Каналы утечки информации: откуда уходят данные
Что такое канал утечки
Канал утечки информации — это путь, по которому конфиденциальные данные покидают контролируемую среду организации и попадают к лицам, не имеющим права доступа. Каналов утечки существует множество, и они могут быть как техническими, так и организационными, как намеренными, так и случайными.
Понимание каналов утечки необходимо для построения эффективной системы защиты. Невозможно защитить данные, не зная, какими путями они могут покинуть организацию.
Технические каналы утечки
Электронная почта. Один из наиболее распространённых каналов. Сотрудник отправляет документ с конфиденциальной информацией на внешний адрес, пересылает письмо не тому получателю, использует личную почту для рабочих файлов.
Съёмные носители. Флешки, внешние жёсткие диски, оптические диски. Сотрудник копирует данные на носитель и выносит из офиса. Намеренно или случайно — неважно, данные покинули защищённый периметр.
Облачные сервисы. Загрузка рабочих документов в личные облачные хранилища, использование неавторизованных СааС-приложений. Данные оказываются за пределами контроля организации.
Сетевые каналы. Передача данных через мессенджеры, файлообменники, ФТП, неучтённые веб-сервисы. В том числе через зашифрованные каналы, которые не инспектируются.
Печать документов. Бумажные копии конфиденциальных документов, вынесенные из офиса, выброшенные в обычный мусор вместо шредера.
Физические каналы утечки
Устная передача информации. Разговоры в общественных местах, обсуждение рабочих вопросов по телефону в транспорте, неосторожные высказывания в социальных сетях.
Визуальное наблюдение. Подглядывание в монитор, фотографирование экрана, просмотр документов, оставленных на рабочем столе.
Выброс носителей. Списанные жёсткие диски, документы, черновики, попавшие в мусор без уничтожения.
Утечки через инсайдеров
Инсайдерская угроза — один из наиболее опасных каналов. Сотрудник с легитимным доступом может намеренно выносить данные: для продажи конкурентам, для использования на новом месте работы, из мести. Случайные действия сотрудников тоже относятся к инсайдерским утечкам: ошибка в адресате, потеря устройства, установка вредоносного ПО по неосторожности.
Как выявлять и перекрывать каналы
Инвентаризация каналов. Определите все возможные пути, по которым данные могут покинуть организацию. Для каждой категории данных оцените, какие каналы наиболее вероятны.
Технические средства контроля. ДЛП-системы контролируют передачу данных по основным каналам: почта, веб, съёмные носители, печать. Шифрование данных делает их бесполезными при перехвате. Контроль устройств ограничивает использование неавторизованных носителей.
Организационные меры. Политики работы с информацией, соглашения о неразглашении, разграничение доступа, контроль печати, правила уничтожения документов.
Обучение и осведомлённость. Большинство утечек происходит из-за незнания или невнимательности. Регулярное обучение сотрудников правилам работы с конфиденциальной информацией снижает риск случайных утечек.
Мониторинг и обнаружение утечек
Контроль должен быть не только превентивным, но и детективным. Анализируйте, кто и когда обращается к конфиденциальным данным, какие объёмы данных скачиваются, куда передаются файлы. Аномальная активность — сигнал для проверки.
Мониторинг внешних источников: даркнет-форумов, публичных репозиториев, паст-сайтов. Если данные организации появились в открытом доступе, важно узнать об этом как можно раньше.
Практические рекомендации
Не пытайтесь перекрыть все каналы одновременно. Начните с наиболее критичных данных и наиболее вероятных каналов. Постепенно расширяйте покрытие.
Баланс между контролем и удобством. Избыточные ограничения провоцируют сотрудников искать обходные пути, что создаёт новые неконтролируемые каналы.
Регулярно пересматривайте карту каналов утечки. Технологии меняются, появляются новые сервисы, меняются процессы работы. То, что было актуально год назад, сегодня может быть неактуально.
