Egyre nagyobb veszély a véletlen adatvesztés vagy a szándékos adatlopás, de az ellenük való védekezésnek a technológián túlmutató összetevői is vannak.
A milliószámra elvesztett (ellopott) felhasználói adatokról vagy hitelkártya-információkról szóló hírek korában aligha van olyan nagyvállalat, amely ne tartaná fontosnak az adatvesztés elleni védekezést (data loss preventiont, dlp-t). Dolgukat megkönnyíti, hogy a dlp már fejlett technológia, számos cég kínál kisebb-nagyobb megoldásokat szinte minden vállalatméretre.
Ám sok más informatikai megoldáshoz hasonlóan, a technológia csak egy (és nem is mindig a legkritikusabb) részét jelenti a teljes implementációnak. A stratégia, a folyamatok és az emberek kiválasztásában nagyon sok – és számos esetben meglepően hasonló – hibát tudnak elkövetni a szervezetek.
Az alábbi négy szempont segíthet elkerülni ezeket a hibákat.
Megérteni az igényeket
Egy dlp-projekt már azelőtt kudarcra lehet ítélve, mielőtt a technológia kiértékelésére és kiválasztására sor kerülne. Igen gyakori hiba, hogy a leendő felhasználók nem igazán értik, mire is van szükségük: mit akarnak megoldani, mi az a hajtóerő, amely dlp-megoldás bevezetését teszi szükségessé? Ha a motiváció és ebből adódóan a stratégiai cél nem világos, a siker kritériumait is nehéz (ha nem lehetetlen) lesz meghatározni.
Nagyon sok esetben a cégek pusztán azért döntenek dlp-technológia vásárlása mellett, mert egy szállító rábeszéli őket, ráerősítve az adatvesztéssel kapcsolatos félelmekre. Az viszont már régen rossz, ha a szállító definiálja az üzleti igényeket – ilyenkor érdekes módon pont arra lesz szükség, ami a cég kínálatában szerepel.
Szakértők egyetértenek abban, hogy az adatszivárgás megelőzésének alfája az adatok pontos megismerése: tudni kell, hogy milyen adatot, hol, és milyen célból kell védeni. Nem mindegy, hogy a végpontokon lévő adatok vannak nagyobb veszélyben, vagy a központilag tárolt információ biztonságáról akarunk gondoskodni. (Mindemellett még az éppen mozgásban lévő adatok védelmét is meg kell oldani.)
Ha már ismerjük a védendő adatok körét, és az ezeket kezelő alkalmazásokat, akkor már sokkal megalapozottabban ki lehet választani a célnak megfelelő dlp-terméket.
Bevonni az üzletet
Az adatok mellett természetesen az adatok „gazdáinak”, az üzleti területek vezetőinek is fontos szerep jut a dlp-projektek sikerében. Mivel pedig ők lesznek leginkább érintettek, mindenképpen meg kell érteniük, hogy mi is az a dlp-technológia és miért fontos az üzlet számára.
Arról nem is beszélve, hogy a fent említett adat-feltérképezési fázis is elképzelhetetlen nélkülük. A velük való beszélgetések során derül ki, hogy milyen adatokkal dolgoznak, mihez férnek hozzá, milyen feladataik és jogosultságaik vannak egyes adattípusokkal kapcsolatban, kikkel és hogyan osztják meg az adatokat. Csak akkor lehet a védelem tervezését elkezdeni, ha ezeket az információkat már tisztázták.
Az üzleti területek bevonása, illetve támogatásuk megszerzése már csak azért is fontos, hogy a dlp-rendszer ne lehetetlenítsen el meglévő, működő üzleti folyamatokat. Ha az adatvédelem örve alatt olyan adatoktól és megosztási lehetőségektől is elzárunk felhasználókat, amelyek hozzátartoznak a napi rutinjukhoz, az egész üzletmenetet leállíthatjuk.
Kinevezhetjük például bizalmas, védendő információnak a marketingterveket, de a marketingosztály ettől még elküldhesse az éppen aktuális termékbevezetésre vonatkozó marketingtervet a pr-ügynökségnek, ahogy az egyébként a dolga lenne.
Figyelni a jogszabályokat
Van azonban még valaki az üzleti felhasználókon kívül, akinek meg kell szólalnia dlp-ügyekben: ő pedig a vállalati jogász. A magyar adatvédelmi szabályozások is meglehetősen bonyolultak, de ha nemzetközi kötelezettségek miatt más országok jogszabályaira is tekintettel kell lenni, még összetettebb a kép. Az informatikusok tudása itt általában nem elég, hiszen nekik fogalmuk sincs (és nem is nagyon kell lenni) arról, hogy milyen adatot miként kell védeni, ha a szervezet meg akar felelni a jogi előírásoknak.
De nem csak ebben lehet szerepe a jogászoknak. A jogszabályi környezet gyakran változhat, és ehhez időről időre hozzá kell igazítani a dlp-rendszert is, mint ahogy a munkaszerződésekbe is bele kell foglalni, hogy milyen információvédelmi magatartást vár el az alkalmazottaktól a cég, ezt hogyan ellenőrzi, és miként szankcionálja a szabályok véletlen vagy szándékos megsértését. Mindezeken túl be kell vonni a jogászokat az incidensek esetén alkalmazandó akciótervek kidolgozásába is: ők tudják, hogy bizonyos adatok kiszivárgására, nyilvánosságra kerülésére jogi szempontból miként kell reagálni, és a válaszlépések szempontjából sem mindegy, hogy egy-két bankkártyaszám kerül ki a cégtől vagy ötezer.
Csak lépésről lépésre
Ha már minden érintettet bevontunk és megkérdeztünk, ha már tudjuk, hogy milyen adatokat, mitől és hogyan akarunk védeni, sőt, már a technológiát is kiválasztottuk, akkor aztán tényleg nincs más hátra, mint bevezetni a megoldást. Vagy mégsem?
Szakértők szerint az is gyakori hiba, hogy az ügyfelek egyszerre akarnak mindent ahelyett, hogy szép fokozatosan valósítanák meg a rendszert. Ha valaki teljes megoldásban gondolkodik, a végpontokon, a központban és mozgás közben egyaránt védeni akarja adatait, akkor érdemes lehet csak az egyik komponenssel kezdeni, és azt is csak egyetlen üzleti egységnél bevezetni.
Így könnyebb átlátni és menedzselni a projektet, kevesebb szereplővel kell egyeztetni, egyszerűbb elhárítani a menet közben felmerült problémákat és nem utolsósorban az eredmények is hamarabb jelentkezhetnek. Márpedig a gyorsabban megmutatkozó haszon segíthet meggyőzni az üzleti vezetést a projekt továbbvitelének fontosságáról, miközben értékes tapasztalatok gyűlnek fel a bevezetést végző csapatban, amelyek révén a további munka is nagymértékben egyszerűsíthető, felgyorsítható.
Összeállította: Schopp Attila
