Политики — это то, что превращает DLP из дорогого журнала событий в инструмент защиты. От них зависит, увидит ли служба безопасности реальную утечку и сколько времени уйдёт на разбор срабатываний, которые утечкой не являются.
Плохо настроенные политики ошибаются в обе стороны: пропускают инциденты и одновременно заваливают аналитика шумом. Через месяц такой работы события просто перестают читать.
Разберём, из чего состоит политика, какие методы анализа выбрать под разные типы данных, с какого набора политик начать и как систематически снижать число ложных срабатываний. Общий порядок внедрения системы — в статье о внедрении DLP.
Из чего состоит политика DLP
Любая политика отвечает на пять вопросов:
| Элемент | Вопрос | Пример |
|---|---|---|
| Объект | Что ищем | Персональные данные клиентов, договоры, исходный код |
| Метод обнаружения | Как распознаём | Регулярное выражение, словарь, цифровой отпечаток, метка файла |
| Канал | Где контролируем | Почта, мессенджеры, USB, печать, облака, буфер обмена |
| Область действия | Для кого | Все сотрудники, отдел продаж, увольняющиеся, подрядчики |
| Действие | Что делаем при срабатывании | Регистрация, уведомление, блокировка, карантин |
Если хотя бы один элемент задан слишком широко, политика начинает шуметь. «Любой документ со словом «договор», отправленный кем угодно по любому каналу» — гарантированный поток ложных срабатываний.
Методы обнаружения данных
Ни один метод не работает идеально в одиночку. Точность дают их сочетания.
| Метод | Для чего подходит | Ограничения |
|---|---|---|
| Ключевые слова и словари | Тематические документы: финансы, проекты, кадровые решения | Много шума на общих словах, обходится перефразированием |
| Регулярные выражения | Данные строгого формата: номера карт, паспортов, СНИЛС, ИНН | Без проверки контрольных сумм ловят любые похожие числа |
| Цифровые отпечатки | Конкретные эталонные документы: договоры, шаблоны, базы | Нужно заранее собрать эталоны и обновлять их |
| Метки и маркировка файлов | Документы с грифом, отнесённые к конфиденциальным | Работает только для размеченных файлов |
| Распознавание текста (OCR) | Сканы, фото документов, снимки экрана | Требует ресурсов, качество зависит от изображения |
| Контекстные признаки | Отправитель, получатель, тип и размер файла, время | Сами по себе не говорят о содержимом |
Регулярные выражения: как не утонуть в совпадениях
Регулярные выражения — главный инструмент для персональных и платёжных данных, и главный источник ложных срабатываний. Последовательность из 16 цифр может быть номером карты, а может — номером заказа или штрихкодом.
Что повышает точность:
- проверка контрольной суммы — номера банковских карт проверяются алгоритмом Луна, у СНИЛС и ИНН есть свои контрольные цифры. Если система поддерживает такую проверку, включайте её;
- ключевые слова рядом — «паспорт», «серия», «СНИЛС», «карта» в нескольких словах от найденного числа резко снижают шум;
- порог количества — одна найденная карта в письме бухгалтера и сто карт во вложении — разные события. Для массовых данных задавайте минимальное число совпадений.
| Тип данных | Формат | Как уточнить |
|---|---|---|
| Номер банковской карты | Как правило, 16 цифр, часто группами по 4 | Проверка по алгоритму Луна |
| Паспорт РФ | Серия — 4 цифры, номер — 6 цифр | Ключевые слова «паспорт», «серия», «выдан» рядом |
| СНИЛС | 11 цифр, обычно в виде XXX-XXX-XXX YY | Проверка контрольного числа |
| ИНН | 10 цифр для организаций, 12 — для физических лиц | Проверка контрольных цифр |
Цифровые отпечатки: защита конкретных документов
Отпечаток — это сигнатура эталонного документа. Система находит не только сам файл, но и его фрагменты, вставленные в другой документ или письмо.
Метод хорош для того, что нельзя описать словарём: типовые договоры, финансовые модели, технические спецификации, выгрузки клиентской базы. Эталоны стоит хранить в отдельной папке, которую система регулярно перечитывает, — тогда новые версии документов попадают под защиту автоматически.
Действия при срабатывании
| Действие | Когда применять |
|---|---|
| Только регистрация | Новые политики в период настройки, низкорисковые события |
| Уведомление пользователя | Предупредить о нарушении правил и дать возможность отменить действие |
| Уведомление службы ИБ | События, требующие разбора аналитиком |
| Блокировка | Политики, которые уже проверены и работают точно |
| Карантин | Спорные случаи: файл задерживается до решения ответственного |
Главное правило: новая политика начинает работать в режиме регистрации. В блокировку её переводят только после того, как разобраны первые срабатывания и убраны ложные.
Стартовый набор политик
Не пытайтесь закрыть всё сразу. Пять-семь политик, которые работают точно, полезнее пятидесяти, которые никто не разбирает.
| Политика | Что защищает | Методы | Каналы |
|---|---|---|---|
| Персональные данные клиентов | Паспорта, СНИЛС, ИНН, номера карт | Регулярные выражения с проверкой контрольных сумм и порогом количества | Почта, мессенджеры, облака, USB |
| Коммерческая тайна | Документы с грифом, договоры, финансовые модели | Метки файлов, цифровые отпечатки | Все внешние каналы |
| Клиентская база | Выгрузки из CRM, списки контактов | Отпечатки выгрузок, порог количества контактов в файле | Почта, облака, USB |
| Финансовая отчётность до публикации | Бюджеты, отчёты, прогнозы | Словари, отпечатки шаблонов | Почта, мессенджеры |
| Исходный код и техническая документация | Репозитории, архитектура, чертежи | Отпечатки, типы файлов | Облака, личная почта, USB |
| Повышенный контроль групп риска | Сотрудники в период увольнения, подрядчики | Все политики с пониженным порогом | Все каналы |
| ИИ-сервисы | Вставка документов в чат-боты | Контроль вводимого текста и отправки файлов | Браузер, приложения ИИ-сервисов |
Политику для коммерческой тайны имеет смысл вводить вместе с юридическим режимом: перечень сведений и гриф на документах — обязательные меры по 98-ФЗ.
Как снизить количество ложных срабатываний
Сужайте условия
Сочетайте несколько признаков в одной политике: не «документ содержит номер карты», а «документ содержит больше десяти номеров карт, прошедших проверку, и отправляется на внешний адрес». Каждое дополнительное условие отсекает часть шума.
Добавляйте исключения для легитимных потоков
Бухгалтерия законно отправляет реестры в банк, кадровая служба — сведения в фонды, юристы — договоры контрагентам. Эти потоки нужно описать исключениями: конкретные отправители, конкретные получатели или домены, конкретные типы документов. Исключение «для всего отдела» — плохая практика: оно открывает канал для любых данных.
Используйте группы риска
Одна и та же политика может работать с разной чувствительностью для разных групп. Для сотрудников в период увольнения, подрядчиков и тех, у кого уже были нарушения, порог ниже. Для остальных — выше. Так аналитик тратит время на события, где вероятность реального инцидента выше.
Разбирайте срабатывания вместе с бизнесом
Аналитик ИБ не всегда может отличить легитимную операцию от нарушения. Владелец процесса — руководитель отдела продаж, главный бухгалтер — знает, какие данные и куда должны уходить. Регулярный разбор с ними — самый быстрый способ настроить исключения.
Отслеживайте метрики
| Метрика | Что показывает |
|---|---|
| Доля ложных срабатываний по политике | Какие политики нужно сужать в первую очередь |
| Число событий на аналитика в день | Реально ли разобрать поток имеющимися силами |
| Время от срабатывания до разбора | Успевает ли служба ИБ реагировать |
| Число подтверждённых инцидентов | Работает ли политика вообще |
Политика, которая месяцами не дала ни одного подтверждённого инцидента и только шумит, — кандидат на переработку или отключение.
Как часто пересматривать политики
- ежемесячно — разбор статистики срабатываний и ложных срабатываний по каждой политике;
- при изменениях в бизнесе — новые продукты, отделы, контрагенты, информационные системы;
- при появлении новых каналов — мессенджеров, облачных сервисов, ИИ-ассистентов;
- после каждого инцидента — почему политика сработала или не сработала, что нужно изменить.
Типичные ошибки
Политики из коробки без адаптации. Шаблоны вендора — отправная точка, но они не знают ваших документов, процессов и контрагентов.
Одна широкая политика вместо нескольких узких. «Конфиденциальные документы» по словарю из сотни слов ловит всё подряд. Отдельные политики под отдельные типы данных проще настраивать и разбирать.
Блокировка с первого дня. Остановленная легитимная работа быстро делает DLP врагом для всей компании.
Исключения без ограничений. Исключение «для всей бухгалтерии на все каналы» превращает отдел в слепую зону.
Нет владельца политики. Если никто не отвечает за конкретную политику, её не пересматривают, и через полгода она перестаёт соответствовать реальности.
Часто задаваемые вопросы
Сколько политик нужно на старте?
Пять-семь, покрывающих самые критичные данные: персональные данные клиентов, коммерческую тайну, клиентскую базу, финансовую отчётность. Новые политики добавляются после того, как стартовые отлажены.
Какой уровень ложных срабатываний считать нормальным?
Универсальной нормы нет. Ориентир — поток событий, который аналитики успевают разбирать каждый день. Если события копятся, политики нужно сужать.
Что лучше: словари или цифровые отпечатки?
Для разных задач. Словари находят тематические документы, которые ещё не существуют в виде эталонов. Отпечатки точнее защищают конкретные известные документы. На практике их сочетают.
Можно ли сразу включить блокировку по шаблонным политикам?
Не стоит. Шаблоны не учитывают ваши легитимные потоки данных. Сначала несколько недель работы в режиме регистрации, разбор срабатываний и исключения — затем блокировка для тех политик, которые работают точно.
Нужно ли уведомлять сотрудника при срабатывании?
Для части политик — да. Уведомление «вы пытаетесь отправить персональные данные на внешний адрес» предотвращает случайные утечки и само по себе снижает число нарушений. Для расследования подозрительной активности уведомление, наоборот, может помешать.
