Co obejmuje chmurowy DLP
Chmurowy DLP stosuje podstawowe zasady ochrony danych przed utratą, czyli wykrywanie treści, monitorowanie i egzekwowanie polityk, do danych przechowywanych w usługach chmurowych lub przez nie przesyłanych. Dotyczy to platform do przechowywania i synchronizacji plików, pakietów do współpracy oraz usług udostępniania plików.
Ryzyko działa w dwóch kierunkach. Wrażliwe dane mogą trafić do usług chmurowych, zwłaszcza z prywatnych lub nieautoryzowanych kont. Dane już zapisane w chmurze mogą też zostać nadmiernie udostępnione lub ujawnione, na przykład przez publiczny link.
Trzy punkty integracji
Kanały chmurowe są objęte trzema punktami integracji i każdy z nich widzi dane w innym stanie. Najbliżej użytkownika działa DLP dla punktów końcowych, bezpośrednio na urządzeniu.
| Punkt integracji | Co sprawdza | Przykład |
|---|---|---|
| Oparty na API | Pliki przechowywane na platformach chmurowych (dane w spoczynku) | Numery kart w arkuszu kalkulacyjnym |
| Kontrola w linii | Ruch do chmury przez bramę (dane w transmisji) | Przesyłanie sprawdzane przed opuszczeniem organizacji |
| Agenty punktów końcowych | Transfery na urządzeniu, u źródła | Transfer z laptopa w domowej sieci Wi-Fi |
Jak obsługiwane jest zablokowane przesłanie
W każdym z trzech przypadków wykrywanie opiera się na analizie treści: słowniki słów kluczowych i tezaurusy, dopasowanie wzorców identyfikatorów, dokładne dopasowanie plików po skrócie, odciski cyfrowe dokumentów i etykiety klasyfikacji. Każda uruchomiona reguła przechodzi tę samą ścieżkę:
- 1
Wykrycie
Analiza treści przypisuje plik do reguły, zanim transfer zostanie ukończony.
- 2
Decyzja
Polityka wybiera blokadę, kwarantannę, zapis w dzienniku lub alert.
- 3
Komunikat
Użytkownik widzi wiadomość wyjaśniającą, dlaczego transfer nie przeszedł.
- 4
Zapis
Zdarzenie zostaje zapisane z użytkownikiem, usługą, klasyfikacją treści i wykonaną akcją.
Dlaczego korzystanie z chmury wymaga osobnych kontroli
Korzystanie z chmury tworzy cztery rodzaje ekspozycji i każda wymaga osobnej kontroli. Najczęściej niedoceniany jest shadow IT, bo prywatne konta leżą poza wszystkimi systemami firmy.
| Ryzyko | Co oznacza |
|---|---|
| Shadow IT | Pracownicy przenoszą dane służbowe przez prywatne konta, których monitoring sieci nie widzi |
| Odpowiedzialność współdzielona | Dostawca zabezpiecza infrastrukturę. Treść plików pozostaje po stronie klienta. |
| Rozproszenie | Kopie na dyskach, w przestrzeniach współdzielonych i kopiach zapasowych poszerzają ekspozycję |
| Aplikacje zewnętrzne | Aplikacje połączone przez OAuth mogą odczytywać dane firmowe w chmurze bez żadnego transferu pliku |
Typowe scenariusze
Trzy sytuacje pokazują, jak kontrole działają w praktyce:
- Inżynier przesyła bazę danych klientów na prywatne konto w chmurze. Analiza treści blokuje przesłanie, zanim się zakończy.
- Poufna umowa leży na firmowym dysku z publicznym ustawieniem „każdy, kto ma link”. Skan danych w spoczynku ją znajduje.
- Odchodzący pracownik synchronizuje hurtowo foldery projektów na zewnętrzny dysk w chmurze. Transfer zostaje oznaczony jako eksfiltracja danych.
Jak to wygląda w Anexet
Dostęp, audyt i kopia cienia ustawiane są osobno dla każdej usługi chmurowej w profilu agenta. Listę wersji webowych objętych przechwytywaniem konfiguruje się na osobnej karcie.
1 / 2
Od czego zacząć
Zacznij od danych, których wyciek wyrządziłby największą szkodę, a potem przejdź do usług chmurowych, z których pracownicy faktycznie korzystają. Reguły napisane od razu dla wszystkich usług kończą blokadą zwykłej pracy i zostają wyłączone. Lepiej zacząć od kontroli przesyłania do chmury na kilku kanałach niż na wszystkich naraz.
Jeśli polityka ma obejmować dane wrażliwe, wdrożenie lokalne utrzymuje reguły, przechwyconą treść i logi w infrastrukturze firmy.
Czytaj dalej: Systemy DLP — czym są i jak działają; Jak kupić system DLP?.
Dane z chmury rzadko wyciekają jednym ruchem. Wyciekają seriami zwykłych przesłań, z których każde wygląda niegroźnie.
Anexet TeamJak rozwiązuje to Anexet
Anexet obejmuje kanały chmurowe przez agenty na punktach końcowych oraz integrację ICAP. Te same reguły uwzględniające treść, które kontrolują pocztę, sieć i nośniki wymienne, działają także dla magazynów plików i usług udostępniania.
Ponieważ Anexet działa lokalnie, reguły wykrywania, przechwycona treść i logi audytu są przetwarzane i przechowywane w infrastrukturze organizacji. Wrażliwe dane nie trafiają do zewnętrznego dostawcy DLP do analizy.
Pokrycie magazynów w chmurze
monitorowanie i kontrola transferów do i z usług takich jak Box, Dropbox, Google Drive, OneDrive, SharePoint, MEGA, ownCloud, Nextcloud, WeTransfer i Amazon S3.
Agenty na punktach końcowych jako główny punkt kontroli
agenty na monitorowanych stacjach sprawdzają przesyłanie do chmury u źródła, także transfery omijające sieć firmową.
Wykrywanie oparte na treści
ten sam silnik klasyfikacji, tezaurusy bezpieczeństwa, banki skrótów, odciski cyfrowe i etykiety czułości. Decyzja zależy od tego, co zawiera plik, a nie tylko od usługi docelowej.
Egzekwowanie polityk i ślad audytu
polityka może zablokować transfer, objąć go kwarantanną, zapisać go w dzienniku lub wysłać alert. Każde zdarzenie rejestruje użytkownika, usługę, klasyfikację treści i wykonaną akcję.
Anexet DLP
Dowiedz się więcej