Утечки конфиденциальной информации на данный момент являются одним из самых распространённых инцидентов информационной безопасности в корпоративном секторе. Стоит только вспомнить недавний случай: Данные клиентов ОТП-банка, Альфа-банка и ХКФ-банка оказались в открытом доступе. Утечка суммарно затрагивает интересы примерно 900 тыс. россиян (https://www.kommersant.ru/doc/3997757).

Автоматизированные инструменты борьбы с утечками информации известны довольно давно – это DLP-системы (англ. Data Leak Prevention, предотвращение утечек). DLP-систем на рынке существует большое количество. При этом каждая система обладает своими особенностями и имеет большой набор гибко настраиваемого функционала по контролю различных каналов утечек информации (электронная почта, веб-трафик, мессенджеры, внешние носители и пр.). Стоит отметить, что DLP-системы представляют собой большой программный комплекс и само по себе внедрение данной системы «из коробки» не даст желаемого эффекта, в связи с чем необходим ряд подготовительных мероприятий.

Перед приобретением и дальнейшим внедрением DLP-системы необходимо, прежде всего, ответить на следующие вопросы:

• Какие каналы передачи информации используются в компании?
• Какая конфиденциальная информация (коммерческая тайна, персональные данные и др.) передаётся по этим каналам передачи информации?
• Кто является отправителем и получателем информации?
• и др.

Полученные ответы на данные вопросы помогут выявить основные информационные потоки, циркулирующие в компании, и таким образом повысить эффективность последующей эксплуатации DLP-системы.

Информационные потоки мы рекомендуем структурировать следующим образом:

1. Определить направление информационных потоков, т.е. является ли информация входящей и/или исходящей в/из компании.
2. Определить наименование и форму (электронная или бумажная) передачи информации.
3. Определить отправителя и получателя информации: структурное подразделение, контрагент, государственный орган, физическое лицо и пр.
4. Определить периодичность передачи информации (ежедневно, еженедельно, ежемесячно, ежеквартально, ежегодно, единичное предоставление и т.д.).
5. Определить основания передачи информации, т.е. на основании чего производится прием и/или передача информации в компании (законодательные требования, исполнение договорных отношений, бизнес-процесс компании и пр.).
6. Определить места хранения информации, формы хранения, сроки хранения, права доступа к местам хранения.
7. Определить, как осуществляется импорт и экспорт передаваемой информации, т.е. наименование информационной системы из/в которой(ую) загружается и/или выгружается информация для приема и/или передачи.
8. Определить все возможные каналы передачи информации. Например, корпоративная электронная почта, мессенджер, общедоступная веб-почта, USB-флеш накопитель, CD/DVD, облачное хранилище, ресурс в сети Интернет и пр.
9. Определить вид передаваемой и/или получаемой информации, в частности информации, обрабатываемой в компании: общедоступная информация, персональные данные, коммерческая тайна и пр.

Выше перечисленные мероприятия помогут на начальном этапе организации защиты каналов передачи информации, в том числе в рамках выбора и внедрения DLP-системы. Сами мероприятия по выявлению информационных потоков рекомендуется выполнять на периодической основе, в том числе и после внедрения DLP-системы, для возможности её более тонкой настройки и соответствия изменениям бизнеса.

Идентификацию информационных потоков в компании можно осуществлять как в форме внутренних мероприятий в рамках построения процесса предотвращения утечек информации, так и в форме комплексных (специализированных) внешних аудитов на периодической основе.

Для фиксирования результатов все параметры рекомендуется сводить в единую форму (шаблон таблицы для скачивания).