Обзор DLP-систем

Информационная безопасность

Сегодня рынок DLP-систем является одним из самых быстрорастущих среди всех средств обеспечения информационной безопасности. Впрочем, Беларусь пока не совсем успевает за мировыми тенденциями, в связи с чем у рынка DLP-систем в нашей стране есть свои особенности.

Что такое DLP и как они работают?

Прежде чем говорить о рынке DLP-систем, необходимо определиться с тем, что, собственно говоря, подразумевается, когда речь идёт о подобных решениях. Под DLP-системами принято понимать программные продукты, защищающие организации от утечек конфиденциальной информации. Сама аббревиатура DLP расшифровывается как Data Leak Prevention, то есть, предотвращение утечек данных.

Подобного рода системы создают защищенный цифровой «периметр» вокруг организации, анализируя всю исходящую, а в ряде случаев и исходящую информацию. Контролируемой информацией должен быть не только интернет-трафик, но и ряд других информационных потоков: документы, которые выносятся за пределы защищаемого контура безопасности на внешних носителях, распечатываемые на принтере, отправляемые на мобильные носители через Bluetooth и т.д.

Поскольку DLP-система должна препятствовать утечкам конфиденциальной информации, то она в обязательном порядке имеет встроенные механизмы определения степени конфиденциальности документа, обнаруженного в перехваченном трафике. Как правило, наиболее распространены два способа: путём анализа специальных маркеров документа и путём анализа содержимого документа. В настоящее время более распространен второй вариант, поскольку он устойчив перед модификациями, вносимыми в документ перед его отправкой, а также позволяет легко расширять число конфиденциальных документов, с которыми может работать система.

«Побочные» задачи DLP

Помимо своей основной задачи, связанной с предотвращением утечек информации, DLP-системы также хорошо подходят для решения ряда других задач, связанных с контролем действий персонала. Наиболее часто DLP-системы применяются для решения следующих неосновных для себя задач:

Контроль использования рабочего времени и рабочих ресурсов сотрудниками;
Мониторинг общения сотрудников с целью выявления «подковерной» борьбы, которая может навредить организации;
Контроль правомерности действий сотрудников (предотвращение печати поддельных документов и пр.);
Выявление сотрудников, рассылающих резюме, для оперативного поиска специалистов на освободившуюся должность;

За счет того, что многие организации полагают ряд этих задач (особенно контроль использования рабочего времени) более приоритетными, чем защита от утечек информации, возник целый ряд программ, предназначенных именно для этого, однако способных в ряде случаев работать и как средство защиты организации от утечек. От полноценных DLP-систем такие программы отличает отсутствие развитых средств анализа перехваченных данных, который должен производиться специалистом по информационной безопасности вручную, что удобно только для совсем небольших организаций (до десяти контролируемых сотрудников). Тем не менее, поскольку данные решения востребованы в Беларуси, они также включены в сравнительную таблицу, сопровождающую эту статью.

Классификация DLP-систем

Все DLP-системы можно разделить по ряду признаков на несколько основных классов. По способности блокирования информации, опознанной как конфиденциальная, выделяют системы с активным и пассивным контролем действий пользователя. Первые умеют блокировать передаваемую информацию, вторые, соответственно, такой способностью не обладают. Первые системы гораздо лучше борются со случайными утечками данных, но при этом способны допустить случайную остановку бизнес-процессов организации, вторые же безопасны для бизнес-процессов, но подходят только для борьбы с систематическими утечками. Ещё одна классификация DLP-систем проводится по их сетевой архитектуре. Шлюзовые DLP работают на промежуточных серверах, в то время как хостовые используют агенты, работающие непосредственно на рабочих станциях сотрудников. Сегодня наиболее распространенным вариантом является совместное использование шлюзовых и хостовых компонентов.

Мировой рынок DLP

В настоящее время основными игроками мирового рынка DLP-систем являются компании, которые широко известны другими своими продуктами для обеспечения информационной безопасности в организациях. Это, прежде всего, Symantec, McAffee, TrendMicro, WebSense. Общий объём мирового рынка DLP-решений оценивается в 400 млн. долларов, что совсем немного по сравнению с тем же рынком антивирусов. Тем не менее, рынок DLP демонстрирует бурный рост: ещё в 2009 году он оценивался немногим более 200 млн.

На рынок Беларуси огромное влияние имеет рынок её восточного соседа, России, уже достаточно большой и сформировавшийся. Основными игроками на нём сегодня являются российские компании: InfoWatch, «Инфосистемы Джет», SecurIT, SearchInform, Perimetrix и ряд других. Общий объём российского рынка DLP оценивается в 12?15 млн. долларов. Растет он при этом теми же темпами, что и мировой.

Белорусский рынок DLP

Серьезных исследований рынка DLP-систем в Беларуси пока никто, к сожалению, не проводил – причина этого кроется, прежде всего, в малых размерах самого рынка, не представляющего большого интереса для крупных игроков: эксперты оценивают его докризисный объём в 2-3 миллиона долларов, соответственно, его теперешние размеры в 2?2,5 раза меньше. Причина невысокого интереса белорусских компаний к DLP-системам заключается, прежде всего, в их высокой стоимости, а также в непонимании руководства организаций механизмов экономического ущерба в результате утечек конфиденциальной информации.

На белорусском рынке, отличающемся от российского значительно большей фрагментарностью, представлены сегодня как мировые гранды, так и перечисленные выше российские компании. Собственные разработчики DLP-систем пока о себе предпочитают не заявлять, но центры разработки нескольких российских DLP-вендоров сегодня базируются в Минске. Назвать доли конкретных производителей на белорусском рынке сложно из-за недостаточного количества данных.

Применение DLP в Беларуси пока ограничивается, зачастую, контролем внешних USB-носителей и принтеров. Только сравнительно немногие организации строят полноценный «защитный контур», перекрывающий все потенциальные каналы утечки конфиденциальной информации. Кроме того, одним из основных пожеланий белорусских заказчиков является архивирование с помощью DLP перехваченных данных для последующего анализа и широкий перечень контролируемых каналов.

Перспективы и тенденции

В связи с тем, что из-за сложной экономической обстановки достаточно сложно прогнозировать ситуацию на белорусском рынке DLP-систем, поговорим о прогнозах развития DLP-систем как класса программного обеспечения.

Главной из таких тенденций, как полагают эксперты, является переход от «заплаточных» систем, состоящих из компонентов от различных производителей, решающих каждый свою задачу, к единым интегрированным программным комплексам. Причина подобного перехода очевидна: комплексные интегрированные системы избавляют специалистов по информационной безопасности от необходимости решать проблемы совместимости различных компонентов «заплаточной» системы между собой, позволяют легко изменять настройки сразу для больших массивов клиентских рабочих станций в организациях, а также позволяют не испытывать сложностей при переносе данных из одного компонента единой интегрированной системы в другой. Также движение разработчиков к интегрированным системам идёт в силу специфики задач обеспечения информационной безопасности: ведь если оставить без контроля хотя бы один канал, по которому может произойти утечка информации, нельзя говорить о защищенности организации от подобного рода угроз.

Западные производители DLP-систем, пришедшие на рынок стран СНГ, столкнулись с рядом проблем, связанных с поддержкой национальных языков (в случае Беларуси, впрочем, уместно говорить о поддержке русского, а не белорусского языка). Поскольку рынок СНГ весьма интересен западным вендорам, сегодня они ведут активную работу над поддержкой русского языка, которая является основным препятствием для их успешного освоения рынка.

Ещё одной важной тенденцией в сфере DLP является постепенный переход к модульной структуре, когда заказчик может самостоятельно выбрать те компоненты системы, которые ему необходимы (например, если на уровне операционной системы отключена поддержка внешних устройств, то нет необходимости доплачивать за функциональность по их контролю). Важную роль на развитие DLP-систем будет оказывать и отраслевая специфика – вполне можно ожидать появление специальных версий известных систем, адаптированных специально для банковской сферы, для госучреждений и т.д., соответствующих запросам самих организаций.

Немаловажным фактором, влияющим на развитие DLP-систем, является также распространение ноутбуков и нетбуков в корпоративных средах. Специфика лэптопов (работа вне корпоративной среды, возможность кражи информации вместе с самим устройством и т.д.) заставляет производителей DLP-систем разрабатывать принципиально новые подходы к защите портативных компьютеров. Стоит отметить, что сегодня лишь немногие вендоры готовы предложить заказчику функцию контроля ноутбуков и нетбуков своей DLP-системой.

Применение DLP в Беларуси

В Беларуси DLP-системы применяются в сравнительно небольшом числе организаций, но их количество до начала кризиса уверенно росло. Тем не менее, собранную с помощью DLP-систем информацию белорусские организации вовсе не спешат предавать огласке, преследуя виновных в утечках информации сотрудников в судебном порядке. Несмотря на то, что белорусское законодательство содержит в себе нормы, позволяющие наказывать распространителей корпоративных секретов, подавляющее большинство организаций, использующих DLP-системы, предпочитают ограничиваться внутренними разбирательствами и дисциплинарными взысканиями, в крайнем случае увольняя провинившихся в особо крупных размерах сотрудников. Впрочем, традиция «не выносить сор из избы» характерна для всего постсоветского пространства, в отличие от западных стран, где об утечке данных сообщают всем, кто мог от неё пострадать.

Вадим СТАНКЕВИЧ