DLP数据防泄漏

 DLP骗局

DLP工作中的一些思考，纯手打。

不对的地方，望求指正，

        DLP是一个很好的概念，但是据我了解，落地时很困难的，难点在于DLP是治理依赖于企业长期有效的数据治理工作，说到底DLP只能算是对长期的数据治理工作的一个成果展现

        首先DLP的治理的对象是办公安全，实际办公不仅涉及业务本身的结构化数据，还有大量的办公产生的非结构化数据，而非结构化的数据梳理起来很困难，因为它的使用和产生的源涉及面广，而数据本身的性质也很复杂。举例来说，公司每个部门无时无刻都会产生大量的各式各类的数据，有excel、有word、还有PPT、PDF，或者脚本、源代码。这些数据不仅形式不一，而且这些文档可能涉及多个方面，比如一个文件可能同时涉及公司经营方面还涉及个人信息。甚至键盘在对IM（即时通讯）软件中都会产出数据泄露的风险

        其次，如果真的将数据梳理完成，如何定义这些数据的风险也很困难，因为有的数据单纯来看可能没什么，但是如果结合其他也看起来没什么的信息来分析，可能就会产生重要的信息，然后就是有些部门的重要数据不光外发有风险，企业内部流转也是风险，在还有一种情况，就是单次的发送可能没什么，但是长期的重叠就又不一样了。当然最后这两点技术上是可以监控的。

        但是还有然后，然后就是，DLP并不能对所有同样的风险指定同样的策略，因为正常的业务行为也经常涉及大量敏感数据的外发，那么如何区分那些风险是正常业务，那些是非正常业务，几乎也是不可能的，因为有很多业务部门他们自己也没办法给你一份清单，告诉你，在以后的业务过程中会和那些人，通过何种手段交换一些敏感数据。

        最后并不是正常的业务，就没有风险。因为，正常业务需求发送的敏感或重要的数据正确的发送出去后，在接收方泄露，难道企业没有责任吗............这好像超纲了，这应该是数据安全治理合规方面该考虑的吧！！！

        所以靠一种策略，或者一个技术（DLP）根本是不可能的，更何况办公时还会涉及业务的结构化数据。如果企业只靠DLP来实现所有的数据防泄漏工作，那最切实际的做法是，去实现数据泄露事件的溯源，就是将所有可能的敏感数据的流转都做记录。       

        因此DLP的真正落地需要企业长期的数据治理，需要过程完整而且逻辑严密的数据安全治理的流程的实施。

         其实说到底就一句话，*如何确定边界*，或者说：该如何确定那些信息该发送给那些人

        还有一点重点是，划清DLP数据防泄漏的边界，要明白数据防泄漏只是数据治理下的数据安全治理下的一个过程或者环节，DLP这个产品也只是这个环节的一个工具和手段，不要妄求DLP的产品能实现太多事，DLP能发挥它的作用需要企业数据治理的支持

        信息的分类分级，分类主要交给技术上实现，既哪些信息为敏感重要信息。分级结合制度实施，即：那些敏感重要程度是怎样的。那么当这些工作完成之后。

        这些敏感重要的数据在流转时，该执行什么动作，就是数据防泄漏的运营的工作，这也是难点。

我总结的策略为：安全部门牵头，业务部门为主制定，安全部门再负责提供建议，和归口

        然后：对业务部门自己提交的对敏感重要数据操作和发送的需求，对这些数据实施宽松的策略，高级别的数据的流转也最多只做记录的动作。而对此以外的敏感重要数据操作和发送的行为实施相对严格的管控策略。

        最后，我感觉最好是把两部分工作结合，技术结合人工对数据安全属性的识别，直接制定出数据的流转范围和规则，然后由技术保障实施的过程，才是最好的，比如：技术托底，一份文件在建立之初（包括首次从外部获得）就由建立（首次获得）者，建立便签，设置流转范围和规则。比如我在新建一个文档保存的时候或首次从外部获得一个文件时，DLP强制要求对这份文档建立便签，设置流转范围和规则，而同时DLP也会扫描这个文件的内容，当我设置的这份文件的级别低于，DLP最初制定的策略时，提示我是否提高级别。