Системы обеспечения информационной безопасности

              Что касается типовых случаев использования решений DLP:основное назначение DLP – обеспечивать защиту от случайного или намеренного распространения конфиденциальной информации со стороны сотрудников, имеющих доступ к информации в силу своих должностных обязанностей. Но, помимо того, любая DLP может быть настроена и для борьбы со злонамеренными инсайдерами.

              Например, если оператор call-службы банка, приняв обращение клиента, попытается отправить ему презентацию с новыми условиями обслуживания, система DLP проанализирует отправляемый документ и, не найдя ничего подозрительного, позволит выполнить отправку. Но, если в документе случайно окажутся внутренние распоряжения, система DLP, обнаружив это, сообщит о нарушении и сможет заблокировать отправку письма.  

          Другой пример: если сотрудник организации, подыскивая другую работу, попытается отправить домой проектную документацию (по электронной почте, через web, записать на флэшку, или распечатать), все его действия по отношению именно к конфиденциальным данным будут запротоколированы системой и переданы для анализа непосредственному начальнику или службе безопасности организации.

                Естественно, для того чтобы система DLP достоверно различала конфиденциальную и открытую информацию, необходимо передать в систему логику, на основании которой должна происходить классификация. Встроенные механизмы DLP позволяют максимально автоматизировать и облегчить процессы обучения системы.  

             Несколько лет назад существовало только два основных метода описания условий классификации:

• грифование секретных документов (требовались простановка текстовой метки или изменение свойств каждого документа вручную);
• подбор слов и выражений (подчас требовалась работа лингвиста для составления словаря характерных для бизнеса организации терминов, на основании которых должна реагировать система), а также регулярные выражения.

     Сегодня в решениях DLP появился широкий набор  комбинированных методов:

• цифровые отпечатки документов и их частей (в систему вводятся сотни тысяч документов одной командой);
• цифровые отпечатки баз данных (в систему вводятся выгрузки из баз данных клиентов и прочей структурированной информации, которую важно защитить от распространения);
• статистические методы (повышение чувствительности системы при повторении нарушений).

     Современные системы класса DLP включают в себя набор готовых правил реагирования на обнаружение, например, данных кредитных  карт, российских паспортов, стандартных  форм финансовой отчетности. Но наибольший интерес системы DLP представляют собой  после настройки на образцах конфиденциальных данных, имеющихся в обращении. 

     Преимущества DLP заключаются в том, что эти решения:

• способны классифицировать и выделять наиболее важные для защиты данные (развитые механизмы анализа содержимого);
• приспособлены для тотального охвата информационных потоков организации (множество отслеживаемых каналов, развитая система обработки инцидентов, гибкое распределение ролей);
• подстраиваются под существующие бизнес-процессы (эффект от использования DLP достижим без организационных преобразований и увеличения штата).

            Решения DLP хорошо подходят для того случая, когда крупная организации ведет активный, но слабо поддающийся управлению обмен документами с внешними контрагентами; а при этом стоит задача обеспечения конфиденциальности этого процесса. Система DLP будет просматривать все информационные потоки и информацию, выводимую на сменные устройства записи, будет обнаруживать конфиденциальные данные в потоках и активно реагировать на обнаруженные попытки распространения конфиденциальной информации. Например, из медицинского учреждения не сможет беспрепятственно произойти утечка выгрузка историй болезней сразу сотни человек частному лицу, из банка – база кредитных карт и персональные данные клиентов, а из производственного предприятия – случайная копия файла, содержащая внутренние разработки. По результатам перемещений конфиденциальных данных ведется подробная статистика с возможностью отслеживания соответствия требованиям действующих стандартов безопасности.

                 Основные ограничения DLP являются оборотной стороной их преимуществ:

     –   из-за своей приспособленности для общекорпоративного охвата (множество документов, каналов передачи, подразделений организации) решения DLP плохо подходят для гранулярной защиты единичных документов и не содержат встроенных средств шифрования;

     –   методы классификации данных, используемые в DLP и подходящие для глобального охвата всех обрабатываемых ресурсов, могут пропустить те данные, которым система не была обучена. Например, в системе не так легко прописать логику распределения специальных ценовых предложений по различным клиентам. 

                  Если основная задача по обеспечению конфиденциальности организации заключается в том, чтобы не допустить распространения только нескольких конкретных документов, либо обезопаситься от попадания прайс-листа одного клиента другому клиенту (когда типов прайс-листов – тысячи), то DLP – не лучший выход. В первом случае необходимо шифровать документы, а во втором – наладить систему управления правами доступа к информации.

            Основными игроками рынка DLP на 2009 год стали более десятка мировых компаний, среди которых стоит выделить решения, присутствующие на российском рынке и уже используемые отечественными организациями:

• Symantec Data Loss Prevention 10;
• Websense Data Security Suite 7;
• RSA DLP Suite;
• McAfee Host Data Loss Prevention 3.

2.   РЕШЕНИЯ IRM (Information Rights Management)

       Решения класса IRM предназначены в первую очередь для обеспечения безопасного документооборота, в который вовлечено ограниченное число ответственных сотрудников организации и, возможно, внешних контрагентов.

            В основе работы решения лежит тот принцип, что все критические документы должны храниться в зашифрованном виде, а права на определенные операции с этими документами централизованно раздаются ассиметричными ключами шифрования.

            Некоторое время назад системы IRM относили к классу DLP. Во избежание коллизий, мы не будем смешивать эти два класса решений, исповедующих разные подходы.

           Оговоримся, что используемый в рамках этого обзора термин IRM (Information Rights Management) – не самый распространенный для описания данного класса решений. Его мы используем только потому, что решение одного из разработчиков, которое прошло сертификацию ФСТЭК, именно так и называется. Другие более распространенные трактовки названия рассматриваемого класса решений: Enterprise Rights Management (eRM), Digital Rights Management (DRM) и Enterprise Digital Rights Management (EDRM).

     На  рис. 4 приведена типичная схема встраивания IRM в организации.  

                  Рис. 4. Типовая архитектура построения системы IRM.

              В тот момент, когда ответственный сотрудник создает новый документ, подлежащий защите, он привязывает к документу одну из типовых политик, по которой доступ на чтение / модификацию / печать / копирование содержимого / пересылку / уничтожение документа будет ограничен только назначенным категориям лиц. Документ будет автоматически зашифрован, а раздачей ключей (назначением прав доступа) ведает сервер авторизации IRM. При передаче документов (например, по электронной почте, через файловый обмен) другим пользователям организации или внешним получателям получатель сможет ознакомиться с содержимым, только если политиками безопасности разрешено данное действие для данной группы пользователей в данное время. Разумеется, на каждом оконечном рабочем месте (как внутренних, так и внешних пользователей) должна быть установлена агентская часть системы IRM. 

       Особенности использования решений IRM: используя решения IRM, необходимо кропотливо исполнять две неотъемлемые организационные процедуры:

• создание и поддержание актуальным набора типовых политик управления доступом;
• назначение существующих политик новым и найденным документам соответствующих категорий.

            Эти процедуры было бы чрезмерно трудоемко выполнять для набора всех конфиденциальных документов, находящихся в обороте организации. При умножении зоны охвата IRM на большое количество категорий документов и групп сотрудников пришлось бы следить за соблюдением актуальности сложной многомерной матрицы прав доступа, в которой описываются:

• категория документа;
• группа или отдельные сотрудники;
• уровень прав доступа;
• время действия правил.

     Поэтому область применения IRM обычно ограничивают на только несколько категорий документов, одно или несколько подразделений  организации.

            Например, решения IRM весьма эффективны для обеспечения защищенного документооборота конструкторского отдела производственного предприятия. На новые создаваемые документы будет назначаться одна из стандартных политик, по которой документ будет иметь хождение внутри одного отдела, будет доступен только для чтения первому отделу и недоступен всем остальным сотрудникам.

     Согласно исследованию Gartner “Typical Elements of an Enterprise Data Security Program” (August 2009,  рекомендуется применять IRM (EDRM) технологии:

• предварительно внедрив процедуру классификации защищаемых документов;
• предварительно настроив технологию управления идентификацией и доступом;
• в ограниченной зоне.

     Основные  преимущества решений IRM:

• обеспечение гранулярной защиты определенного ограниченного набора документов. Среди прочих решений по шифрованию IRM является наиболее эффективным и удобным классом решений для такой задачи, обеспечивая надежную криптографическую защиту и распределение ключей только выделенным ответственным группам сотрудников;
• независимость от способа передачи/обмена документами. В каком бы виде не передавался “запечатанный” при помощи IRM документ, прочесть его сможет только наделенный соответствующими правами сотрудник;
• возможность изъятия документов из обращения. В случае, если требуется заблокировать доступ к определенным документам, централизованно раздается политика, по которой права на чтение отключаются выбранным группам сотрудников;
• централизованная регистрация использования защищаемых документов и попуток получения к ним доступа.

     Недостатки IRM :

• существует риск потери доступа ко всем защищаемым документам в случае отказа сервера авторизации IRM;
• система будет уязвима к утечкам, если требуется обмен конфиденциальной информацией с внешними партнерами или клиентами, которые не могут использовать аналогичное решение IRM. Придется снимать защиту с документов, а это – брешь защиты всей системы;
• IRM не способна выполнять классификацию и не различает дубликаты одного и того же документа. Если на один из документов не распространяется политика, система не защитит его от утечки;
• организация должна доверять сотрудникам вопросы назначения прав доступа к новым создаваемым документам, подлежащим защите. Необходимо выстроить процесс назначения политик;
• трудоемок процесс управления матрицей прав доступа к документам;
• западные решения IRM не могут быть использованы в качестве средства криптографической защиты персональных данных, так как не используют российский криптоалгоритм.

     Несмотря  на невозможность сертификации в  органах ФСБ, продукты IRM начинают проходить  сертификацию ФСТЭК и могут быть использованы для защиты персональных данных (например, историй болезней) в качестве средства разграничения  доступа.

            Сегодня предложение решений IRM ограничено четырьмя ведущими западными разработками:

1. Oracle Information Rights Management;
2. Microsoft AD Rights Management Services, – как в виде индивидуального решения, так и в интеграции с Liquid Machines;
3. Adobe LiveCycle Enterprise Suite Policy Server;
4. EMC Documentum IRM Services.

3. Преимущества  совместного использования  интегрированных DLP и IRM

     Основное  преимущество интеграции DLP и IRM заключается  в том, что система DLP классифицирует информацию и передает сведения о  присвоенной категории документа  в IRM. Затем система IRM применяет соответствующие  политики криптографической защиты к документу и раздает права  доступа к документу ответственным  группам сотрудников. В результате обнаруженные при помощи DLP конфиденциальные документы будут надежно защищены криптографическими методами, а доверенные сотрудники смогут продолжать пользоваться ими без дополнительных затруднений (рис. 6).