Como comprar um sistema DLP?

A segurança da empresa, inclusive a da informação, é um tema de estudo à parte. Para muitos gestores é uma questão dolorosa, já que a escolha final da estratégia, das ferramentas de execução e a elaboração de todo o programa de política de SI na empresa consomem muitos recursos, tanto de mão de obra quanto financeiros. No entanto, essa tarefa não deve ser subestimada. Não é raro que uma empresa tenha sofrido prejuízos enormes por não ter conseguido montar uma estrutura elementar de Segurança da Informação. Hoje, em um artigo dos analistas da Anexet, examinamos uma das soluções mais populares para o negócio: o sistema DLP, e vemos como comprá-lo.

O que é um sistema DLP

O sistema DLP é uma ferramenta de software específica que faz parte de um conjunto de medidas para garantir a SI da empresa, oferece segurança ao tráfego interno de informações e ocupa uma das posições de destaque no perímetro geral de segurança do negócio.

Esse tema é bastante relevante para todas as organizações, independentemente do seu porte e das particularidades do seu trabalho. Em todo lugar existe uma parcela de dados confidenciais que exige proteção contra influências externas, em todo lugar existem ameaças à segurança desses dados vindas tanto de fora quanto de dentro da empresa, em todo lugar existe um percentual de negligência no tratamento das informações, o que pode gerar perdas materiais e reputacionais palpáveis. Os sistemas DLP modernos resolvem muitos problemas concretos e atuais do negócio, por isso consideramos este tema útil.

Não importa quão coloridas sejam as descrições na apresentação do produto ao usuário final: neste caso a empresa se interessa pela parte prática, ou seja, quais problemas e pontos críticos o sistema DLP será capaz de resolver.

Proteção de dados

Essa é, sem dúvida, uma das principais funções do sistema. Todo o seu trabalho é voltado a impedir vazamentos de informações confidenciais para fora do perímetro de segurança da informação da empresa, por qualquer que seja o motivo.

Combate a insiders

O sistema rastreia ações-gatilho no fluxo de informações e avisa o especialista em segurança sobre elas. Pode ser a cópia deliberada de arquivos confidenciais, a movimentação de documentos com marcações de confidencialidade, o envio de fotos de documentos para redes sociais e outras situações. Os sistemas DLP investigam as situações mais danosas e oferecem, com antecedência, um esquema de resposta para quando elas ocorrerem: avisar os funcionários responsáveis ou bloquear a ação. 

Criação de um arquivo das comunicações corporativas

Os sistemas DLP oferecem um arquivo atualizado, preciso e fácil de usar das comunicações corporativas, que guarda todas as informações e permite usá-las para análises.

Automatização e digitalização do trabalho dos funcionários do departamento de segurança da informação

Os sistemas DLP oferecem muitas opções de relatórios e de monitoramento de eventos dentro do perímetro de segurança. Isso melhora bastante a eficiência do departamento de SI e dos seus profissionais, minimiza o erro humano e aumenta a objetividade da avaliação.

Preservação da reputação e dos padrões de uma parceria confiável

A implantação de um sistema DLP eleva o nível geral de segurança dos dados na empresa, o que é visto pelos parceiros como um sinal positivo e um indicador de confiabilidade. Nesse caso, também diminuem os riscos de impacto negativo sobre os dados do próprio parceiro, a probabilidade de vazamento e a pressão de terceiros.

Monitoramento do desempenho e da lealdade dos funcionários

O estudo da segurança dos dados confidenciais da empresa dentro das funcionalidades de um sistema DLP está estreitamente ligado ao estudo da eficiência do uso do tempo pelos funcionários. Afinal, todo o fluxo de informações é personalizado: é sempre possível determinar quem enviou, o que, para onde e quando. Por isso, os desenvolvedores usam essas informações para monitorar os funcionários. Os sistemas DLP conseguem extrair dados sobre eficiência do trabalho, jornada de trabalho e atividade de rede, registrar e analisar todas as informações das contas pessoais usadas pelos funcionários durante o trabalho e muito mais. Também é possível usar a busca contextual para determinar a lealdade ou a deslealdade dos funcionários em relação à gestão e à empresa como um todo. 

Essa é apenas parte das tarefas que um sistema DLP resolve. O software é tão procurado simplesmente porque oferece análises e relatórios de alta qualidade com total liberdade de circulação dos dados.

Por que comprar um sistema DLP é um problema?

Por que a tarefa de comprar um sistema DLP parece inalcançável para tanta gente? Vamos analisar o problema mais de perto. 

Em primeiro lugar, não todas as empresas veem a insegurança dos dados como um problema. 

Por estranho que pareça, mesmo no século XXI, em plena digitalização dos negócios e com a máxima dependência de todos os processos em relação à internet, não são todos que avaliam de fato a necessidade da SI e da adoção de soluções modernas no negócio. O mesmo vale para as empresas que confiam na exclusividade dos seus serviços e que, por não terem concorrentes diretos, acreditam que concorrentes indiretos ou fraudadores da internet não vão prestar muita atenção ao seu negócio.

Em segundo lugar, os especialistas da empresa não estão sempre preparados para avaliar objetivamente as ofertas de software do mercado. 

Segundo alguns gestores responsáveis, esse processo exige certos custos (de tempo e financeiros) e decisões de pessoal já na etapa de seleção. No entanto, isso não é totalmente verdade. As empresas fornecedoras apresentam o seu produto com detalhe suficiente, fazem demonstrações, respondem a perguntas e lidam com objeções. O peso do treinamento no software recai sobre os ombros do fornecedor. E o mais importante: muitos desenvolvedores oferecem um período de teste, durante o qual as empresas podem avaliar na prática a utilidade do produto e da proposta.

Em terceiro lugar, as empresas podem ter objeções quanto ao respaldo jurídico do processo. 

A primeira objeção inconsciente dos clientes é: isso é legal? E não haverá consequências jurídicas de longo prazo para a empresa? Na verdade, as consequências da adoção de um sistema DLP são, ao contrário, positivas. O empregador tem o direito de avaliar a produtividade do funcionário, acompanhar o cumprimento das obrigações de trabalho e o respeito às escalas.
Ao mesmo tempo, os sistemas DLP ajudam a empresa a cumprir as exigências dos órgãos reguladores na área de proteção de dados pessoais (LGPD) no tratamento e no armazenamento de dados pessoais em Sistemas de Informação. 

Em quarto lugar, as empresas podem considerar apenas a defesa contra ameaças externas à segurança da informação, acreditando que isso é suficiente.

Esse também é um problema comum no processo de resolver a tarefa global de garantir a segurança da informação nas empresas. Em regra, as soluções mais divulgadas e populares são os softwares de proteção contra impacto externo (injeção de malware), mas ameaças internas de vazamento de dados e riscos de insiders também são possíveis dentro do perímetro geral de segurança.

Critérios para escolher um sistema DLP

Os critérios para escolher um sistema DLP podem ser divididos, de modo geral, em três grupos:

• pela reputação;

• pela funcionalidade;

• pelo atendimento pós-venda.

Pela reputação

O primeiro passo para conhecer um fornecedor de software é investigar a sua reputação. É preciso verificar se o fornecedor tem licenças para prestar serviços e certificados de conformidade com os padrões de qualidade adotados nessa área no país.

O segundo passo é olhar o histórico do fornecedor de software: há quanto tempo o desenvolvimento acontece, quais objetivos e valores corporativos a empresa defende, qual equipe de profissionais está envolvida no projeto. Isso vai ajudar você a entender que experiência o fornecedor tem na bagagem e se ele a materializa dentro do produto.

O terceiro passo é analisar a atividade social da empresa. As redes sociais hoje são o rosto da empresa, a sua voz. Por elas você descobre os planos da empresa, possíveis atualizações e lançamentos do software, o quanto o produto está presente no mercado internacional e na comunidade de desenvolvedores.

O quarto passo são as avaliações na internet, a análise da funcionalidade feita por usuários e especialistas independentes e a pesquisa dos rankings de software. Claro, hoje é prática difundida comprar avaliações, tanto positivas para o próprio produto quanto negativas para o concorrente. Ainda assim, também existem avaliações bastante informativas, que apontam de forma objetiva as falhas ou as vantagens do produto.

Funcionalidade

A funcionalidade é o ponto-chave de qualquer programa, especialmente se ele é usado em um tema sensível como a segurança da informação. O que é importante investigar na escolha de um sistema DLP?

Quais canais de interceptação de informações são oferecidos na versão?

É evidente que, quanto mais fontes houver, mais útil será a implantação. A solução ideal será aquela que combina fontes de tráfego web, redes sociais, mensageiros, serviços de e-mail e mais (tanto nas versões web quanto desktop). Os sistemas DLP também podem levar em conta o uso de mídias de armazenamento externas, impressoras locais e de rede e armazenamentos em nuvem. Além das fontes, também são importantes os formatos que o sistema consegue analisar. Por exemplo, será ineficaz analisar apenas o tráfego web nos protocolos HTTP/HTTPS, ignorando o tráfego SSL transmitido por protocolos criptografados. Ou deixar de analisar a cópia de documentos para mídias de armazenamento ao avaliar o compartilhamento geral de arquivos na rede.

Que tipo de análise é usado no sistema DLP?

Os sistemas DLP devem oferecer o mais alto nível de análise das informações captadas, independentemente do formato de transmissão, de circunstâncias externas e internas, de eventos, da conexão de dispositivos e de outros fatores. Por isso, os desenvolvedores buscam usar abordagens diferentes de análise. As mais utilizadas são a análise de conteúdo (por palavras e expressões nos dados transmitidos) e a análise de eventos (pela ocorrência de uma determinada ação, proibida ou monitorada). Tipos populares de análise de informações em sistemas DLP também são a estatística (por indicadores numéricos) e a de atributos (pela identificação dos atributos do arquivo, dos documentos e das informações que são transmitidos). Esse é um tema bastante amplo, que cada fornecedor explora à sua maneira, e quanto mais completo ele estiver no sistema, melhor.

Do ponto de vista do comprador, é necessário avaliar as necessidades reais que existem na empresa e como um fornecedor específico as atende.  Suponha que um sistema DLP do tipo clássico dê conta bem da análise de conteúdo, levando em conta várias fontes. No entanto, nas buscas são usadas apenas formas de escrita "corretas", e as tecnologias de análise linguística não levam em conta a característica humana de errar, de ter pressa, de abreviar, especialmente na comunicação informal. Alguns desenvolvedores entendem essa particularidade e oferecem análises com correção de erros gramaticais e de formas de palavras no texto.

Também é importante ser capaz de reconhecer documentos complexos, em que a análise de transmissão de texto e de imagem (impressão, foto) se combina. Por exemplo, pergunte ao fornecedor se o sistema dele consegue reconhecer a transmissão da foto de uma licença de atividade. Já uma empresa de web design, por exemplo, só vai querer comprar um sistema DLP se ele detectar a transmissão de gráficos vetoriais pelos canais de comunicação.

O sistema DLP tem meios de reagir rapidamente ao fato de uma informação ter sido transmitida?

Para os sistemas DLP, não basta apenas detectar a violação da segurança da informação: também é necessário oferecer uma ferramenta eficaz para conter essa ação, bloqueando a transmissão. Por exemplo, o sistema Anexet oferece a possibilidade de bloquear a transmissão de dados sob diversas condições:

• bloqueio por conteúdo (por texto, formas de palavras etc.);

• bloqueio por data e hora (transmissão de dados na data ou nas datas indicadas, no horário indicado);

• bloqueio pelo status do documento (atribuído no próprio sistema);

• bloqueio por endereço IP (de forma seletiva, para os IPs indicados);

• bloqueio por parâmetro do arquivo (com base nos atributos de arquivo selecionados);

• bloqueio por categoria de site (uma lista predefinida de sites) e outros tipos de bloqueio. 

Como funcionam os bloqueios? De forma bastante simples: todos os dados interceptados são conferidos com as regras de bloqueio predefinidas e, se houver correspondência, a informação é impedida de seguir adiante. Também é possível configurar previamente notificações aos usuários responsáveis para o caso de as políticas de segurança serem acionadas.

Preço e custo total de propriedade do sistema

É evidente que esse é um dos argumentos importantes. Os sistemas DLP modernos aplicam a solução atual da modularidade do sistema. Ou seja, o software é vendido em pacotes de funcionalidades, o que permite, primeiro, comprar exatamente o que é necessário para resolver as tarefas de segurança da informação da empresa e, segundo, reduzir o custo da implantação do DLP. O preço do próprio software deve ser consultado sob demanda com o desenvolvedor.

Ampliação da funcionalidade

Como os sistemas DLP de fato acumulam muitos dados analíticos, os fornecedores podem oferecer recursos adicionais e capacidades avançadas de análise. Uma solução comum é o monitoramento da equipe e do seu desempenho com base nos dados de atividade de rede. Quem compra um sistema DLP pode até concluir que as ferramentas de monitoramento oferecidas pelo DLP (folhas de ponto, relatórios de tempo gasto em tarefas e de tempo improdutivo e mais) já são suficientes e que não é preciso um software adicional. Ao escolher um sistema DLP, investigue toda a funcionalidade: é possível que uma única compra resolva vários problemas estratégicos.

Atendimento pré e pós-venda

Além do preço de compra, existe o custo de renovação da licença do software e de suporte. 

Os sistemas DLP podem exigir atenção adicional do comprador, e esse item de custo deve ser levado em conta para que as questões de uso e de operação sejam resolvidas em tempo hábil.

Em quais setores é obrigatório instalar sistemas DLP?

Até agora, nem os reguladores internacionais nem os brasileiros tornaram obrigatória a instalação de sistemas DLP. É uma decisão totalmente independente, que recai inteiramente sobre os ombros da empresa, sem subsídios adicionais nem incentivos fiscais. Ainda assim, o uso do DLP pode ser tranquilamente recomendado para os setores em que se lida com um grande volume de informações sensíveis e confidenciais. Entre esses setores estão:

• bancos e seguradoras, bolsas de valores e assim por diante (possuem um grande volume de dados sensíveis que muda constantemente e afeta a eficiência da organização);

• organizações do setor público (participam de processos centrais da sociedade e do Estado e detêm um grande volume de informações pessoais confidenciais dos cidadãos);

• indústrias críticas, empresas com alto nível de sigilo produtivo, empresas que usam substâncias perigosas e nocivas na produção e cujos processos têm impacto direto sobre a sociedade e o seu funcionamento;

• empresas da sociedade da informação (telecomunicações, mídia, redes sociais e plataformas);

• desenvolvedores de software;

• transporte, logística e a infraestrutura relacionada;

• empresas com alto nível de concorrência no mercado;

• empresas que lidam com tecnologias de alto valor intelectual, know-how, patentes e assim por diante.

Como se vê, a lista é bem longa. Isso não significa, porém, que as outras empresas e organizações não devam considerar a instalação de sistemas DLP. No mundo digital de hoje, praticamente qualquer negócio precisa proteger as informações dentro da empresa, independentemente do seu porte e da sua finalidade operacional. 

Problemas práticos que um sistema DLP resolve

Os sistemas DLP oferecem ajuda prática às empresas e resolvem tarefas concretas dentro do perímetro de segurança da informação. Vejamos as tarefas resolvidas usando a Anexet como exemplo.

1. Identificação de funcionários improdutivos;

2. Detecção de fraudes financeiras;

3. Detecção de fraudes em uma escola pública;

4. Identificação e prevenção de vazamento de informações sobre as promoções da empresa;

5. Prevenção do vazamento de dados de clientes da empresa;

6. Fraude no reparo de equipamentos;

7. Desvio de leads recebidos para um concorrente;

8. Identificação de funcionários que trabalham por fora;

9. Detecção de má conduta no trabalho em regime remoto e outros exemplos.

Você pode ler mais no site.

Dicas nocivas na escolha de um DLP

Além das dicas úteis, aqui vão algumas dicas nocivas na escolha de um sistema DLP: é melhor não seguir nenhuma delas. 

1. Escolha a solução de um fornecedor de sistema DLP que ofereça a compra do software sem período de teste gratuito, permita que os seus funcionários experimentem o produto só depois do pagamento e insista em um processo de implantação e configuração extremamente complexo. 

2. Um sistema DLP de verdade exige obrigatoriamente a compra de equipamentos e capacidade adicionais, precisa de um longo período para instalação e ajustes e é mantido por uma grande equipe de SI.

3. Um sistema DLP moderno exige que os funcionários venham ao escritório e trabalhem apenas no próprio computador, onde o software de monitoramento está instalado. Nada de acesso remoto: é inseguro e inviabiliza o uso do DLP.

4. Um desenvolvedor competente cuida do seu produto. Ele é valioso demais para continuar nas mãos do usuário depois de a licença expirar. Nem um segundo a mais: tudo deve ser apagado de imediato.