Главная мысль
Определите категории данных и владельцев; настройте обнаружение, оповещения, блокировку и исключения для каждого канала на основе испытаний.
Определите данные
Опишите классы данных, требующих защиты: платёжные и идентификационные сведения, финансовые записи, чертежи и исходный код. Создайте правила классификации по примерам и контексту; назначьте владельца, допустимую цель и место хранения для каждого класса. Без такой карты DLP может блокировать лишнее или пропускать чувствительные данные. Настраивайте классификацию на синтетических образцах или примерах с удалёнными конфиденциальными фрагментами.
Управляйте конечными устройствами
Сначала проверьте поддержку ОС, устройств, приложений и действий конкретным продуктом. Агент на поддерживаемом управляемом устройстве может классифицировать содержимое и применять правила к печати, USB и передаче в приложения; возможности для телефонов и серверов различаются. Единое управление устройствами может вести инвентаризацию и устанавливать исправления, но эти функции не означают, что сама DLP выполняет обновления. Определите границы охвата и ответственных для личных и отключённых устройств.
Отслеживайте сеть и точки передачи
Сетевая DLP может обнаруживать классифицированные данные в почте, веб-трафике и файловых передачах, фиксируя отправителя и получателя. Составьте карту каналов выхода из сети и границ анализа зашифрованного трафика с учётом требований приватности и закона. Определите, как команда будет оценивать и эскалировать оповещения.
Контролируйте облачные сервисы
Проверяйте новые файлы, ссылки общего доступа, токены приложений и широкие группы доступа в SaaS и облачном хранилище. При обнаружении чувствительного содержимого используйте утверждённую реакцию: уведомите владельца, ограничьте обмен или потребуйте шифрование. Выясните, какие объекты видны через API сервиса и какова задержка синхронизации. Сканирование через API может запаздывать; доступ к объекту не означает блокировку до загрузки. Для инвентаризации токенов и проверки разрешений назначьте отдельные средства управления идентификацией и облачной средой.
Внедряйте правила поэтапно
Сначала включите режим обнаружения, чтобы понять нормальные процессы и ложные совпадения. Затем постепенно добавляйте блокировку и согласование для чётко определённых высокорисковых случаев. У каждого исключения должны быть владелец и срок; изменения политики фиксируйте. Убедитесь, что необходимые передачи файлов работают, а команда реагирования получает оповещения.
Классифицируйте данные
Составьте перечень данных и каналов; владелец процесса подтвердит категории и синтетические тестовые образцы.
Наблюдайте без блокировки
В режиме мониторинга или симуляции проверьте разрешённые и запрещённые потоки; ответственный за правила подтвердит доставку событий.
Настройте правила
Разберите ложные совпадения и разрешённые рабочие процессы; для исключений задайте причину, ответственного и срок окончания.
Включите блокировку в выбранных каналах
Согласуйте поэтапную блокировку, откат и адресата оповещений; проверьте, что обычная работа продолжается.
Свяжите обнаружение угроз с потоками данных
Свяжите события DLP с журналами устройств, сети и облака: кто просматривал файл, какой процесс его переместил и куда он был передан. Используйте проверенные сведения об угрозах и базовую линию нормальной активности для приоритизации аномалий, не считая автоматическую классификацию заменой расследованию специалиста. Назначьте владельца оповещения, порядок эскалации и действия по восстановлению данных. Проверяйте отдельно события правил DLP, поведенческие сигналы EDR и восстановление; одна DLP не гарантирует предотвращения атак программ-вымогателей.