Помимо хакерских атак и кражи устройства, существует угроза со стороны сотрудников компании. Преднамеренный «слив», случайная отправка на ошибочный e-mail и другие инциденты, вытекающие из незнания правил работы с персональными данными и конфиденциальной информацией, могут нанести вашей организации серьезный ущерб.
Каким должен быть современный подход к защите от утечки данных и как на практике работает пользовательская классификация — разбираемся ниже.
Роль сотрудников в информационной безопасности
Без сотрудников, которые являются непосредственными владельцами информации, создание целостной системы безопасности превращается в настоящее испытание. Например, важный чертеж или отчет может выйти за пределы компании, так как ИБ-департамент был не в курсе его истинной ценности. Чтобы вовлечь сотрудников в обеспечение безопасности, бизнесу нужно предпринять несколько шагов:
- определить, какими типами чувствительных данных он оперирует в рамках своей деятельности (конфиденциальные, служебные, персональные и т.д.);
- кто из персонала компании должен иметь доступ к этим данным для выполнения своих служебных задач;
- регламентировать правила работы с такими типами данных (назначение уровня конфиденциальности, правил хранения и передачи и т. д.);
- проинформировать пользователей с доступом к перечисленным типам данных о правилах работы с ними;
- обучить их обязательным процедурам (классификация данных, работа с ними на каждом этапе жизненного цикла);
- внедрить контроль выполнения этих процедур со стороны информационной безопасности.
Если пользователь создает файл и включает туда известную ему конфиденциальную информацию, то именно этот пользователь, как владелец файла, обязан поставить соответствующую отметку об уровне конфиденциальности. Это и есть пользовательская классификация данных, реализовать которую можно с помощью решений вроде Boldon James или Titus.
Подходы к пользовательской классификации данных
Прежде чем внедрить пользовательскую классификацию, нужно понять принцип ее работы. Разберем это на примере решения от Boldon James.
Принцип «светофор» — зеленый, желтый, красный
Зеленый — публичная информация. Сотрудник вовлечен в процесс документооборота. Цель метки — приучить сотрудников следовать корпоративным стандартам.
Желтый — служебная информация. Умеренный риск утечки таких данных. Позволяет разделять личные документы и служебные.
Красный — критическая информация. Метка позволяет фокусно защитить документ от утечки. Так, именно на сотруднике-авторе файла «закупка 200 тонн алюминия.docx» лежит ответственность за его сохранность.
Подход «Корпоративный шаблон»
- Финансовая компания. Метки, разделенные по регуляциям GDPR, PCI\DSS, Постановление 95 Центробанка.
- Фармацевтика. Метки — это номенклатура лекарств и персональные метки ответственных лиц за визирования отгрузок.
- Производство. Метки — это интеллектуальная собственность, номенклатура документов по уровню значимости.
Технические нюансы
Пользовательская классификация данных поддерживается:
- Офисным набором Microsoft: Word, Excel, PowerPoint, Visio — визуализация метки в открытом окне программы;
- Офисным набором от Opensource community: Open office;
- Почтовыми клиентами: Microsoft Outlook, Lotus Notes;
- ОС Windows (нажатие правой кнопки мыши и установления метки на любой тип файла);
- Web-версией офисного набора Microsoft.
Хоть сотрудник и выставляет метки самостоятельно, софт может корректировать его действия.
Например:
- Классификация электронной почты, а также вложений в письма — автоповышение метки письма, если вложение критическое.
- Классификатор поддерживает пакет Microsoft Office, включая Word, PowerPoint, Excel, Visio и Project, AutoCad. Визуализация в виде водяных знаков, логотипов на документах.
- Классификатор поддерживает несколько языков. Автовыставление Красной метки (top secret), если в документе встречаются определенные слова на любых языках: секретно, таємниця, secret и т. д.
- Классификатор предоставляет помощь для выбора правильного уровня классификации перед отправкой или сохранением. В случае срабатывания более двух шаблонов, выводит окно подсказки пользователю с кнопкой по уровню метки — на выбор
- Актуальность информации. Понижение уровня метки с «критично» до «служебно» через определенный период времени
- Принудительная классификация. Ограничить пользователя в возможности совершать документооборот файлами без меток или, как минимум, затребовать выставление метки публично
Решение такого класса можно интегрировать с DLP (например, Digital Guardian), SIEM-системами, Firewall L7 и DRM. Такой комплексный подход обеспечивает дополнительную защиту для конфиденциальной информации и существенно снижает false-positive срабатывания.
Выводы
Благодаря тому, что сами авторы файлов задействованы в поддержании безопасности, бизнесу удается сохранить конфиденциальную информацию и не поставить на паузу важные процессы. Сотрудники не могут переложить всю ответственность на ИБ-департамент, так как оказываются сами вовлечены в процесс защиты файлов.
Конечно, это не весь путь, который необходимо пройти бизнесу для эффективной защиты данных. Пользовательская классификация — это только его начало.
