DLP w instytucjach publicznych: potrzebne podejście proaktywne

Ochrona danych przed wyciekiem w instytucjach publicznych przez lata była kojarzona przede wszystkim z zabezpieczeniem infrastruktury przed atakami z zewnątrz. Mniej uwagi przykładano do tego, że dane mogą opuścić organizację w wyniku działań nieświadomego ich konsekwencji pracownika. Ryzyko tego rośnie wraz z liczbą kanałów, którymi użytkownicy wymieniają i przetwarzają informacje. Poczta elektroniczna, chmura, aplikacje SaaS, komunikatory, prywatne nośniki danych czy narzędzia wykorzystujące sztuczną inteligencję tworzą niezwykle rozbudowany i trudny do skontrolowania obieg informacji. W tej sytuacji administrator często nie ma widoczności tego, co dzieje się z danymi w trakcie ich przetwarzania.

Ochrona danych publicznych

W przypadku administracji publicznej skala problemu jest wyjątkowo duża. Urzędy gmin, starostwa, jednostki samorządowe przetwarzają ogromne ilości danych osobowych i informacji administracyjnych. Ich ujawnienie może mieć poważne konsekwencje dla obywateli i samej organizacji.

Jednocześnie nie każdy incydent musi być wynikiem celowo szkodliwych działań pracownika. Wręcz przeciwnie – dochodzi do niego najczęściej za sprawą użytkowników, którzy nie są świadomi konsekwencji swoich poczynań. Przykładowo, pracownik może próbować szybko rozwiązać problem, wykorzystując narzędzie, którego nie zatwierdziła organizacja. Może wkleić fragment dokumentu do publicznego modelu AI, przesłać plik na zewnętrzny dysk w chmurze, wysłać dane na prywatny adres e-mail lub skopiować na pendrive. Z perspektywy użytkownika takie działanie może wyglądać niewinnie. Z punktu widzenia bezpieczeństwa organizacji oznacza utratę kontroli nad informacją.

FortiDLP: nie tylko reguły, ale kontekst

Tradycyjne podejście, w którym ochrona przed wyciekiem danych (DLP) jest przede wszystkim zbiorem reguł, przestaje wystarczać. Sama informacja o tym, że użytkownik skopiował plik, nie mówi jeszcze, dlaczego to zrobił, kiedy i skąd trafiły dane zanim zostały skopiowane ani czy jego zachowanie odbiega od typowego sposobu pracy. Nowoczesna ochrona powinna więc koncentrować się na znacznie szerszym kontekście aktywności użytkownika. Istotne staje się nie tylko to, jakie dane zostały wykorzystane, ale również kto, kiedy, skąd i w jaki sposób się nimi posłużył.

Fortinet w swoim rozwiązaniu FortiDLP zastosował podejście, w którym monitorowane i analizowane są: źródło pochodzenia danych, użyta tożsamość, lokalizacja z jakiej jest wykonywana czynność, sieci z jakich i do jakich są wykonywane interakcje, uruchamiane procesy systemowe, czas i częstotliwość wykonywania określonych operacji, systemy, pomiędzy którymi kopiowane są informacje, ilość danych, a także wiele innych, które budują szeroki kontekst. Dopiero połączenie tych rzeczy pozwala zbudować rzeczywisty obraz aktywności użytkownika i przepływu danych.

– DLP powinno być rozumiane nie jako pojedynczy filtr z regułami, ale system monitoringu przepływu informacji. Nowe podejście zastosowane w FortiDLP opiera się nie tylko na regułach, ale także na badaniu kontekstu pracy użytkownika. To istotna zmiana w myśleniu o ochronie przed wyciekiem, która zapewnia organizacji widoczność i kontrolę przesyłanych danych, począwszy od poczty elektronicznej i zasobów sieciowych, przez chmurę i aplikacje SaaS, po komunikatory i nowe kanały związane z wykorzystaniem AI – mówi Michał Cygan, Systems Engineer w polskim oddziale Fortinetu.

Artur Madejski, Product Manager Fortinet, Exclusive Networks Poland  

Warto podkreślić nowatorskie podejście do ochrony danych, jakie Fortinet prezentuje w rozwiązaniu FortiDLP. Dzięki przemyślanej architekturze oraz sprawnie przeprowadzonemu wdrożeniu, które zazwyczaj nie przekracza dwóch dni roboczych, system zaczyna generować wymierne korzyści już od pierwszego dnia użytkowania. Pozwala to organizacji szybko zwiększyć poziom bezpieczeństwa danych przy minimalnym wpływie na bieżące procesy biznesowe. Liczne testy przeprowadzone z udziałem naszych inżynierów potwierdzają, że jest to rozwiązanie bardzo intuicyjne w obsłudze, co ma szczególne znaczenie dla organizacji zmagających się z niedoborem wykwalifikowanych specjalistów.

Jako dystrybutor oferujemy zarówno środowisko testowe, jak i kompleksowe usługi wdrożeniowe realizowane przez certyfikowanych inżynierów NSE 8. Dodatkowo już od listopada w Compendium dostępne będzie autorskie szkolenie przeznaczone zarówno dla administratorów systemów, jak i inżynierów wdrożeniowych.

Po ukończeniu kursu uczestnicy będą mogli zdobyć odpowiednie certyfikaty oraz samodzielnie rozwijać kompetencje w tym obszarze, efektywnie wykorzystując możliwości oferowane przez rozwiązania Fortinet.

  

Insider Risk: kontrola zachowania użytkowników

Ważnym elementem ochrony w FortiDLP jest analiza ryzyka związanego z zachowaniem użytkowników. Czasem sygnałem ostrzegawczym jest działanie, które na pierwszy rzut oka wygląda całkowicie legalnie.

– Monitorowanie aktywności pozwala na wykrycie anomalii, czyli niestandardowego zachowania użytkownika. Przykładowo, pracownik ma dostęp do bazy PESEL i codziennie weryfikuje 10–20 rekordów. Pewnego dnia wykonuje jednak jednorazowo zapytania dotyczące stu osób i dodatkowo poza standardowymi godzinami pracy. Sam fakt dostępu do bazy nie jest naruszeniem polityki bezpieczeństwa. Zmienia się natomiast kontekst i skala aktywności. Takie zachowanie może być sygnałem, że ktoś wykorzystuje przyznane uprawnienia w sposób niezgodny z ich celem – tłumaczy Michał Cygan.

Podobnie może wyglądać sytuacja, w któ-rej pracownik przez wiele miesięcy nie korzystał z określonego narzędzia, a następnie zaczyna go intensywnie używać, bądź gdy użytkownik, który dotychczas przesyłał niewielkie pliki do zatwierdzonych odbiorców, nagle rozpoczyna transfer dużych ilości danych do nieznanego zasobu.

Widoczność jako podstawa ochrony

DLP powinno być elementem szerszej strategii bezpieczeństwa, obejmującej monitoring aktywności, analizę zachowań, wykrywanie anomalii oraz egzekwowanie polityk w czasie rzeczywistym. Rozwiązanie FortiDLP wpisuje się w takie podejście, łącząc trzy elementy: widoczność, kontekst i możliwość reakcji w czasie rzeczywistym. Pozwala przejść od modelu, w którym organizacja reaguje dopiero po wykryciu wycieku, do modelu, w którym dostrzega niepokojące zachowanie i reaguje odpowiednio wcześniej.

Co ważne, ochrona przed wyciekiem nie musi być przeszkodą w wykonywaniu obowiązków, a monitorowanie aktywności może pełnić nie tylko funkcję blokującą, lecz także wspierającą. Zamiast jedynie uniemożliwić wykonanie określonej operacji, FortiDLP może – poprzez komunikaty – poinformować użytkownika o potencjalnym naruszeniu i wskazać odpowiednie zasady postępowania, odwołując się do wewnętrznej polityki bezpieczeństwa organizacji czy wskazać rekomendowane narzędzia.