Sokszínű adatvédelem

Néha nem szükséges drákói szabályokat hozni, egy egyszerű bejelentés is radikálisan csökkentheti az adatvédelmi riasztások számát. Hogyan? Olvasd el esettanulmányunkat!

Egy hazai cég adatvédelmi, adatszivárgással kapcsolatos DLP-projektet indított. Első lépésként azonban nem az adatvagyon felmérését tűzték ki célul (ahol nem mellesleg a hazai DLP bevezetések fele megakad…), hanem az úgynevezett „tartalom átjárót” (content gateway) helyezték üzembe, és bekapcsolták a monitorozást pár egyszerűen azonosítható, érzékeny adatra. 

Jöttek is szépen a riasztások, majd pár hétnyi finomhangolás után a csapat úgy döntött, ideje bejelenteni a szervezetnek a rendszerfejlesztéssel kapcsolatos terveket. A bejelentés után – a korábbi csendes időszakhoz képest – a felére esett a riasztások száma. Azaz pusztán a ténytől, hogy cég elkezdte monitorozni (és még nem blokkolni) bizonyos típusú adatok mozgását, az alkalmazottak sokkal biztonságtudatosabbá (óvatosabbá?) váltak. Mindezt anélkül, hogy a napi folyamataikra, munkavégzésükre a közvetlen technológiai kontroll hatással lett volna, a munkájuk „egy centivel” sem lett kényelmetlenebb. Egyszerűen az a tudat, hogy lehet, hogy helytelenül járnak el, nagyobb figyelemre és mérlegelésre késztette őket.

Második lépés: figyelmeztetés

A második lépés egy egyszerű figyelmeztető üzenet élesítése volt. Amikor a felhasználó a céges előírások alapján érzékenynek minősített adathoz akart hozzáférni, illetve mozgatni (például könyvtárak között vagy e-mailben csatolni), csupán annyit kérdezett tőle a rendszer: tudatában van-e annak, hogy amit tesz, az esetleg nem helyes? A riasztások száma ismét a felére esett vissza az előző időszakhoz képest.

Ezen lépések erősen lecsökkentették az egész projekt bevezetési idejét, pontosan körülhatárolható lett, hogy melyek az igazán fontos adatok, illetve kik és hogyan használják azokat.

A Forcepoint DLP-rendszere (kifelé mozgó adatok szűrése) mind a bevezetés alatt, mind pedig éles üzemmódban kézenfekvő eszközöket adott a technológiai kontroll és a humán oldal, vagyis a felhasználói biztonságtudatosság fokozatos finomítására. Ráadásul remekül integrálható egy közös menedzsment felület alatt a befelé mozgó adatok két legfontosabb csatornáját védő web- és e-mail-szűrő megoldásokkal, amivel egyenszilárdságú vállalati adatházirendet lehet kialakítani.

A hazai közvélekedéssel ellentétben egy ilyen projekt beindítása és az első eredmény megjelenése sem időben, sem anyagi ráfordításban nem nagy teher. Ha nem a millió tanácsadói napot felemésztő adatvagyonleltár-metódus kialakításán, és a szükséges(?) vonatkozó – és tegyük hozzá, az esetek nagy százalékában tökéletesen erőltetett és művi – adatgazdai feladatkörök meghatározásával töltjük az időt, hanem a konkrét „vérzés” elállítására fordítjuk az energiáinkat, sokkal gyorsabban védettebbé válhatunk.

A blogbejegyzés az IT Business cikkének átdolgozott változata.