DLP-система — программный комплекс, который контролирует обращение с конфиденциальной информацией и предотвращает её утечку за пределы организации. Аббревиатура расшифровывается как Data Loss Prevention или Data Leakage Prevention — предотвращение потери или утечки данных.
Разберём, как такая система устроена, какие задачи решает, где её применение прямо следует из требований закона и на что смотреть при выборе.
Что такое DLP-система простыми словами
Любая компания хранит сведения, утечка которых обходится дорого: клиентские базы, персональные данные сотрудников, договоры, финансовую отчётность, техническую документацию. Защита периметра — межсетевые экраны, антивирусы, системы обнаружения вторжений — закрывает внешние угрозы. Но большая часть утечек происходит изнутри: данные выносит сотрудник или подрядчик с легальным доступом.
DLP-система решает именно эту задачу. Она видит, что происходит с защищаемыми сведениями на рабочих местах и в каналах передачи, распознаёт их по содержимому и реагирует: фиксирует событие, уведомляет службу безопасности или блокирует передачу.
Важное уточнение: DLP-система работает с тем, что передаётся, а не только с тем, куда. Межсетевой экран видит, что сотрудник обратился к облачному хранилищу. DLP-система видит, что он загрузил туда файл с клиентской базой.
Почему DLP перестала быть опцией
Ещё несколько лет назад DLP-систему покупали компании, которые уже столкнулись с утечкой. Сейчас её внедряют заранее, и причин три.
Ответственность за утечки выросла на порядки. С 30 мая 2025 года действуют поправки к статье 13.11 КоАП, внесённые законом № 420-ФЗ. Штраф за первичную утечку персональных данных исчисляется миллионами рублей и зависит от числа затронутых субъектов, а за повторную — от 1 до 3% годовой выручки, с верхней границей 500 миллионов. Отдельно наказывается неуведомление Роскомнадзора: оператор обязан сообщить об инциденте в течение 24 часов и направить результаты расследования в течение 72 часов.
Регуляторы прямо требуют контроля каналов. Для субъектов КИИ, государственных информационных систем, банков и операторов персональных данных меры по предотвращению утечек входят в состав обязательных требований — подробнее об этом ниже.
Появились новые каналы. Корпоративные и публичные мессенджеры, облачные хранилища, удалённая работа, ИИ-сервисы, в которые сотрудники вставляют документы. Каждый из них — путь данных наружу, который не закрывается традиционными средствами защиты.
Как работает DLP-система
Архитектура: агент и шлюз
DLP-системы строятся по одному из двух принципов, а чаще сочетают оба.
Агентская архитектура. На каждое рабочее место устанавливается программа-агент, которая контролирует действия пользователя непосредственно на устройстве: работу с файлами, буфер обмена, печать, подключение носителей, снимки экрана, ввод текста. Преимущество — агент видит всё, включая действия без сетевой активности, и продолжает работать, когда ноутбук вне офиса.
Сетевая архитектура. Контроль ведётся на уровне сетевого трафика — через шлюз или анализ копии трафика. Хорошо подходит для почты и веб-трафика, но не видит локальных действий: копирование на флешку или печать сетевой шлюз не заметит.
На практике агентский контроль даёт более полную картину, поэтому именно он лежит в основе большинства современных решений.
Каналы, которые контролирует система
| Канал | Что происходит | Как контролируется |
|---|---|---|
| Электронная почта | Отправка документов на личный адрес или внешнему получателю | Анализ содержимого писем и вложений, блокировка отправки |
| Съёмные носители | Копирование на флешку, внешний диск, смартфон | Блокировка портов, белые списки устройств, теневое копирование |
| Мессенджеры | Передача файлов и текста в корпоративных и публичных мессенджерах | Перехват переписки и вложений, включая голосовые сообщения |
| Облачные хранилища и веб | Загрузка файлов на файлообменники, в облака, почтовые сайты | Контроль отправки файлов, блокировка отдельных ресурсов |
| Печать | Распечатать и вынести документ | Анализ содержимого документов при печати, видимая маркировка |
| Буфер обмена и экран | Скопировать фрагмент в стороннее окно, сделать снимок экрана | Контроль буфера обмена, запрет снимков экрана, водяные знаки |
| ИИ-сервисы | Вставить документ или выгрузку в чат-бот | Перехват вводимого текста и контроль отправки файлов |
Как система распознаёт конфиденциальные данные
Ключевая функция DLP — понять, что именно передаётся. Для этого применяется несколько методов, и сильная система использует их в сочетании.
- Ключевые слова и словари — термины, названия проектов, грифы вроде «Коммерческая тайна».
- Шаблоны и регулярные выражения — форматы данных: номера банковских карт, паспортов, телефонов, СНИЛС.
- Цифровые отпечатки — система запоминает защищаемые документы и узнаёт их, даже если текст частично изменён или скопирован фрагментом.
- Маркировка — метка на документе, которая следует за ним при копировании и переименовании. Правила срабатывают по метке, а не по имени файла.
- Распознавание текста на изображениях — сканы, фотографии документов, снимки экрана.
- Автоматическая классификация — определение категории документа на основе анализа его содержания, в том числе с применением моделей искусственного интеллекта.
Режимы работы: наблюдение и блокировка
Режим наблюдения — система фиксирует события и уведомляет службу безопасности, но не мешает передаче. Подходит для начала внедрения, когда правила ещё настраиваются, и для расследований.
Режим блокировки — система останавливает передачу, нарушающую политику. Эффективнее, но требует точной настройки: слишком строгие правила парализуют работу и вызывают сопротивление сотрудников.
Разумный порядок внедрения — сначала наблюдение, чтобы понять реальные потоки данных, затем точечная блокировка там, где риск высокий.
Какие задачи решает DLP-система
Предотвращение утечек. Основная функция: контроль передачи защищаемых сведений и блокировка неправомерных действий.
Расследование инцидентов. Система фиксирует действия пользователей с привязкой ко времени и учётной записи. Это позволяет восстановить хронологию: кто открыл документ, куда скопировал, кому отправил. Без такого журнала подтвердить нарушение практически невозможно.
Выполнение требований регуляторов. Для организаций, на которые распространяются требования ФСТЭК, Банка России или 152-ФЗ, DLP закрывает часть обязательных мер защиты.
Контроль подрядчиков. Внешние специалисты с доступом к системам — одна из самых слабо контролируемых групп. DLP показывает, что они делают с данными на самом деле.
Выявление внутреннего нарушителя. Поведенческий анализ помогает заметить отклонения от обычного рабочего профиля до того, как произошла утечка: массовое копирование, работа с документами вне своей зоны ответственности, активность перед увольнением.
Где DLP требуется по закону
Законодательство не обязывает приобретать DLP-систему напрямую. Однако ряд нормативных актов устанавливает меры, которые на практике реализуются именно средствами предотвращения утечек.
| Кто | Документ | Что требуется |
|---|---|---|
| Субъекты КИИ | Приказ ФСТЭК № 239 | Меры по защите информации от утечек, контролю съёмных носителей, анализу действий пользователей — подробнее в разборе приказа № 239 |
| Госорганы и учреждения | Приказ ФСТЭК № 117 | Регистрация событий безопасности, защита конечных устройств и почтовых сервисов, мониторинг ИБ |
| Банки | Положение Банка России № 851-П и ГОСТ Р 57580.1 | Процесс «Предотвращение утечек информации» — технические меры для стандартного и усиленного уровней защиты |
| Операторы персональных данных | 152-ФЗ и требования ФСТЭК | Меры защиты по уровню защищённости информационной системы |
| Обладатели коммерческой тайны | 98-ФЗ | Контроль соблюдения порядка обращения с информацией — одна из пяти обязательных мер. Подробнее — в материале о защите коммерческой тайны |
Как выбрать DLP-систему
На рынке представлены десятки российских решений. В таблице — критерии, по которым стоит оценивать любое из них.
| Критерий | Что проверить |
|---|---|
| Покрытие каналов | Контролируются ли мессенджеры, облачные хранилища, ИИ-сервисы, голосовые коммуникации — а не только почта и флешки |
| Сертификация ФСТЭК | Есть ли сертификат и какой уровень доверия. Для значимых объектов КИИ 1 категории нужен 4 уровень доверия или выше |
| Российские ОС и СУБД | Работает ли агент на Astra Linux, РЕД ОС, ALT Linux; поддерживаются ли отечественные СУБД |
| Функциональность на разных ОС | Одинаковы ли возможности агента для Windows, Linux и macOS — на смешанном парке это часто не так |
| Размещение данных | Разворачивается ли система в инфраструктуре заказчика или хранит данные у вендора |
| ИИ-функции | Где выполняются функции на основе больших языковых моделей — локально или во внешнем сервисе. Во втором случае система сама становится каналом передачи данных |
| Глубина хранения и поиск | Сколько хранятся журналы и насколько быстро находятся события за прошлые месяцы |
| Нагрузка и архитектура | Требования к серверной части и нагрузка агента на рабочие станции |
| Интеграции | Передача событий в SIEM, синхронизация с Active Directory |
| Стоимость владения | Не только цена лицензии, но и оборудование, внедрение, сопровождение, нужен ли отдельный штат |
Отдельно о сертификации. Для систем предотвращения утечек профиль класса защиты ФСТЭК не установлен — они сертифицируются по техническим условиям с присвоением уровня доверия. Поэтому корректная формулировка — «сертификат по 4 уровню доверия», а не «средство защиты 4 класса».
Лучший способ проверить заявленное — пилотный проект на реальной инфраструктуре. Демонстрация показывает возможности, пилот — как система поведёт себя именно у вас.
Типичные ошибки при внедрении
- Поставили и не настроили. Система без политик собирает события, которые никто не разбирает. Формально защита есть, фактически — нет.
- Сразу включили блокировку. Жёсткие правила без предварительного наблюдения ломают рабочие процессы, и через месяц их отключают целиком.
- Не оформили юридически. Контроль действий работников требует локальных нормативных актов, ознакомления под подпись до начала контроля и запрета использования корпоративных ресурсов в личных целях. Без этого собранные материалы не имеют силы.
- Закрыли почту и флешки, забыли остальное. Мессенджеры и облачные хранилища сегодня основной канал выноса данных.
- Не определили, что защищать. Без перечня защищаемых сведений правила строятся наугад, а ложные срабатывания хоронят систему.
DLP-система «Стахановец»
«Стахановец» — российская DLP-система с агентами для Windows, Linux и macOS. Комплекс разворачивается в инфраструктуре заказчика, данные наблюдений хранятся внутри закрытого периметра.
Что закрывает система:
- контроль каналов — почта, съёмные носители, мессенджеры, включая корпоративные и публичные, файлообменники, печать, буфер обмена;
- DLP-анализ документов с поиском по ключевым словам, шаблонам и регулярным выражениям, цифровыми отпечатками и маркировкой;
- распознавание текста на изображениях и снимках экрана — встроенными офлайн-механизмами, без передачи данных наружу;
- голосовое DLP — реакция на заданные фразы в голосовых коммуникациях;
- «Антифото» — защита от съёмки экрана на телефон;
- анализатор рисков с расчётом уровня риска сотрудника и оповещениями о нетипичном поведении;
- передача событий в SIEM и синхронизация с Active Directory.
Комплекс сертифицирован ФСТЭК России (сертификат № 5078) по 4 уровню доверия, включён в единый реестр российского программного обеспечения и совместим с отечественными операционными системами и СУБД.
Попробовать все опции «Стахановец», вы можете уже сейчас! Для этого установите бесплатную версию комплекса с полным функционалом.
