Systemy DLP pomagają zapobiegać przypadkowemu lub celowemu wyciekowi wrażliwych danych poza firmę.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie systemu DLP oraz ustawienie reguł chroniących przed niekontrolowanym wypływem danych z firmy.

Dla kogo ma sens

Usługa jest przydatna dla firm przetwarzających wrażliwe dane, którym zależy na dodatkowej warstwie ochrony przed ich wyciekiem.

Ile to trwa

Konfiguracja systemu DLP mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Czym jest system DLP i mechanizmy identyfikacji informacji

System DLP (Data Loss Prevention, czyli system zapobiegania utracie i wyciekom danych) to zestaw narzędzi programowych oraz reguł bezpieczeństwa, których głównym zadaniem jest monitorowanie, wykrywanie oraz blokowanie nieautoryzowanego kopiowania, przesyłania i publikowania poufnych informacji firmowych. W nowoczesnym środowisku informatycznym dane przetwarzane są na wielu urządzeniach jednocześnie, co stwarza ryzyko ich nieumyślnego przesłania na prywatną skrzynkę pocztową lub celowego skopiowania przez pracownika na zewnętrzny nośnik pamięci.

Oprogramowanie DLP opiera swoje działanie na ciągłej analizie strumieni danych pod kątem określonych wzorców i reguł logicznych. Do najważniejszych mechanizmów identyfikacji wrażliwych treści należą:

Wyrażenia regularne (regex, czyli formuły logiczne służące do wyszukiwania ciągów znaków o z góry określonej strukturze matematycznej, takich jak numery PESEL, NIP, REGON, numery dowodów osobistych czy numery kart płatniczych).
Słowniki pojęć branżowych i słów kluczowych (bazy terminów zawierające nazwy wewnętrznych projektów, oznaczenia klauzul poufności, frazy z umów handlowych lub specyfikacje techniczne).
Cyfrowe odciski palców dokumentów (tzw. file fingerprinting lub hashowanie, czyli tworzenie unikalnych sum kontrolnych dla całych plików lub ich fragmentów, co pozwala na wykrycie nawet częściowo zmodyfikowanego dokumentu).
Optyczne rozpoznawanie znaków (OCR, czyli technologia Optical Character Recognition, pozwalająca silnikowi DLP na odczytanie i zanalizowanie tekstu znajdującego się na zrzutach ekranu, fotografiach dokumentów oraz skanach PDF).
Klasyfikacja metadanych (badanie etykiet poufności nadanych plikom pakietu biurowego lub systemów zarządzania dokumentami).

W strukturze bezpieczeństwa wyróżnia się trzy podstawowe stany, w jakich mogą znajdować się dane w przedsiębiorstwie. Pierwszy stan to dane w spoczynku (data at rest), czyli pliki zapisane na dyskach twardych komputerów stacjonarnych, laptopów, macierzy dyskowych i serwerów bazodanowych. Drugi stan to dane w ruchu (data in motion lub data in transit), czyli informacje przesyłane przez sieć lokalną i internet za pośrednictwem poczty elektronicznej, protokołów transferu plików lub przeglądarek stron internetowych. Trzeci stan to dane w użyciu (data in use), czyli informacje aktualnie otwarte przez użytkownika, kopiowane do schowka systemowego, drukowane lub wyświetlane na monitorze.

Warianty wdrożeniowe systemów ochrony przed wyciekiem danych

W zależności od architektury sieciowej oraz struktury urządzeń w przedsiębiorstwie stosuje się odmienne warianty systemów DLP lub łączy się je w spójny model hybrydowy.

Podstawowym i najczęściej stosowanym rozwiązaniem jest DLP na urządzeniach końcowych (endpoint DLP). W tym modelu na każdym laptopie, komputerze stacjonarnym lub serwerze instalowany jest agent DLP (niewielki program rezydentny działający w tle systemu operacyjnego). Agent ten kontroluje wszystkie operacje wejścia i wyjścia realizowane na komputerze. Zaletą tego wariantu jest pełna ochrona również wtedy, gdy pracownik wykonuje swoje obowiązki poza biurem, na przykład podczas pracy zdalnej w domu lub w trakcie podróży służbowej bez połączenia z firmową siecią VPN.

Drugim wariantem jest sieciowy system DLP (network DLP). Rozwiązanie to instalowane jest na brzegu sieci firmowej lub integrowane z bramą sieciową i serwerami pocztowymi. System ten analizuje cały wychodzący ruch sieciowy, w tym nieszyfrowany i deszyfrowany ruch przeglądarek oraz korespondencję e-mail. Zaletą tego podejścia jest brak konieczności instalowania oprogramowania na każdym stanowisku, jednak ochrona działa wyłącznie wtedy, gdy ruch przechodzi przez fizyczną infrastrukturę sieciową biura.

Trzeci wariant stanowi chmurowy system DLP (cloud DLP), który integruje się bezpośrednio z usługami pracy grupowej, takimi jak Microsoft 365 czy Google Workspace. Umożliwia on monitorowanie współdzielenia dokumentów w chmurze, wykrywanie publicznie udostępnionych folderów na dyskach OneDrive lub Google Drive oraz kontrolowanie uprawnień do edycji i pobierania plików poza organizację.

Kontrolowane kanały i nośniki w konfiguracji DLP

Prawidłowo skonfigurowany system DLP zabezpiecza wszystkie potencjalne drogi, którymi informacje mogłyby opuścić firmowe środowisko informatyczne. Podczas wdrożenia definiuje się reguły dla poszczególnych kanałów komunikacyjnych:

Zewnętrzne nośniki pamięci masowej (pamięci pendrive USB, zewnętrzne dyski twarde, karty pamięci SD). Konfiguracja może całkowicie blokować podłączanie nieautoryzowanych urządzeń, zezwalać wyłącznie na odczyt danych (tryb read-only) lub wymuszać automatyczne szyfrowanie każdego zapisywanego na nich pliku. Stosuje się również białe listy urządzeń (whitelisting) oparte na unikalnych numerach seryjnych dopuszczonych pamięci służbowych.
Poczta elektroniczna (programy klienckie Microsoft Outlook, Mozilla Thunderbird oraz poczta przez przeglądarkę webmail). Reguły weryfikują treść wiadomości, załączniki tekstowe, arkusze kalkulacyjne oraz skompresowane archiwa ZIP lub RAR, blokując wysyłkę plików zawierających bazy danych lub dane osobowe na adresy prywatne.
Przeglądarki internetowe i usługi transferu plików (dyski chmurowe, serwery FTP oraz platformy szybkiej wymiany plików). System uniemożliwia przeciąganie i upuszczanie dokumentów firmowych w oknach przeglądarki na nieautoryzowane witryny.
Komunikatory biznesowe i aplikacje do wideokonferencji (Microsoft Teams, Slack, Skype). Filtrowanie zapobiega wklejaniu poufnych fragmentów kodu lub zestawień finansowych w oknach czatu.
Fizyczne i wirtualne drukarki. Ograniczenie możliwości drukowania poufnych zestawień na drukarkach lokalnych lub zapisywania ich do plików PDF w celu obejścia zabezpieczeń.
Schowek systemowy i zrzuty ekranu. Blokada operacji kopiuj i wklej (copy-paste) pomiędzy aplikacją firmową a programem prywatnym oraz blokowanie funkcji klawisza Print Screen w oknach zawierających poufne dane.

Integracja z oprogramowaniem firmowym i bazami danych

Wdrożenie systemu DLP w przedsiębiorstwie wymaga ścisłego powiązania reguł ochronnych z faktycznie wykorzystywanym oprogramowaniem użytkowym i bazami danych. Systemy DLP są konfigurowane w taki sposób, aby rozpoznawać i chronić specyficzne formaty plików generowane przez systemy zarządzania przedsiębiorstwem (ERP) oraz programy księgowo-kadrowe.

Ochroną obejmowane są pliki raportów, zestawień księgowych, deklaracji podatkowych oraz struktur bazodanowych pochodzących z systemów takich jak InsERT GT oraz InsERT nexo (w tym moduły Subiekt, Rewizor, Rachmistrz, Gratyfikant, Gestor i Biuro), Comarch ERP Optima, WAPRO ERP (moduły Mag, Fakturka, Fakir, Kaper, Gang), Sage Symfonia, enova365 oraz program Płatnik ZUS.

Konfiguracja obejmuje nadzorowanie eksportów danych do formatów arkuszy kalkulacyjnych (XLS, XLSX, CSV), plików tekstowych, dokumentów PDF oraz jednolitych plików kontrolnych (JPK). Dodatkowo tworzone są reguły zabezpieczające pliki kopii zapasowych baz danych Microsoft SQL Server (pliki z rozszerzeniem BAK), które zawierają kompletną historię transakcji, dane teleadresowe kontrahentów oraz cenniki hurtowe. Dostęp do tych zasobów i możliwość ich kopiowania są ściśle ograniczane wyłącznie do wyznaczonych administratorów i autoryzowanych skryptów serwisowych.

Etapy wdrażania polityk DLP i unikanie przerw w pracy firmy

Wdrożenie systemu DLP nie powinno być procesem gwałtownym, ponieważ zbyt restrykcyjne reguły uruchomione bez wcześniejszego przygotowania mogą całkowicie sparaliżować bieżącą pracę działów handlowych, logistycznych lub księgowych. Prawidłowa procedura wdrożeniowa realizowana jest etapowo:

Pierwszym krokiem jest audyt i inwentaryzacja zasobów. Na tym etapie identyfikowane są miejsca składowania kluczowych danych, formaty plików wykorzystywane przez pracowników oraz typowe kanały komunikacji z klientami i dostawcami.

Drugim krokiem jest uruchomienie systemu w trybie cichym (tzw. tryb audytu lub stealth mode). Agenci DLP rejestrują wszystkie operacje na plikach i przesyłanie informacji, ale nie blokują żadnych działań użytkowników. Pozwala to administratorom na zebranie danych o rzeczywistym przepływie informacji w firmie oraz na zidentyfikowanie fałszywych alarmów (false positives), czyli sytuacji, w których standardowa i w pełni legalna operacja biznesowa zostałaby uznana przez automat za próbę naruszenia bezpieczeństwa.

Trzecim krokiem jest tryb powiadomień i edukacji użytkowników (notification mode). W momencie próby wykonania czynności niezgodnej z polityką, na ekranie pracownika pojawia się komunikat z ostrzeżeniem oraz prośbą o potwierdzenie operacji lub podanie uzasadnienia biznesowego. Buduje to świadomość bezpieczeństwa wśród personelu bez natychmiastowego przerywania procesów.

Czwartym krokiem jest wprowadzenie trybu ścisłego egzekwowania (enforcement mode / blocking mode). System automatycznie blokuje nieautoryzowane próby skopiowania danych, rejestruje zdarzenie w dzienniku audytowym (logach systemowych) i wysyła powiadomienie do wyznaczonych osób odpowiedzialnych za bezpieczeństwo IT w firmie.

Najczęstsze błędy przy samodzielnej konfiguracji systemów DLP

Samodzielne próby konfiguracji oprogramowania DLP przez osoby bez odpowiedniego doświadczenia w administracji bezpieczeństwem często prowadzą do poważnych problemów operacyjnych lub pozornej ochrony. Do najczęściej spotykanych błędów należą:

Zastosowanie zbyt rygorystycznych reguł blokujących od pierwszego dnia wdrożenia. Skutkuje to zablokowaniem wysyłki faktur do kontrahentów, niemożnością przesłania ofert handlowych czy problemami z generowaniem raportów bankowych, co wywołuje frustrację pracowników i zaburza funkcjonowanie firmy.

Tworzenie zbyt ogólnych reguł wyszukiwania danych. Przykładowo, proste wyszukiwanie dowolnego ciągu jedenastu cyfr jako numeru PESEL, bez weryfikacji matematycznej sumy kontrolnej, generuje setki fałszywych alarmów przy przesyłaniu numerów seryjnych urządzeń, kodów kreskowych produktów czy numerów katalogowych części.

Brak weryfikacji zawartości archiwów skompresowanych i zabezpieczonych hasłem. Użytkownicy mogą nieświadomie lub celowo spakować poufne arkusze do pliku ZIP lub 7z i zabezpieczyć je prostym hasłem. Jeśli system DLP nie zostanie skonfigurowany do blokowania lub kwarantanny nieczytelnych, zaszyfrowanych archiwów wychodzących z organizacji, stanowi to prostą ścieżkę do ominięcia ochrony.

Pominięcie urządzeń mobilnych i stacji pracujących w trybie offline. Brak odpowiedniej konfiguracji agentów lokalnych sprawia, że po odłączeniu kabla sieciowego lub wyłączeniu karty Wi-Fi pracownik ma pełną swobodę w kopiowaniu plików na prywatne nośniki, a zdarzenia te nie są nigdzie odnotowywane.

Brak procedury zarządzania incydentami i wyjątkami biznesowymi. Jeśli system zablokuje pilną wysyłkę dokumentów w relacji z instytucją państwową lub bankiem, a w firmie nie ma ustalonej ścieżki szybkiego zgłoszenia i zatwierdzenia wyjątku przez osobę uprawnioną, dochodzi do opóźnień mogących narazić przedsiębiorstwo na straty finansowe.

Rozróżnienie systemu DLP od innych narzędzi bezpieczeństwa IT

System DLP jest wyspecjalizowanym narzędziem, które stanowi jeden z elementów wielowarstwowej architektury bezpieczeństwa. Nie zastępuje on innych technologii, lecz ściśle z nimi współpracuje:

DLP a program antywirusowy i system EDR (Endpoint Detection and Response, czyli system wykrywania i reagowania na zagrożenia na punktach końcowych). Program antywirusowy koncentruje się na wykrywaniu złośliwego kodu, trojanów, wirusów i oprogramowania szantażującego (ransomware) próbującego dostać się do systemu z zewnątrz. System DLP skupia się natomiast na ochronie danych wychodzących z firmy, analizując zachowania zalogowanych użytkowników i autoryzowanych aplikacji.

DLP a pełne szyfrowanie dysków (na przykład moduł BitLocker w systemie Windows). Szyfrowanie dysku chroni dane przed odczytem w przypadku fizycznej kradzieży całego komputera lub wyjętego dysku twardego. Nie chroni jednak w żaden sposób przed wysłaniem plików przez zalogowanego pracownika pracującego na uruchomionym i odblokowanym komputerze. Do tego celu niezbędny jest właśnie system DLP.

DLP a zapora sieciowa (firewall). Zapora sieciowa filtruje pakiety danych na podstawie adresów IP, portów i protokołów komunikacyjnych, blokując nieautoryzowane połączenia sieciowe. Nie analizuje jednak semantycznej zawartości legalnie przesyłanych dokumentów PDF lub arkuszy kalkulacyjnych wysyłanych przez dozwolony port pocztowy lub protokół HTTPS.

DLP a kopia zapasowa (backup). Kopia zapasowa służy do przywrócenia ciągłości działania i odtworzenia danych po awarii sprzętowej, uszkodzeniu macierzy RAID lub ataku szyfrującym. Kopia zapasowa nie powstrzymuje jednak pracownika przed skopiowaniem bazy klientów na prywatny nośnik USB.

Pytania i odpowiedzi dotyczące systemów DLP

Czy wdrożenie systemu DLP wpływa na wydajność komputerów i laptopów pracowników?

Prawidłowo dobrany i skonfigurowany agent DLP działa w tle jako usługa systemowa o niskim priorytecie procesora i zużywa znikome zasoby pamięci RAM. Inspekcja plików odbywa się w ułamkach sekund podczas operacji zapisu lub transmisji sieciowej. Odpowiednia optymalizacja reguł oraz wykluczenie z głębokiego skanowania bezpiecznych procesów systemowych i bazodanowych zapobiega odczuwalnemu spowolnieniu codziennej pracy na stacjach roboczych.

Czy po wdrożeniu DLP pracownicy nadal mogą korzystać ze służbowych pamięci USB?

Tak, konfiguracja systemu pozwala na precyzyjne określenie uprawnień. Zamiast całkowitej blokady portów USB stosuje się najczęściej białą listę autoryzowanych pamięci firmowych, identyfikowanych po unikalnym numerze seryjnym kontrolera. Możliwe jest również wymuszenie automatycznego szyfrowania każdego pliku przenoszonego na pamięć zewnętrzną lub ograniczenie uprawnień do trybu tylko do odczytu, co pozwala na otwieranie materiałów szkoleniowych z pendrive'a bez możliwości zgrania na niego bazy kontrahentów.

W jaki sposób DLP radzi sobie z plikami spakowanymi w archiwach ZIP lub RAR?

Silniki DLP posiadają wbudowane mechanizmy dekompresji w locie. Podczas próby wysłania załącznika archiwum jest tymczasowo rozpakowywane w bezpiecznym buforze pamięci podręcznej, a każdy zawarty w nim plik jest indywidualnie sprawdzany pod kątem obecności wrażliwych danych. W przypadku archiwów zabezpieczonych hasłem, których system nie jest w stanie otworzyć, stosuje się regułę kwarantanny lub blokady do czasu weryfikacji przez administratora.

Czy ochrona DLP działa, gdy laptop służbowy nie jest podłączony do sieci firmowej ani internetu?

Tak, w wariancie endpoint DLP agent zainstalowany lokalnie w systemie Windows przechowuje bazę aktywnych reguł bezpośrednio na dysku twardym komputera. Wszystkie operacje kopiowania na nośniki wymienne, próby użycia schowka systemowego czy drukowania są kontrolowane i egzekwowane w czasie rzeczywistym w trybie offline. Informacje o wszelkich próbach naruszenia zasad są zapisywane w lokalnym, zaszyfrowanym dzienniku zdarzeń i automatycznie synchronizowane z serwerem zarządzającym przy najbliższym połączeniu z siecią.

Czy system DLP chroni dane przed wysyłaniem ich z prywatnych kont pocztowych otwieranych w przeglądarce?

Tak, agent DLP monitoruje procesy przeglądarek internetowych oraz ruch sieciowy na poziomie stosu sieciowego systemu operacyjnego. W momencie, gdy użytkownik próbuje dołączyć plik firmowy jako załącznik w serwisie poczty prywatnej, przesłać go na publiczny dysk internetowy lub wkleić wrażliwy tekst ze schowka w pole formularza na stronie internetowej, mechanizm inspekcji zawartości wykrywa chronioną treść i natychmiast blokuje transfer.

Profesjonalna konfiguracja i bieżący nadzór nad bezpieczeństwem danych

Wdrożenie systemu zapobiegania wyciekom danych (DLP) to proces wymagający starannego zaplanowania, precyzyjnego dostosowania reguł do specyfiki procesów biznesowych oraz ciągłego monitorowania generowanych zdarzeń. Nasz zespół realizuje usługi wdrożeniowe, audytowe oraz konfiguracyjne bezpośrednio w siedzibie klienta na terenie Warszawy oraz okolicznych powiatów. Bezpośrednia wizyta serwisowa w środowisku operacyjnym przedsiębiorstwa pozwala na dokładną weryfikację infrastruktury sieciowej, konfigurację agentów na stacjach roboczych i laptopach oraz bezpieczne zintegrowanie reguł DLP z systemami ERP, bazami danych SQL i oprogramowaniem biurowym.

22 378 48 09

Konfiguracja i zarządzanie systemami DLP (zapobieganie wyciekom danych)