Ochrona Danych

Usługa ochrony danych łączy pięć elementów. Trzy pierwsze porządkują zbiory: inwentaryzacja, klasyfikacja i reguły DLP pilnujące kanałów wyjścia. Dwa kolejne pilnują samej treści: kryptografia wraz z obsługą kluczy oraz pseudonimizacja danych używanych poza produkcją. Część dostawców sprzedaje tylko wybrane elementy, najczęściej samo narzędzie DLP albo sam projekt kryptografii. Zakres rozpisz w zapytaniu ofertowym, bo bez tego oferty opisują różne prace pod jedną nazwą.

RODO nie nakazuje ani szyfrowania, ani DLP wprost, wskazuje szyfrowanie jako przykład środka odpowiedniego do ryzyka. Skutek praktyczny jest węższy niż zwolnienie z obowiązków: o zgłoszeniu do organu nadzorczego decyduje ocena ryzyka dla praw i wolności osób, a dane nieczytelne dla osoby nieuprawnionej pozwalają odstąpić od zawiadamiania samych zainteresowanych. Przy danych szczególnych kategorii i urządzeniach mobilnych brak szyfrowania trudno obronić.

Najpewniejszym testem jest ograniczony pilot na jednym dziale i jednym kanale, rozliczony osobno od wdrożenia właściwego. Oceń go po tym, co klasyfikacja faktycznie znalazła w Twoich zasobach, a nie po prezentacji na danych demonstracyjnych. Poproś też o wskazanie inżyniera, który poprowadzi prace, i ustal, ile jego czasu rezerwuje harmonogram.

Po odbiorze zostają cztery rzeczy do dalszego użycia: raport z klasyfikacji, komplet reguł DLP z opisem każdej z nich, polityka zarządzania kluczami i procedura postępowania przy naruszeniu ochrony danych. Raport z klasyfikacji ma wartość poza samym DLP, bo wskazuje dane do usunięcia i uprawnienia nadane zbyt szeroko. Reguły wepnij w proces zarządzania zmianą, żeby nowy system ani nowy dysk nie pojawił się poza klasyfikacją.

Nieudane wdrożenia zaczynają się zwykle od włączenia blokad na wszystkich kanałach naraz, jeszcze przed strojeniem reguł. Skutek jest przewidywalny: rośnie liczba fałszywych alarmów, zespoły naciskają na wyłączanie kolejnych reguł, a wyłączone reguły rzadko wracają. Do tej samej grupy należy zakup licencji przed klasyfikacją, bo wtedy zakres wdrożenia ustala cennik narzędzia, a nie realna wrażliwość zbiorów.

Klasyfikację zbiorów i porządek w uprawnieniach przeprowadzisz własnym zespołem, natomiast projekt kryptografii i strojenie reguł DLP rzadko wychodzą bez doświadczenia z wcześniejszych wdrożeń. Włączenie szyfrowania dysków i poczty w narzędziach, które już masz, też mieści się w zasięgu wewnętrznego IT. Granica biegnie tam, gdzie błąd kosztuje utratę dostępu do własnych danych: model kluczy, procedura odzyskiwania i wyjątki od reguł.

Wdrożenie prowadzone etapami nie zatrzymuje pracy, bo faza obserwacji rejestruje zdarzenia bez blokowania czegokolwiek. Odczuwalne stają się dopiero blokady, dlatego włącza się je kanał po kanale i po ogłoszeniu zmiany zespołom. Realne obciążenie po Twojej stronie to obsługa wyjątków tuż po każdym przełączeniu, więc ktoś musi mieć na nie zarezerwowany czas. Skanowanie dużych repozytoriów planuje się poza godzinami szczytu, żeby oszczędzić serwery plików.

Wdrożenie potrzebuje czterech ról: administratora poczty i stacji roboczych, właścicieli procesów biznesowych, inspektora ochrony danych albo osoby odpowiedzialnej za zgodność oraz osoby decyzyjnej, która zatwierdza blokady. Właściciele procesów ważą najwięcej i najczęściej są pomijani, bo tylko oni powiedzą, które wysłanie pliku na zewnątrz jest normalną pracą. Bez nich reguły opisują strukturę plików zamiast obiegu dokumentów.

Klasyfikacja i strojenie reguł wymagają dostępu do treści, więc dostawca zobaczy próbki dokumentów, a przy analizie alertów także konkretne pliki i adresatów. Zakres tego dostępu wyznacza umowa powierzenia przetwarzania, imienna lista osób po stronie dostawcy oraz zasada, że dane nie opuszczają Twoich systemów. Ustal również, gdzie trafiają logi z konsoli DLP i kto je czyta, bo one same ujawniają, kto co wysyła.

Odpowiedzialność wobec organu nadzorczego i wobec osób, których dane dotyczą, zostaje po stronie administratora danych, którym w tym układzie jest zwykle Twoja firma, niezależnie od tego, czyje narzędzie zawiodło. Umowa z dostawcą może rozłożyć skutki finansowe i opisać jego obowiązki, ale nie przenosi roli administratora. Dlatego w kontrakcie ważą bardziej same zobowiązania niż kary umowne: czas reakcji na alert, zakres utrzymania reguł i udział w ustalaniu zakresu naruszenia.