Зачем бизнесу DCAP: маркетинговый тренд или реальная польза

Сегодня компании осознают: защита данных — это не только предотвращение утечек. DLP-системы успешно решают задачи перехвата и блокировки в момент передачи информации. Угрозы кроются в бесконтрольных правах доступа к конфиденциальным данным, забытых папках с чувствительной информацией, устаревших или тестовых аккаунтах, которые могут быть взломаны. Эти риски — зона ответственности DCAP-систем (Data-Centric Audit and Protection), которые дают специалистам ИБ и IT реальные инструменты управления: от аудита файловых хранилищ до выявления уязвимых учетных записей.

Почему в России DCAP-системы выделяются в отдельный класс, а в других странах — нет?

Формулировка DCAP начала звучать в статьях Gartner еще в 2014 году, а первое (и последнее) полноценное исследование «Market Guide for Data-Centric Audit and Protection» было выпущено в 2017 году. Ключевые функции систем были определены в следующих формулировках: исследование и классификация данных, аудит прав доступа, мониторинг действий с данными и обеспечение защиты за счет ограничения нежелательных операций. После этого пути развития систем безопасности в мире и России разошлись. В отчетах Gartner с 2017 года мы больше не наблюдаем упоминание DCAP как отдельной системы, а решаемые ими задачи рассматриваются в рамках DSP - Data Security Platform. К тому же, во многих странах мы наблюдаем тренд, что компании предпочитают использовать универсальные платформенные решения, которые объединяют разные функции безопасности. Такие системы позволяют снизить количество используемых консолей, упростить администрирование и помочь сэкономить ресурсы компании.

В России свои особенности. Специализированные DCAP-системы существуют и активно используются во многих компаниях. Причин этому несколько: свои законы и строгие требования регуляторов, особое внимание крупных корпораций и госструктур к контролю за движением информации внутри компании. Разрабатываемые в России DCAP-решения лучше учитывают специфику бизнеса, чем иностранные решения, ушедшие с рынка. Они обеспечивают детальный аудит и контроль данных на уровне файлов, что закрывает эту потребность для российского бизнеса.

Зарубежные вендоры, такие как, Netwrix, Varonis, Forcepoint, активно позиционируют свои решения в области информационной безопасности как платформу, которая является «гибкой» и модульной, и сочетает в себе несколько продуктов.
В России не многие вендоры могут позволить себе разрабатывать платформенные решения, для благозвучности называя их системами защиты данных, как например, InfoWatch Центр расследований.

Почему не стоит копировать западные модели

После ухода крупных западных игроков с российского рынка (Varonis, Netwrix и др.) многие отечественные производители устремились «воспроизводить» их архитектуру и продуктовые линейки. Формально — чтобы заполнить нишу. Но на практике это попытка воссоздать решения, разработанные под другую логику работы бизнеса, с другими рисками и процессами.
Российские компании работают в иной нормативной и организационной среде. Здесь чаще встречается разобщённость между IT и ИБ, выше требования к расследованию и документированию, выше роль персональных данных. Поэтому бездумное заимствование архитектур или сценариев использования западных DCAP-решений — тупиковый путь. Рынки разные и задачи тоже разные.

DCAP-задачи решаются с помощью других систем: но по частям и с оговорками

Да, базовые задачи DCAP можно попытаться закрыть с помощью связки IAM, DLP, SIEM, employee monitoring/UAM и др. Но получится дорого, сложно и с высокой нагрузкой на ИБ. Офицерам безопасности придется работать в нескольких консолях, в разных интерфейсах, настраивать интеграции, ручные отчеты, привлекать системных администраторов и т.д.
Платформенные решения предлагают комплексный подход, объединяя возможности упомянутых систем, например аудит и защиту данных с анализом поведения пользователей. Такие платформы позволяют не просто контролировать, кто и когда получает доступ к данным, но и автоматически выявлять подозрительную активность и оперативно реагировать на нее.
Крупные игроки в сфере productivity suite также заботятся о безопасности данных и закрывают часть задач DCAP. Облачные сервисы (Yandex 360, VK Workspace и др.) Microsoft 365 и Google Workspace, также предоставляют возможности управления доступом и мониторинга действий с файлами, позволяя бизнесу обходиться без дополнительных затрат на отдельные DCAP-продукты. Такой подход доступен для малого бизнеса. Но облачные сервисы ограничены рамками экосистемы и не закрывают потребности в полноценной защите всех активов компании.

Где DCAP решает реальные бизнес-задачи

DCAP — это не про галочку «контроль прав доступа есть», а про реальное снижение операционных и регуляторных рисков:

• IT-служба получает порядок в службах каталогов, автоматическую инвентаризацию в хранилищах и снижение трудозатрат на поддержку ИБ;
• ИБ-специалисты — контроль над правами доступа и хранением чувствительных данных, уведомления о подозрительных изменениях, снижение поверхности атаки;
• Бизнес — защиту от «репутационных потерь и финансовых рисков», связанных с утечками данных через забытый общий доступ или старую папку на файловом сервере; защита от порчи, шифрования или удаления важных данных.

DCAP помогает наводить порядок в IT-ландшафте без ручного сбора и анализа логов, и без необходимости запрашивать выгрузки у IT.

Например, автоматическая классификация данных позволяет определить ценность и чувствительность информации, экономя время сотрудников безопасности. Аудит хранилищ информации также помогает IT-службе разгрузить и оптимизировать инфраструктуру за счет обнаружения неактивных или неиспользуемых данных.

Мониторинг операций с файлами и директориями помогают предотвратить утечки данных, что защищает бизнес от финансовых и репутационных потерь. Кроме того, контроль избыточных прав доступа упрощает задачу службы безопасности по поиску уязвимых учетных записей и снижает нагрузку на IT-специалистов по поиску таких учеток.

А что должен уметь DCAP?

Рынок полон заявлений: «у нас тоже есть DCAP». Но когда начинаешь разбираться, выясняется, что это или просто интерфейс к логам, или формальные отчеты по аудиту, или вовсе кусочек функциональности в составе DLP. Полноценный DCAP — это:

• аудит матрицы доступа и определение прав;
• группировка 100% документов по смыслу;
• автоматическое определение сути данных в хранилищах без ручной настройки;
• контроль изменений прав доступа с акцентом на рискованные события и выявление уязвимостей в службе каталогов;
• интеграция с DLP, визуальной и поведенческой аналитикой и другими компонентами системы защиты данных;
• готовые аналитические отчеты.

Всё это не опции, а единая логика и интерфейс. А значит — минимум ручной работы, меньше ложных тревог и больше уверенности в защищенности данных.

Будущее информационной безопасности: комплексность и автоматизация

Рынок информационной безопасности движется к комплексным и универсальным платформенным решениям. Системы обеспечивают интеграцию разных функций защиты данных в одном продукте, используют искусственный интеллект, машинное обучение для выявления и предупреждения угроз.

Компании-разработчики делают акцент на автоматизации реагирования на инциденты и углубленной аналитике поведения пользователей, что позволяет предупреждать угрозы на раннем этапе возникновения.

Важной тенденцией является переход к модели Zero Trust, где доступ к информации предоставляется строго на основе минимально необходимых прав и постоянно проверяется системой безопасности. Эти возможности обеспечиваются в том числе DCAP-системами.

DCAP-решения сегодня — это важный инструмент для российского бизнеса. Мировой рынок рассматривает DCAP как часть возможностей единых систем защиты информации, которые обеспечивают не только защиту данных «в движении» и «в покое», но и единый интерфейс и автоматизацию во всех инструментах защиты.

Как выбрать DCAP решение?

DCAP — это уже не эксперимент, а зрелая категория решений. Но на рынке много шума, а за громкими заявлениями часто скрываются очень разные подходы и разный уровень зрелости систем. Мы готовим статью, в которой сравним доступные на российском рынке DCAP-решения и поможем разобраться, что из этого — действительно инструмент, а что — просто галочка в чек-листе.

Полное или частичное копирование материалов возможно только при указании ссылки на источник — сайт www.infowatch.ru или на страницу с исходной информацией.