reguła DLP

Reguła DLP to warunek blokujący przesłanie treści zawierającej chronione informacje.

Reguła DLP jako mechanizm ochrony informacji

Reguła DLP, czyli reguła zapobiegania utracie danych, określa warunek, po którego spełnieniu system ma ograniczyć określone działanie użytkownika lub aplikacji. Najczęściej chodzi o przesłanie, skopiowanie, zapisanie albo udostępnienie treści zawierającej informacje objęte ochroną. Nie jest to zwykły filtr plików oparty wyłącznie na rozszerzeniu. Mechanizm może analizować zawartość dokumentu, jego nazwę, lokalizację, odbiorcę, kanał komunikacji, konto użytkownika oraz kontekst wykonywanej operacji.

W praktyce reguła DLP pomaga zmniejszyć ryzyko przypadkowego ujawnienia danych osobowych, dokumentów finansowych, danych logowania, treści umów, informacji medycznych lub materiałów objętych tajemnicą zawodową. Jej działanie może polegać na zablokowaniu operacji, wyświetleniu ostrzeżenia, wymaganiu dodatkowego potwierdzenia, zaszyfrowaniu pliku albo zapisaniu zdarzenia w rejestrze. Sposób reakcji powinien wynikać z rodzaju informacji i poziomu ryzyka, ponieważ całkowite blokowanie wszystkich podejrzanych działań może utrudniać codzienną pracę.

Reguła DLP a klasyfikacja i analiza treści

Skuteczność reguły DLP zależy od tego, jak rozpoznawane są chronione informacje. Najprostszy wariant sprawdza wyrażenia, słowa kluczowe lub charakterystyczne wzorce znaków. Bardziej rozbudowana analiza uwzględnia kontekst całego dokumentu, powtarzalność określonych danych, ich układ oraz powiązanie z klasyfikacją pliku. Przykładowo, pojedynczy ciąg cyfr może nie oznaczać informacji wymagającej ochrony, natomiast taki sam ciąg występujący wraz z nazwiskiem, adresem i opisem transakcji może zostać zakwalifikowany inaczej.

Reguła DLP może działać na kilku poziomach. Kontrola punktu końcowego obejmuje między innymi kopiowanie na nośnik USB, drukowanie, wykonywanie zrzutów ekranu oraz przenoszenie danych między aplikacjami. Kontrola poczty elektronicznej analizuje wiadomości i załączniki przed wysłaniem. Kontrola ruchu sieciowego może odnosić się do przesyłania plików do usług internetowych, formularzy lub zewnętrznych systemów wymiany dokumentów. W każdym z tych przypadków znaczenie ma nie tylko sama treść, ale także kierunek przepływu i uprawnienia osoby wykonującej operację.

Warto odróżnić regułę DLP od kontroli dostępu. Kontrola dostępu odpowiada przede wszystkim na pytanie, kto może otworzyć dany zasób. DLP sprawdza natomiast, co dzieje się z informacją po uzyskaniu dostępu. Użytkownik może mieć prawo do odczytania dokumentu, ale jednocześnie nie powinien przesłać go na prywatny adres, skopiować na nieznany nośnik albo udostępnić osobie spoza określonej grupy. Oba mechanizmy uzupełniają się, lecz rozwiązują różne problemy.

Reguła DLP w typowych sytuacjach użytkowych

Najczęstsze zdarzenia związane z regułą DLP pojawiają się podczas pozornie zwyczajnych czynności. Dokument zawierający dane klientów może zostać omyłkowo dołączony do wiadomości kierowanej do niewłaściwego odbiorcy. Arkusz z rozliczeniami może zostać zapisany w katalogu przeznaczonym do publicznej wymiany plików. Treść skopiowana do komunikatora może zawierać fragment dokumentacji, który powinien pozostać w kontrolowanym środowisku. Zdarza się również, że użytkownik próbuje przenieść dane na prywatny pendrive, aby kontynuować pracę na innym urządzeniu.

W zależności od ustawień reguła DLP może potraktować takie zdarzenie jako ostrzeżenie albo jako naruszenie wymagające blokady. Wariant ostrzegawczy informuje o ryzyku i pozwala wycofać operację. Wariant z uzasadnieniem umożliwia wykonanie czynności dopiero po podaniu powodu, który następnie może zostać przeanalizowany. Wariant blokujący uniemożliwia przesłanie lub zapisanie danych niezależnie od deklaracji użytkownika. Możliwe jest również zastosowanie maskowania, czyli ukrycia części informacji przed wyświetleniem lub wysłaniem.

Problemy z działaniem reguły DLP mogą być mylone z awarią laptopa albo aplikacji. Objawami bywają komunikat o odmowie dostępu, niemożność dodania załącznika, brak możliwości skopiowania fragmentu tekstu, automatyczne usuwanie odbiorcy lub opóźnienie wysyłki wiadomości. Niekiedy ograniczenie występuje wyłącznie w jednym programie, przy określonym koncie albo w odniesieniu do konkretnego pliku. Takie zachowanie nie musi oznaczać uszkodzenia sprzętu. Może wynikać z polityki ochrony danych, błędnej klasyfikacji dokumentu lub nieprawidłowej współpracy kilku zabezpieczeń.

Reguła DLP i praktyczne wskazówki diagnostyczne

Przy podejrzeniu, że reguła DLP blokuje działanie, należy najpierw zapisać dokładną treść komunikatu oraz zanotować, jaka czynność została wykonana. Przydatne są informacje o nazwie aplikacji, rodzaju pliku, odbiorcy wiadomości, użytym nośniku i czasie wystąpienia problemu. Nie powinno się wielokrotnie ponawiać operacji bez sprawdzenia przyczyny, ponieważ może to wygenerować wiele podobnych zdarzeń i utrudnić analizę.

Warto sprawdzić, czy ograniczenie dotyczy jednego dokumentu, całej grupy plików, jednego konta czy wszystkich użytkowników urządzenia. Można porównać zachowanie przy pracy na kopii pozbawionej danych wrażliwych, jednak nie należy samodzielnie usuwać zabezpieczeń, wyłączać ochrony ani instalować nieznanych narzędzi mających rzekomo omijać blokadę. Takie działania mogą zwiększyć ryzyko ujawnienia informacji i utrudnić późniejsze ustalenie przyczyny.

Reguły DLP powinny być testowane na przykładowych danych, zanim zostaną zastosowane w codziennej pracy. Test pozwala sprawdzić, czy wykrywanie nie jest zbyt szerokie, czy komunikaty są zrozumiałe oraz czy dozwolone operacje nadal przebiegają prawidłowo. Należy także kontrolować wyjątki. Wyjątek przyznany bez ograniczenia zakresu może osłabić ochronę bardziej, niż wynikało to z pierwotnego założenia. Bezpieczniejsze jest ograniczenie wyjątku do konkretnego konta, aplikacji, lokalizacji lub krótkiego przedziału czasu.

Kiedy reguła DLP wymaga zgłoszenia do serwisu

Zgłoszenie do serwisu jest zasadne, gdy blokada powtarza się mimo prawidłowych uprawnień, pojawiła się po aktualizacji systemu lub aplikacji, dotyczy wielu programów albo towarzyszą jej inne objawy, takie jak zawieszanie, błędy zapisu, problemy z siecią czy nieprawidłowe działanie urządzeń zewnętrznych. W takiej sytuacji potrzebne jest rozdzielenie problemu polityki ochrony danych od problemu sprzętowego, systemowego lub aplikacyjnego. Pomocna bywa analiza logów, konfiguracji zabezpieczeń, sterowników i komunikacji między urządzeniem a środowiskiem, w którym wykonywana jest operacja.

Przed przekazaniem sprzętu należy przygotować opis czynności, która została zablokowana, oraz kopię komunikatu wyświetlanego przez system. Nie powinno się przekazywać haseł ani niezaszyfrowanych kopii chronionych dokumentów, jeśli nie jest to konieczne. W przypadku problemów z urządzeniem można skorzystać z pomocy firmy Warszawskie Pogotowie Komputerowe 24/7. Przy zgłoszeniu warto zaznaczyć, czy objaw występuje na jednym laptopie, na kilku urządzeniach, tylko przy określonych plikach, czy również podczas zwykłych operacji niezwiązanych z ochroną danych.

Po usunięciu usterki lub ustaleniu, że przyczyną jest prawidłowo działająca reguła DLP, powinno się sprawdzić działanie na bezpiecznym pliku testowym. Należy potwierdzić, że dozwolone operacje są możliwe, a chronione treści nadal podlegają właściwym ograniczeniom. Taki test końcowy pomaga uniknąć sytuacji, w której pozorna naprawa polega jedynie na wyłączeniu mechanizmu ochronnego.