Egy adatszivárgás-védelmi (DLP) rendszer minden kimenő levélnél, feltöltésnél és nyomtatásnál ugyanazt kérdezi: mehet-e ez az adat oda, ahová a felhasználó küldi. Erre csak akkor tud válaszolni, ha valaki előtte eldöntötte, melyik adat mennyire érzékeny, és kinek mit szabad vele csinálnia. Ezt a döntést nevezzük adatosztályozásnak.
Miért nem működik a DLP osztályozás nélkül
A DLP-szabályok két dologra épülhetnek: a tartalomban talált mintára, például egy bankkártyaszámra, és az adathoz rendelt címkére. Osztályozás nélkül csak az első marad. A mintakeresés a jól formázott adatoknál beválik, egy ajánlati árkalkulációban, egy gyártási receptúrában vagy egy vezetői prezentációban viszont nincs olyan karaktersor, amelyről egy gép felismerné, hogy bizalmas.
A nagyobb gond a mérce hiánya. Ha sehol nincs leírva, mi számít bizalmasnak, a szabályt az üzemeltető írja meg a saját belátása szerint. A szigorú szabály sok ártalmatlan levelet is megfog, ezért a felhasználók kerülőutat keresnek, például a magán e-mail-címüket. A laza szabály csendben átenged mindent, amit nem ismer fel. Utólag egyik esetben sem lehet megmondani, jól dolgozik-e a rendszer, mert nincs mihez mérni.
Az osztályozás adja ezt a mércét. Kimondja, hogy egy adott kategóriájú adat hová mehet, ki láthatja és milyen védelemmel, a DLP pedig ezt a döntést hajtja végre. Az ISO/IEC 27001:2022 szabvány A mellékletében is külön kontroll az információ osztályozása (5.12) és címkézése (5.13).
Hány szint kell: nyilvánostól a szigorúan bizalmasig
A vállalati gyakorlatban a három-öt szintes sémák terjedtek el. Egy négyszintes felosztás például így nézhet ki:
| Szint | Mit jelent | Példák | Kezelés |
|---|---|---|---|
| Nyilvános | Közzétételre szánt, bárki megismerheti. | Weboldal, termékismertető, sajtóközlemény | Nincs korlátozás. |
| Belső | A szervezeten belül szabadon mozoghat, kifelé nem szánták. | Belső szabályzatok, telefonkönyv, belső hírlevél | Külső címzetthez csak indokkal. |
| Bizalmas | Csak az érintettek láthatják, kikerülése kárt okoz. | Szerződések, ajánlatok, ügyféllisták, bérlista | Megnevezett címzettek, titkosított továbbítás. |
| Szigorúan bizalmas | Néhány megnevezett személy fér hozzá, kikerülése súlyos kárt okoz. | Felvásárlási tárgyalás anyagai, forráskód, gyártási receptúra | Külső megosztás tiltva, titkosítás, minden hozzáférés naplózva. |
A szintek számánál az a próba, hogy egy munkatárs egy dokumentum láttán néhány másodperc alatt el tudja-e dönteni, hová tartozik. Hét-nyolc szintnél ez már nem megy: bizonytalan esetben a felhasználók a legalacsonyabbat vagy a legmagasabbat választják, és a besorolás elveszti a jelentését. Két szint kevés, mert akkor a bérlista és a belső telefonkönyv egy kategóriába kerül.
A szinteknek a kezelési szabályokban kell különbözniük. Ha a belső és a bizalmas adat ugyanúgy mehet e-mailben, ugyanúgy nyomtatható és ugyanúgy másolható pendrive-ra, akkor a kettő valójában egy szint. Minden szinthez érdemes rövid kezelési táblát írni arról, mi a teendő tároláskor, megosztáskor, nyomtatáskor és selejtezéskor.
A besorolásról az adatgazda dönt, vagyis annak a folyamatnak a felelőse, amelyben az adat keletkezik: a bérlistáról a HR, a beszámoló előzetes változatáról a pénzügy. Az informatika ezt a döntést végrehajtja. Ha a sémát egyedül az IT írja meg, technikai szempontok szerint készül el, és az üzleti kár mértéke kimarad belőle.
Mi számít érzékeny adatnak
Egy adat érzékenységét három kérdés dönti el: véd-e rá jogszabály vagy szerződés, mekkora kárt okozna a kikerülése, és hozzáférést ad-e más adatokhoz.
Személyes adatok
Az Európai Unió általános adatvédelmi rendelete (GDPR) személyes adatnak tekint minden információt, amely azonosított vagy azonosítható természetes személyre vonatkozik. A rendelet 9. cikke ezen belül különleges kategóriákat sorol fel, köztük az egészségügyi és genetikai adatokat, a természetes személyek egyedi azonosítására használt biometrikus adatokat, a szexuális életre és irányultságra vonatkozó adatokat, valamint a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre és szakszervezeti tagságra utaló adatokat. Ezek a sémában a legfelső szintre kerülnek. Magas szintre valók a személyazonosításra használt számok is: a személyi igazolvány száma, az adóazonosító jel és a TAJ-szám.
Pénzügyi adatok
A bankkártyaadatok kezelésére a PCI Security Standards Council PCI DSS szabványa vonatkozik, ami a kártyás fizetést fogadó szervezeteknél külön követelményeket jelent. A bankszámlaszámok, a béradatok és a még nem közzétett pénzügyi beszámolók szintén a bizalmas szintre tartoznak.
Üzleti titok
Az üzleti titok védelméről szóló 2018. évi LIV. törvény csak akkor tekint üzleti titoknak egy információt, ha a titokgazda, egyebek mellett, az adott helyzetben elvárható módon gondoskodott a titokban tartásáról. A besorolás és a hozzá tartozó kezelési szabály ilyen intézkedés, és vita esetén azt is segít igazolni, hogy a cég valóban titokként kezelte az adatot. Ide tartozik a forráskód, a műszaki dokumentáció, a gyártási paraméterek és az ajánlati árak.
Hitelesítési adatok
Jelszavak, API-kulcsok, tanúsítványok privát kulcsai, VPN-konfigurációk. Ezeknek önmagukban kicsi az üzleti értékük, de aki megszerzi őket, a többi adathoz is hozzáfér. Gyakran kerülnek véletlenül hibajegyekbe, csevegőüzenetekbe és kódtárakba, ezért a mintakeresésnek ezekre is figyelnie kell.
A halmozás is számít. Egy munkatárs neve önmagában belső adat lehet, ezer név adóazonosítóval és lakcímmel egy táblázatban viszont már a legmagasabb szintek egyike. A sémában érdemes kimondani, hogy egy adatgyűjtemény a benne lévő legérzékenyebb elem szerint, nagy mennyiségnél egy szinttel feljebb sorolandó.
Kézi címkézés és automatikus felismerés
A besorolásnak rá kell kerülnie a fájlra vagy a levélre, különben a DLP nem látja. Erre két módszer van, és a legjobb eredményt a kettő együtt adja.
Kézi címkézés
A felhasználó a dokumentum mentésekor vagy a levél küldésekor kiválasztja a címkét. A címke a fájl metaadataiba kerül, és sok rendszerben fejlécet, láblécet vagy vízjelet is tesz a dokumentumra, így a kinyomtatott lapon is látszik a besorolás. A tartalmat az ismeri a legjobban, aki írta, ezért a kézi címke általában pontos. A gyengéje a sietség: ha minden mentésnél választani kell, egy idő után a felhasználó gondolkodás nélkül kattint.
Ezen az alapértelmezett címke segít. Ami címke nélkül jön létre, az automatikusan belső lesz, és a felhasználónak csak az eltérést kell jelölnie. Ha valaki egy címkét alacsonyabb szintre állít, indokolnia kell, és ez a naplóba kerül.
Automatikus felismerés
Itt a rendszer a tartalomból következtet a besorolásra. A legegyszerűbb eszköz a reguláris kifejezés, amely egy adott formátumú karaktersort keres. Önmagában sok téves találatot ad, mert egy kilencjegyű szám sok minden lehet. Pontosabb, ha a mintához ellenőrző összeg is tartozik: a bankkártyaszámoknál a Luhn-algoritmus, a nemzetközi bankszámlaszámoknál (IBAN) a 97-es maradékos ellenőrzés, az adóazonosító jelnél és a TAJ-számnál a beépített ellenőrző számjegy szűri ki a véletlen egyezéseket. Tovább szűkít, ha a szabály a minta közelében kulcsszót is vár, például „TAJ” vagy „adóazonosító”.
A mintázat nélküli adatokra más módszerek valók. Az ujjlenyomatozás (fingerprinting) egy mintadokumentumról, például egy szerződéssablonról vagy egy belső űrlapról, kivonatot készít, és felismeri a részben módosított másolatokat és kivonatokat is. A pontos adategyeztetés (exact data match) egy ügyfél- vagy dolgozói tábla tényleges értékeit keresi, így csak azokat a neveket jelzi, amelyek a táblában szerepelnek. A gépi tanulásos osztályozók dokumentumtípusokat ismernek fel, például önéletrajzot vagy forráskódot; ezeket a saját dokumentumokon kell kipróbálni, mielőtt szabály épül rájuk. A szkennelt iratokban és képernyőképeken a szöveg képként van jelen, ezeket csak optikai karakterfelismeréssel (OCR) lehet vizsgálni.
A két módszer egymást is ellenőrzi. Ha az automatikus felismerés személyes adatot talál egy nyilvánosnak címkézett dokumentumban, a rendszer figyelmeztetheti a felhasználót, vagy jelezhet az adatgazdának.
Csatornák: e-mail, felhőtárhely, nyomtató, USB
Az adat több úton hagyhatja el a szervezetet, és mindegyikre más ellenőrzési pont lát rá. A besorolás minden csatornán ugyanaz, a szabályt viszont csatornánként kell megírni.
A levelezőszerveren vagy a levelezési átjárón futó DLP a kimenő levelet és a mellékleteit vizsgálja. Itt a legtöbb a választási lehetőség: a levél megállítható, karanténba tehető, kényszerített titkosítással mehet tovább, vagy a feladó figyelmeztetést kap, és indoklással mégis elküldheti. A szabálynak meg kell különböztetnie a belső és a külső címzettet. A jelszóval védett mellékletekbe a vizsgálat nem lát bele, ezekről külön kell dönteni, hogy átmehetnek-e.
Felhőtárhely és webes feltöltés
A céges felhőtárhelyen a DLP a tárolt fájlokat és a megosztásokat ellenőrzi, és jelez, ha egy bizalmas dokumentumhoz külső vagy bárki által megnyitható hivatkozás készül. A nem céges szolgáltatások felé, legyen az magán tárhely vagy webes AI-eszköz, a végponti ügynök vagy a webes forgalmat vizsgáló proxy és tűzfal lát rá a feltöltésre. Ehhez a HTTPS-forgalmat fel kell bontani (TLS-vizsgálat), ami a tanúsítványkezelés és az adatvédelmi kivételek miatt külön tervezést kíván. Hogy az AI-eszközökbe milyen adat kerülhet ki, azt a shadow AI-ról szóló cikk tárgyalja.
Nyomtató
A kinyomtatott lap kikerül a digitális ellenőrzés alól. A végponti ügynök a nyomtatási feladatot a címke és a tartalom alapján engedélyezheti, tilthatja vagy naplózhatja. A nyomtatón a hitelesített nyomtatás, amelynél a feladat csak kártya vagy PIN-kód megadása után jön ki, megakadályozza, hogy a bizalmas lap órákig a tálcán maradjon.
Cserélhető adathordozó
A pendrive és a külső merevlemez a végponton szabályozható. Tiltható, csak olvasásra engedhető, korlátozható a cég által kiadott titkosított eszközökre, vagy csak a bizalmas címkéjű fájlok másolása tiltható. Ahol a teljes tiltás nem tartható, ott az engedélyezett eszközök listája és a másolások naplózása ad elfogadható egyensúlyt.
Figyelő üzemmód, hamis találatok és fokozatos élesítés
Az új szabály először csak figyel: naplózza, mit állítana meg, de semmit nem tilt. Ebben a szakaszban derül ki, mit talál valójában. Érdemes legalább egy teljes hónapot kivárni, hogy a havonta ismétlődő folyamatok, például a bérszámfejtés forgalma is megjelenjen a naplóban.
A hamis találatok
A találatok átnézésekor jellemzően kiderül, hogy a jelzések egy része valódi: emiatt készült a szabály. Egy másik része téves, például egy cikkszám, amely bankkártyaszámnak látszik, vagy egy tesztadatokkal teli fejlesztői fájl. Ezeknél a mintát kell szűkíteni vagy kulcsszóval pontosítani. Végül vannak jogos üzleti folyamatok, amelyek valóban érzékeny adatot visznek ki, például a havi bérlista a külső bérszámfejtőhöz. Ezeket előbb biztonságos csatornára kell terelni, és csak utána kapnak kivételt.
A kivételekhez ugyanaz a fegyelem kell, mint a tűzfalszabályokhoz: legyen gazdájuk, indoklásuk és lejárati idejük. Egy feladóra, egy címzett tartományra vagy egy mappára szóló szűk kivétel kezelhető. Ha viszont egy egész osztály kap kivételt, a szabály gyorsan kiürül.
Az élesítés lépései
- Figyelés: a szabály csak naplóz, a találatokat az adatgazdákkal közösen kell átnézni.
- Figyelmeztetés: a felhasználó üzenetet kap, hogy érzékeny adatot küldene, és indoklással folytathatja. Az indoklásokból kiderül, hol hiányzik egy biztonságos csatorna.
- Blokkolás a legfelső szinten: a szigorúan bizalmas adat kiküldése tilos, a többi szint még csak figyelmeztet.
- Bővítés: a blokkolás fokozatosan kiterjed a bizalmas szintre és a további csatornákra.
Minden lépés előtt meg kell mondani a felhasználóknak, mi változik, és kihez fordulhatnak, ha egy jogos levél fennakad. Ha egy beadási határidő előtt megakad egy ajánlat, és nincs gyors út a feloldásra, könnyen az lesz a vége, hogy az egész szabályt kikapcsolják.
Az éles működéshez eseménykezelési folyamat is tartozik: ki nézi a riasztásokat, mennyi időn belül, és mikor számít egy találat incidensnek. Egy riasztás még nem megerősített incidens. A GDPR 33. cikke szerint ha az adatkezelő tudomást szerez egy adatvédelmi incidensről, azt indokolatlan késedelem nélkül, lehetőleg 72 órán belül be kell jelentenie a felügyeleti hatóságnak, kivéve ha az valószínűleg nem jár kockázattal az érintettek jogaira és szabadságaira. Ezért az adatvédelmi tisztviselőnek is tudnia kell a folyamatról. A riasztások mögött sokszor sietség vagy tévedés áll, ritkábban szándék.
Kapcsolódó szolgáltatás: Adatszivárgás-védelem (DLP) →
