Главная мысль
Дополняйте многоуровневый контроль данных, пользователей, устройств и каналов согласованным расследованием и реагированием.
Составьте карту путей вывода данных
Личная почта и облачное хранилище, FTP и загрузки в сторонние сервисы, USB и другие съёмные носители — пути передачи. Чрезмерно привилегированные аккаунты являются риском доступа, облегчающим вывод данных, а не отдельным каналом. Составьте карту активов, владельцев данных и утверждённых каналов.
Изучайте подозрительное поведение
Оценивайте вместе чувствительность данных, роль пользователя, устройство, адрес назначения, объём и время передачи. Необычный трафик — сигнал для расследования, а не доказательство кражи. Учитывайте штатные рабочие задачи и множество небольших передач наряду с одной крупной.
Минимальные права и утверждённые каналы
Классифицируйте данные, предоставляйте только необходимые для работы права и контролируйте носители и сервисы. Согласуйте в организации правила мониторинга и доступа, назначьте ответственных за исключения. Обучайте сотрудников разрешённому обмену и порядку сообщения о подозрительной передаче.
Облако, удалённая работа и план реагирования
Заранее определите разрешённые сервисы, места хранения журналов, ответственных за исключения и контакты при инциденте. Разрешённый удалённый доступ сам по себе не является инцидентом. При подозрении следуйте согласованному процессу: по возможности сохраняйте сведения параллельно с ограничением передачи, не откладывая срочные меры.
Сообщите команде реагирования
Сообщите о предполагаемой передаче и известном контексте через утверждённый канал.
Ограничьте дальнейшую передачу
Уполномоченные специалисты оценивают ситуацию и применяют подходящие ограничения аккаунтов, сеансов, общего доступа или сети.
Сохраните сведения
Сохраните соответствующие журналы, время, идентификаторы и записи о действиях по утверждённому порядку работы с доказательствами.
Оцените последствия
Вместе с владельцем данных определите затронутые сведения и получателей, затем выберите дальнейшие действия по процедурам реагирования.