In acest context, procesul de DLP – Data Leak Prevention – devine unul extrem de important. Am denumit „proces” si nu masura de prevenire tocmai datorita complexitatii. In cadrul acestui proces sunt cuprinse masuri de prevenire, politici de prevenire, precum si instrumente de prevenire – a pierderii de date confidentiale.
 Inainte de a incepe definirea acestui proces si exemplificarea anumitor etape si situatii, ar trebui sa ne oprim putin asupra ceea ce inseamna date confidentiale. Care sunt criteriile de catalogare pentru confidentialitate? Sunt mai multe grade de confidentialitate?
 Este evident ca, asa cum probabil ne asteptam, fiecare informatie poate fi clasificata si plasata intr-o anumita categorie specifica, urmand ca, apoi, pentru fiecare categorie, sa avem un anumit grad de confidentialitate. Putem avea, astfel, ca si impartire generala informatii de uz intern, informatii confidentiale (la nivel de companie), foarte confidentiale (la nivel de segment/departament in cadrul companiei) si strict secrete (cunoscute doar de anumite persoane cu anumite functii si drepturi). In mare parte, in aproape majoritatea domeniilor gasim acest tip de catalogare (in functie de confidentialitate) – deci, aceasta enumerare a noastra nu aduce nimic nou.
 Ce am vrea totusi sa subliniem este, insa, un alt lucru. Odata cu inrautatirea climatului socio-politico-economic, aceste categorii distincte s-au restrans. Experienta ultimei perioade arata ca, in aceste momente, vorbim doar de 2 categorii – informatii foarte confidentiale si strict secrete. Practic, in conditiile de competitie din ce in ce mai acerba existente pe piata, nimeni nu isi mai asuma riscuri legate de expunerea informatiilor catre exterior. Se prefera o catalogare a informatiilor mult mai stricta, impunandu-se clauza de confidentialitate mult mai des decat este cazul - pentru a elimina chiar si cea mai mica posibilitate de risc.
 Prin urmare, tot procesul de prevenire a pierderii de informatii va trebui analizat din aceasta perspectiva, el intervenind pe tot parcursul „vietii” unui document (si implicit, informatii). Asa cum stim, un document (continand o informatie) este conceput, redactat, folosit, ajustat, clasificat si, in final, cand devine inutilizabil (din punct de vedere al corectitudinii sau actualitatii informatiei continute) este arhivat sau distrus.

 Mentionam anterior faptul ca, in acest proces de prevenire, intervin mai multe componente – politici de prevenire, instrumente de prevenire etc.Vom prezenta, in continuare, cateva dintre elementele apartinand acestora, avand in vedere aspectele generale (care sa nu tina seama de domeniul in care se va aplica procesul de prevenire), cat si anumite cerinte specifice (absolut necesare pentru diferite zone de interes).
 In primul rand, trebuie sa spunem faptul ca amenintarile (care exploateaza bresele de securitate si duc la scurgeri de informatii) sunt de doua tipuri : interne si externe. Astfel, problemele pot veni atat din eventualele atacuri initiate de persoane din afara companiei (cum a fost cazul atacurilor de tip informatic), cat si din eventualele brese pe care le ofera angajatii interni (datorate neglijentei, intentiilor mai putin bune etc.)
 Pentru acest ultim caz, probabil, cel mai simplu canal de comunicatie expus unor astfel de probleme este e-mail-ul. Transmiterea unor documente, informatii etc. prin intermediul postei electronice este o practica uzuala la momentul actual. Mai mult, e-mail-ul este considerat ca si o dovada de netagaduit in cazul unor dispute (legale sau de alta natura).
 Asadar, orice bresa in acest tip de comunicatie poate avea consecinte grave. Problema clara identificata in acest punct nu tine atat de mult de interceptarea externa a unui e-mail, ci de posibilitatea ca eventualele scurgeri de informatii din interior spre exterior, prin intermediul acestui canal sa nu poata fi prevenite sau oprite. Cu alte cuvinte, sistemele interne (server de e-mail, firewall etc.) trebuie sa fie capabile sa ofere posibilitati de filtrare automate, astfel incat e-mail-urile problema sa poata fi detectate si oprite.
Integrarea unor filtre de acest tip (ca si expresie a anumitor politici de securitate) se poate face relativ simplu, realizandu-se scanarea traficului generat de e-mail-uri, cat si traficul de tip HTTP sau HTTPS. Care ar fi motivatia acestei ultime verificari (oarecum suplimentare)?
Dupa cum probabil v-ati dat seama, este putin probabil ca, in cazul in care se doreste expedierea unor documente confidentiale catre exterior (voit), persoana in cauza sa foloseasca e-mail-ul oficial al companiei. Dimpotriva, atentia se va indrepta catre serviciile de posta electronica gratuite oferite de furnizorii cunoscuti. Prin urmare, este absolut necesara o filtrare specifica si a traficului HTTP (asa cum am mentionat deja).

Desigur, filtrarea traficului de iesire din reteaua unei companii nu este singura zona de considerat. Trebuie avuta in vedere si protectia datelor in interiorul aceleiasi retele si prevenirea pierderii de informatii prin alte metode decat e-mail-ul in sine.
In acest caz, ne referim la dispozitivele mobile folosite pentru transportul datelor – gen USB stick, carduri de memorie, CD/DVD etc. Cum se poate preveni inscriptionarea unui USB stick de catre un utilizator care doreste sa sustraga anumite documente (informatii) confidentiale? Evident, monitorizarea pas cu pas (video) nu se poate pune in discutie.
Mai mult, sunt foarte multe companii care ofera laptop-uri angajatilor, pe care acestia le pot lua si pe care pot lucra acasa.
O monitorizare a activitatii disk-urilor este posibila, insa, numai in cadrul retelei interne. In nici un caz, nu putem vorbi de o monitorizare externa (sau prin intermediul VPN-ului). In cazul unor companii cu retele foarte vaste (multi utilizatori), granularitatea nu va permite nici macar monitorizarea interna totala datorita complexitatii unui astfel de sistem de monitorizare. Deci, care ar fi solutia in aceste situatii?
Din pacate, raspunsul la aceasta ultima intrebare este unul extrem de dificil. In acest caz, se pot identifica doua categorii de solutii – empirice si practice.
Pentru partea empirica – putem incadra aici documentele contractuale (NDA – Non-Disclosure Agreement) semnate de catre utilizator si legate de confidentialitatea informatiilor utilizate. Rezultatele acestor solutii nu sunt intotdeauna din cele mai bune.

Cea de-a doua categorie de solutii – ne gandim la aplicatii specifice de scanare a echipamentului pentru activitati specifice sau de software de monitorizare a intregii activitati desfasurate pe acel dispozitiv (laptop, desktop, PDA etc). In acest caz, insa, sunt multe probleme, atat in evaluarea rezultatelor (cine va verifica toate log-urile acestor aplicatii, cum, cand, cat de repede pentru a descoperi in timp util eventualele brese de securitate etc), cat si din punct de vedere al intimitatii utilizatorului. Deci, acest tip de solutii poate fi considerat controversat, fiind luat in calcul doar ca ultima posibilitate.
De ce am adus in discutie tocmai aceste categorii de solutii?
Motivul este, oarecum, evident – procesul de prevenire a pierderii de informatii confidentiale este unul foarte complex. Mai mult, sunt situatii in care pare aproape imposibil de prevazut, de analizat sau de verificat o eventuala scurgere de informatii.
Reluand incidentele prezentate la inceputul articolului, trebuie spus ca, spre exemplu, sistemul bancar nu avea cum sa stie ca va fi necesara, la un moment dat, dezvaluirea unor informatii, clasificate drept strict confidentiale, tocmai pentru a permite stoparea si pedepsirea unei infractiuni. Din punctul de vedere al bancii, dezvaluirea informatiilor poate fi un act de buna credinta, insa, din punct de vedere client, aceasta poate fi intrepretata ca o scurgere de informatii. Pentru ceilalti clienti se va induce nesiguranta sistemului bancar in sine si, prin urmare, va scadea nivelul de incredere asociat aceste zone.

Pe de alta parte, incidentul care a avut in prim plan atacul informatic (cu hacker-ul asociat) poate fi considerat ca determinand pierdere de informatie din punctul de vedere al companiilor furnizoare de solutii de securitate. Insa, faptul ca atacatorul a folosit acest prilej doar pentru a evidentia bresele de securitate fara a se folosi de ele, poate fi catalogat ca un exemplu util si fericit. In acest caz, practic, intregul incident a fost ca o verificare suplimentara si a adus beneficii.
Reamintirea celor doua incidente prezentate anterior a exemplificat un fapt simplu si destul de dur – fiecare problema care trateaza pierderile (scurgerile) de informatii poate avea un profil anume facand uneori imposibila crearea si aplicarea unor tipare de procese de prevenire. Ele trebuie tratate separat, necesitand, de multe ori, foarte multe resurse. Eficienta scade, iar rezultatele nu sunt cele dorite.
Prin urmare, urmarind ideea de inceput a acestui articol, cu cat informatia devine mai importanta, cu atat metodele de atac se diversifica, iar procesul de prevenire devine din ce in ce mai complex. Metodele obisnuite de filtrare (trafic etc.) nu mai sunt suficiente, iar securitatea informatiei devine practic una dintre principalele tinte ale fiecarei companii in parte – se infiinteaza departamente specializate, se interconecteaza sisteme speciale de verificare si prevenire etc.
Dar despre acest subiect – foarte actual si foarte complex, vom reveni si in articolele noastre viitoare.

Articol realizat de Catalin DOGARU pentru numarul din martie al revistei ComputerWorld