопасность компании – это в их интересах. Для этого нужно работать с людьми, обучать их, объяснять не только правила и последствия, но и причины применения этих правил.

Но для этого нужна совместная работа с HR, а это сложно.

Работать в команде всегда сложнее. Со своей стороны мы постарались максимально упростить возможности «взаимопонимания» - сделали такие интерфейсы, отчеты и графики, по которым даже непрофессионал будет понимать, что же происходит с безопасностью компании. Многие DLP-системы выглядят как пульт управления космическим кораблем. Причем для администраторов и офицеров ИБ она может быть одинаково непонятна.

Бизнес так не работает. И одна из наших задач – сделать внедрение и использование DLP максимально простым и эффективным. При этом мы понимаем, что если заниматься только контролем заранее описанных инцидентов и выявлением стандартных событий, то не получится оценить состояние информационного поля компании в целом и выявить новые и нестандартные риски и утечки. В каком-то смысле мы даже идем дальше возможностей стандартного DLP и делаем расширенные инструменты для работы со всеми интересующими данными.

Дорого обходится архивировать данные?

Под архив мы написали свою файловую систему и систему хранения. В итоге получилось решение дешевле и эффективнее, чем на Oracle или Hadoop. У нас была задача сделать масштабируемое до нескольких петабайт хранилище с очень быстрым поиском, при этом учесть специфику DLP. Нам надо было, чтобы наша система работала на одном сервере, и мы это сделали. Эта задача ранее никем не была решена. Полнотекстовый поиск - очень быстрый по неструктурированной информации, весь функционал DLP и все это сделано на стандартном «железе».

Вы можете оценивать экономическую отдачу DLP-решений?

Внедрение DLP-системы обычно начинается с пилотного проекта, и уже в ходе тестирования, как правило, выявляются инциденты, помогающие обосновать экономическую эффективность проекта.

В каждой компании экономическая эффективность будет совершенно уникальная и своя. Внедрив у себя решение, можно сказать, какие утечки в твоей компании происходят, а правильно подойдя к оценке информационных активов, какой ущерб они наносят. Одно и то же для разных компаний работать не будет.

Как сказал один из клиентов про лояльность: не важно, что сотрудник думает о компании, важно, что он говорит и пишет. С помощью DLP-системы он контролировал лояльность. И такой контроль вполне возможен. Если человек нелоялен, значит, в чем-то ему плохо, что-то ему не нравится в компании. Это не способ найти кандидатов на увольнение, это уже крайний случай. Это способ выяснить, что в компании идет не так, как надо.

Комментарии (3)

Комментировать могут только авторизованные пользователи.
Предлагаем Вам в систему или зарегистрироваться.

  • Скрыть ветвь
    Рейтинг440
    19.03.2015 09:12
    На сегодя DLP-системы как и Антивирусы не эффективны. От примитивных угроз конечно защищают, но не от человеческого фактора.
    Наиболее отптимальный вариант - предусматривать защиту от утечек в самих ситемах обработки конфиденциальной информации.
    Ну и конечно мониторить криминальные наклонности сотрудников, принимая меры до возникновения инцидентов
    0
  • Скрыть ветвь
    Рейтинг290

    Директор по ИТ

    ООО Скай Лайн

    25.03.2015 10:20
    При полноценном внедрении DLP системы обязательно нужно учитывать, что кто-то должен ее поддерживать, а также реагировать на все инциденты (актуальные и false-positive).
    Если поддержку еще можно отдать партнеру, то разбор инцидентов должен происходить строго внутри. И не всегда один выделенный для этого человек справится.

    Очень часто про это забывают. Вот и получается, что DLP внедрили, она работает, а на то, что она поймала, никто не реагирует.
    0
  • Скрыть ветвь
    Рейтинг67910

    Начальник управления информационных технологий

    АО МПО им.И .Румянцева

    25.03.2015 10:56
    Как сказал один из клиентов про лояльность: не важно, что сотрудник думает о компании, важно, что он говорит и пишет.

    Как правило, человек, который задумал по отношению к компании какую-то подлость типа навредить, украсть, слить и т.п. , никогда не будет писать и говорить об этом. Более того, по этому критерию он будет самым лояльным и преданным. Во всех коридорах будет панегирики петь и во всех письмах благодарить Бога , что судьба подарила ему возможность работать в таком замечательном коллективе.))). Это называется "фига в кармане".

    Так что , контролировать лояльность с помощью DLP - пустое занятие. Ни о чем.

    А уж выяснять, в чем там ему плохо и что не так идет - дело НР. Есть иные способы и методы. Да и зачастую, люди которые работают нормально. с удовольствием, не всегда всем удовлетворены и могут поругивать порядки в переписке с коллегами. Так на всех не угодишь.
    Более того, часто получается, что именно такие вот, постоянно ругающие компанию и порядки в ней - и есть самые лояльные и преданные. они за дело болеют. А выводы будут делаться совсем обратные.
    1

Комментировать могут только авторизованные пользователи.
Предлагаем Вам в систему или зарегистрироваться.