جلوگیری از نشت اطلاعات(DLP)

در طی چند سال اخیر جلوگیری از نشت اطلاعات (DLP)، همچنین اتخاذ سیاست هایی به منظور حفظ اطلاعات حساس در کسب وکار و جلوگیری از سوء استفاده احتمالی سودجویان از این اطلاعات، بسیار مورد توجه مدیران، مسولان سازمان ها قرار گرفته است. این موضوع ممکن است شما را نیز به فکر فرو برده باشد.
در این راستا علاوه بر محیط کسب و کار که به دنبال راهی برای جلوگیری از نشت اطلاعات است سرویس دهندگان نیز در حال ارائه محصولات کاربر پسند به منظور جلوگیری از نشت اطلاعات هستند. اما مشکل قضیه اینجاست که وجود تهدیدات متنوع و همچنین محصولات مختلف با دیدگاههای متفاوت به این تهدیدات، منجر به ایجاد سردرگمی شده است.
به نظر می رسد پیاده سازی و بکارگیری هماهنگ ابزارهای DLP به همراه فرآیندهای صحیح، عاملی است که می تواند کمک شایانی به جلوگیری از نشت اطلاعات نماید.

مفهوم واقعی جلوگیری از نشت اطلاعات
DLP، مجموعه ای از محصولات و فرآیندها و راهکارهایی است که به حفاظت از اطلاعات حساس و مهم سازمانی کمک می کند.DLP تنها یک محصول مستقل مانند فایروال یا ایمیل سرور نیست بلکه مجموعه ای از تکنولوژی هایی است که چندین جنبه مهم از امنیت اطلاعات را در کنار هم قرار می دهد تا بتوان به کمک آن امنیت داده ها را در مجموعه و سازمان برقرار کرد. سیستم DLP ممکن است با شناسایی محتوا، ردیابی فعالیتها و مسدود نمودن انتقال اطلاعات حساس، به جلوگیری از نشت اطلاعات کمک نماید.
گرچه سال های کمی از ظهور DLP می گذرد، ولی بسیاری از تکنولوژی های زیرساختی و فرآیندهای مورد استفاده در آن بصورت جدی مورد آزمایش قرار گرفته اند.

بطور کلی DLP شامل موارد ذیل می باشد:
• طبقه بندی داده ها
طبقه بندی داده ها جزء اصلی و جدانشدنی DLP می باشد. اگر سازمان قادر به شناسایی اطلاعات مهم و حساس خود نباشد، بدیهی است که نخواهد توانست از تکنولوژی مناسب جهت جلوگیری از نشت اطلاعات استفاده نماید. کلید اصلی، پیاده سازی یک سیستم کارآمد و اطمینان از امکان توسعه آن است. طبق اظهارات کارشناسان حوزه امنیت، طبقه بندی نادرست اطلاعات، کاهش چشمگیر کارآمدی این سیستم ها را بهمراه خواهد داشت. پیشنهاد می گردد اطلاعات به سه یا چهار دسته نظیر عمومی، فقط داخلی، محرمانه و ... طبقه بندی شده و تقسیم گردند.

• رمزگذاری اطلاعات
توجه کنید که رمزنگاری، معادل با فرایند DLP نیست بلکه رمزنگاری یکی از اجزاء مهم جهت حفاظت از داده های ذخیره شده، داده های در حال استفاده و داده های در حال انتقال سازمان است.
شایان ذکر است انطباق سیاستهای در نظر گرفته شده، با اصول سازمان، امری حیاتی است. رمزنگاری اطلاعات می تواند به سادگی در یک سازمان اعمال گردد بطور مثال وقتی یک فایل اکسل، پیوست یک نامه است، باید آنرا رمزنگاری کرد.
• شناسایی و مسدود کردن داده های در حال خروج از درگاه مناطق امن
به عنوان یک نکته تکنیکی، مانیتورینگ داده هایی که از درگاه های شبکه خارج می شوند و تعیین علت انتقال آن ها امری ضروری است. کلید اصلی، داشتن سیستمی است که به صورت بلادرنگ (یا تقریبا بلادرنگ) داده ها را نظارت کرده و از نشت اطلاعات از طریق درگاه های شبکه داخلی، سرروها و ابزارهای ذخیره سازی و نقاطی که حضور انسان در شبکه مطرح می شود، جلوگیری نمایید و یا گزارشی دقیق از داده های خروجی به ما ارایه دهد.

• ایمیل
ایمیل ابزار خوبی برای سرقت اطلاعات به شمار می رود. با استفاده از آن می توان اطلاعات را از درون سازمان به بیرون انتقال داد و یا اینکه یک نامه مخرب را ارسال نموده و در آن از یک پیوند آلوده یا بدافزار جهت آلوده نمودن و ایجاد دسترسی غیرقانونی بهره جست. تعامل بین فروشندگان، مشاوران امنیتی و ارائه دهندگان سرویس ایمیل بخش مهمی از پازل DLP محسوب می گردد.

• مدیریت تجهیزات و دستگاه ها
در نهایت استفاده کارکنان از تجهیزاتی که می توانند سبب انتقال اطلاعات سازمان شوند باید مدنظر قرار گیرد. این موضوع نیز از المان های اصلی DLP محسوب می شود.چگونه می توان تجهیزاتی شخصی کارکنان سازمان نظیر رسانه های ذخیره سازی، تلفن های هوشمند، لپ تاپ و فلس مموری ها و ... را مدیریت کرد. به مسائل پیش رو می توان با دیدگاه دیگری نیز نگریست.
ابزارها و سرویس ها را می توان به سه دسته طبقه بندی کرد:
o ابزارهای مبتنی بر شبکه که به عنوان کنترل کننده لبه شبکه، ناظر جریان داده های داخل شبکه و در برخی موارد به عنوان فیلترینگ داده می توان از آن استفاده نمود.
o ابزارهای مبتنی بر میزبان که نیاز به یک عامل یا agent جهت نصب برروی رایانه ها و سرور ها دارند تا برروی این سیستم ها نظارت ایستا و در برخی موارد امکان مسدود کردن یا کنترل اقدامات کاربران را داشته باشند.
o تعدادی از سیستم های در حال توسعه که ترکیبی از هردوی این قابلیتها را دارا باشند.

اشخاص
مدیریت اطلاعات فقط نصب چند تکنولوژی امنیتی در سازمان نیست. آگاهی کاربران، کلید اصلی حفاظت از اطلاعات حساس در برابر کلاهبرداران آنلاین می باشد. DLP در ابتدا یک فرآیند است و تکنولوژی در حقیقت یک ابزار توانمند جهت کنترل و نظارت خودکار این فرآیند به شمار می رود. فرآیند مذکور باید شامل آموزش و آگاه سازی بوده و منابع انسانی، مدیریت مدارک و سوابق را منطبق باهم پوشش دهد. هدف آن، آموزش متداوم صاحبان و متولیان داده ها (کارکنان) به منظور کاهش عدم انطباق سیاست های سازمان است.
در ادامه به چند نکته که باید از انجام آن توسط کارکنان سازمان بصورت هدفمند و یا اتفاقی جلوگیری نمود اشاره می شود:

• ارسال ایمیل های حساس به خارج از سازمان
مسئول امنیت سازمان باید در شناسایی و مسدود نمودن دریافت و ارسال ایمیل های مخرب توانمند باشد زیرا کاربران ممکن است خواسته یا ناخواسته به ارسال اطلاعات حساسی همچون اطلاعات مشتریان و یا طرح های آینده سازمان و ... بپردازند. برخی از اوقات منظور از ارسال ایمیل، ارسال آن به گیرندگان داخل سازمان می باشد اما ممکن است به صورت ناخواسته در قسمت گیرندگان، آدرس ایمیلی خارج از سازمان نیز درج شده باشد.

لازم است سیاست های سازمان در خصوص ارسال و عدم ارسال محتوا اطلاعات ارسالی توسط کارمندان روشن و واضح بیان گردد و کارکنان بدانند حق ارسال داده هایی نظیر اطلاعات مرتبط با کارت های اعتباری مشتریان، مالکیت فکری سازمان و سوابق و مدارک پزشکی همکاران و ... را ندارند.

• در دام حقه Phishing افتادن
فیلتر ایمیل ها نمی توانند از تمامی حملات phishing جلوگیری کنند. URLهای سایت های آلوده و مخرب همچنان ارسال می شوند و در انتظار کلیک یک کاربر جهت آلوده کردن سیستم به منظور دسترسی و سرقت اطلاعات هستند. هکرها عموما از تیترهای جنجالی نظیر رخداد حوادث طبیعی، مرگ افراد مشهور و... جهت جلب قربانیان استفاده می کنند. در این صورت با کلیک کاربر برروی پیوند آلوده راهی برای نفوذ به سیستم قربانی و تزریق بدافزارها ایجاد می شود. یک برنامه آگاه سازی می تواند با آشکار سازی و هشدار مداوم از تکنیک ها و توطئه های مهندسی اجتماعی، ریسک تهدیدات بالقوه را کاهش دهد.

• ارسال اطلاعات حساس با استفاده از ابزارهای ارسال پیام فوری
امروزه برنامه های مسنجر مانند yahoo messenger ،AOL و ... برنامه های مرسومی هستند که بر روی سیستم های کامپیوتری نصب می شوند. از این رو هکرها با استفاده از این ابزار و ایجاد اکانتهای ساختگی مبادرت به سرقت اطلاعات می نمایند. بدین سبب آگاه سازی کارکنان و ایجاد و اعمال سیاستهای امنیتی، نقش حیاتی را در امنیت اطلاعات سازمان ایفا می کند.

• اشتراک گذاری اطلاعات حساس در شبکه های اجتماعی
هکرها به صورت فزاینده ای اهداف خود را روی سایتهای شبکه های اجتماعی مانند LinkedIn ،Facebook ،Twitter و ... متمرکز نموده اند. آنها می توانند تمام اعمال خرابکارانه خود در مسنجرها و ایمیل هاا را از این طریق نیز اجرا نمایند.
هکرها در سایت فیس بوک می توانند با جعل عنوان دوستان شما یا با سوء استفاده از پروفایل دوست شما اقدام به ارسال پیوندهای آلوده نمایند. با کلیک بر روی پیوندهای مذکور، سیستم قربانی آلوده خواهد شد. برنامه آگاه سازی کارکنان می بایست آنان را نسبت به این روشها و اهداف مخرب مهاجمان آگاه سازد.

• استفاده از رمزهای عبور نامطمئن
به دلیل درگیری ذهنی بالا و مشغله کاری زیاد، بسیاری از کارکنان تمایل دارند از رمزهای عبور مشابه برای شناسه های کاربری مختلف خود استفاده نمایند.
یک سیاست کاربری مناسب، می بایست کاربران را به استفاده از رمزهای متفاوت برای شناسه های کاربری مختلف ترغیب نماید. همچنین لازم است این رمزها ترکیبی از حروف بزرگ، حروف کوچک و اعداد باشند.

• تجسس در مکان هایی که نیاز به دسترسی به آنجا نیست
کارکنان اغلب برای انجام کارهای خود نیاز به دسترسی به برنامه ها و سامانه ها اداری سازمان دارند. کارکنان معدودی نیز وجود دارند که با دسترسی به اطلاعات حساس می توانند سازمان را با مخاطراتی روبرو نمایند. بهترین راه مقابله این است که به متخصصان امنیتی سازمان تاکید گردد که برای کارکنان فقط دسترسی هایی که مورد نیازشان است را فراهم نمایند. در پایان لازم به ذکر است بدانیم DLP فقط نصب نرم افزارها و ابزارهای پیشنهادی نیست مهمترین موضوع در جلوگیری از نشت اطلاعات آگاهی به این موضوع و بررسی رفتار کارمندان و افراد در سازمان است.