Roubo de dados versus perda de dados
A distinção importa para a estratégia de prevenção. A prevenção de roubo de dados é mais direcionada do que o DLP em geral. Ela pressupõe um adversário com intenção, muitas vezes um insider, que tentará burlar os controles, e não um usuário descuidado que comete erros.
Por isso, os controles precisam prever a evasão: criptografia para ocultar o conteúdo, acúmulo prévio dos dados antes da transferência, uso de canais autorizados para se misturar e retirada física por mídia removível.
Perda de dados é qualquer exposição não autorizada, inclusive acidental, como um e-mail enviado para a pessoa errada. Roubo de dados é a remoção deliberada de dados para fins não autorizados, como vender segredos comerciais.
Quais dados são roubados
Os alvos de maior valor costumam ser a propriedade intelectual, como código-fonte, desenhos de engenharia, dados de pesquisa, roteiros de produtos e processos patenteados. Dados de clientes, como bases de contatos e históricos de compra, também são valiosos para fraudes e inteligência competitiva.
Também são alvos os dados financeiros, como modelos de preços, condições de contratos, demonstrações financeiras e planos de fusões e aquisições; senhas, tokens de API e certificados, que permitem novos acessos; e os planos estratégicos, como planos de negócio, estratégias de marketing e posições de negociação.
Camadas de prevenção
A prevenção eficaz organiza os controles em camadas, de modo que a remoção de uma única camada ainda deixe as outras em funcionamento. Cada camada responde a uma pergunta diferente, de quem pode acessar os dados ao que é gravado em um pen drive:
| Camada | O que faz |
|---|---|
| Governança de acessos | Limita quem pode acessar dados sensíveis e revisa permissões regularmente. |
| Inspeção de conteúdo e DLP | Bloqueia, isola ou sinaliza conteúdo sensível destinado a local não autorizado. |
| Controle de dispositivos | Restringe mídias removíveis e pode manter cópia sombra do conteúdo gravado. |
| Monitoramento de canais | Observa e-mail, uploads para nuvem, mensageria, uploads web, FTP e impressão. |
| Monitoramento comportamental (UEBA) | Detecta acúmulo de dados, acesso fora do escopo e volumes crescentes. |
| Visibilidade no endpoint | Enxerga canais locais: cópias em USB, área de transferência, capturas de tela. |
| Auditoria e material probatório | Registra quem, o quê, quando, por qual canal e qual conteúdo. |
O risco no período de saída
Uma parte significativa do roubo de dados ocorre em mudanças de vínculo: funcionários que saem para concorrentes, prestadores com contratos encerrando e pessoas comunicadas do desligamento. Nas semanas antes da saída, a pessoa tem motivo (preparar-se para um novo papel) e oportunidade (o acesso legítimo ainda está ativo).
Os programas de prevenção tratam essa janela de forma específica. É um monitoramento da atividade de usuários baseado em risco para um período sabidamente crítico, e não vigilância de indivíduos. É aplicado de forma consistente e regido por política.
- 1
Observar quem está saindo
Monitoramento reforçado da atividade de quem vai deixar a empresa.
- 2
Reduzir o acesso
A revisão de acessos e a redução de privilégios começam assim que o aviso é dado.
- 3
Alertar sobre movimentos em massa
Alertas automáticos disparam em caso de acesso ou transferência em massa de dados por usuários em saída.
- 4
Encerrar o acesso na saída
Os procedimentos de desligamento revogam o acesso rapidamente e auditam a atividade recente.
Por que a prevenção inclui detecção
Nenhum conjunto de controles torna o roubo impossível. Um insider determinado, com acesso legítimo, encontrará brechas.
A prevenção eficaz inclui, portanto, detecção de ameaças internas: a capacidade de identificar que o roubo está em curso ou já ocorreu, investigar e agir. A prevenção reduz a superfície de ataque, e a detecção captura o que passa. As duas são complementares, não alternativas.
Como isso aparece na Anexet
No Anexet DLP, os controles de mídias removíveis e da área de transferência são configurados como regras, e cada regra pode registrar o que bloqueou.
1 / 2
Por onde começar
Comece pelos dados cujo vazamento causaria mais dano e depois mapeie os canais que eles realmente usam. Políticas escritas para todos os arquivos de uma vez acabam bloqueando o trabalho comum e são desligadas.
Combine prevenção com detecção desde o primeiro dia, para que um roubo em curso não dependa da sorte.
Leitura adicional: Os 5 principais tipos de dados que os concorrentes tentam roubar; Prevenção de vazamentos de dados por superusuários.
Um roubo raramente parece roubo. Parece mais um arquivo copiado em um dia de trabalho comum.
Anexet TeamComo a Anexet resolve isto
A arquitetura da Anexet corresponde diretamente às camadas de prevenção descritas acima:
A própria arquitetura on-premise é uma medida preventiva: como o fornecedor não tem acesso aos dados do cliente, não existe caminho externo até os dados de monitoramento, as regras de classificação ou o material capturado.
Inspeção de conteúdo
Tesauros de segurança, bancos de hashes, bibliotecas de impressões digitais e integração com rótulos de sensibilidade detectam a movimentação de conteúdo protegido. A detecção é vinculada a propriedade intelectual específica, e não apenas a padrões genéricos.
Controle de dispositivos
O módulo de controle de dispositivos monitora e pode bloquear armazenamento removível (pen drives, discos externos, mídias ópticas e dispositivos móveis conectados como armazenamento) por tipo de dispositivo, número de série, ID do fabricante ou ID do produto. As políticas vão do bloqueio total à gravação com cópia sombra, em que uma cópia de cada arquivo gravado em mídia externa é retida para auditoria.
Cobertura de canais
Os agentes de endpoint monitoram e-mail, tráfego web, aplicativos de armazenamento em nuvem, mensageria, impressão, área de transferência e captura de tela, que são os canais por onde ocorre o roubo.
Aplicação de bloqueios
As políticas bloqueiam transferências que correspondam a conteúdo sensível, colocam em quarentena para revisão ou emitem alertas, conforme a gravidade.
Pontuação de risco comportamental
O mecanismo de análise de risco sinaliza usuários cujo comportamento sugere acúmulo ou preparação de roubo, inclusive em torno de eventos de desligamento.
Exportação de material comprobatório
O módulo de investigações monta casos estruturados a partir dos eventos detectados, exportáveis para uso jurídico ou disciplinar. É a trilha de auditoria que a prevenção de roubo exige.
Funcionalidade de Controle de Dispositivos
Saiba mais