DLP逐漸從邊界過度到基于主機的實現
責編：gltian ｜2019-04-02 10:08:30回到“網絡”進入CISO日常詞匯之前的時代，即便過了20年，數據防泄漏(DLP)還在適應新的企業深度防御戰略，保護傳統網絡邊界之外的業務數據出站流。DLP不斷擴充，囊括了一系列3個字母縮寫的技術，比如信息防泄漏(ILP)、內容監視與過濾(CMF)、防外泄系統(EPS)等等。
用于保護企業的所有常見技術中，DLP的發展或許最能體現信息安全應用實踐和系統管理團隊角色的變遷。
傳統上，DLP部署由IT部門主導和定義，最近則逐漸由安全運營團隊接手。長期以來，數據檢測和策略實施都發生在企業邊界附近。這種環境中，IT和安全人員的職能類似內衛警察——遵從嚴格的策略，執行規章制度，逐案處理違法者。DLP部署和實施一直都很棘手，大多數CISO都體會過DLP的美好愿景與后續無數失敗的慘烈對比。最常見的就是管理全新部署的網絡DLP解決方案那通常令人尷尬或畏縮不前的現實。
愿景高大上，但目標其實很簡單——防止用戶在互聯網上不安全地發送電子郵件、發帖或以其他方式共享客戶的信用卡信息。部署，就是理論與現實相背離的地方。
- 第一天：DLP閾值設為被發送的“任意”信用卡信息，造成5萬個警報，DLP解決方案陷入停頓，業務也是如此。
- 第二天：DLP閾值設為包含10+信用卡信息的電子郵件和文件，造成5,000個警報，收到“業務不能這么搞”的投訴無數。
- 第三天：DLP閾值設為包含1,000+信用卡信息的電子郵件和文件，結果就是更為可控但仍不理想的“幾十起”事件。
此后，經年累月，閾值不斷下降，逐漸接近該公司在渴望部署解決方案時所設想的體驗。
這一往往反復發生的體驗凸顯出安全運營改進嚴重滯后于業務需求的現實，也彰顯了安全人員傳統上所處的尷尬位置——缺乏有效的集中管理和執行給業務生產力造成了阻礙，進一步激化了IT人員和業務部門同事之間的對立關系。
幸好，達成DLP目標的新方法逐漸進入企業。邊界實現固然仍是其中重要元素，卻已逐漸讓位于基于主機的實現。
如今我們可以看到防泄漏正將自身嵌入數據和文檔創建過程本身。用戶將得到有關當前創建文檔的重要性或機密性級別的實時反饋，以及創建操作上的建議——能使用戶在確定合適的敏感性和所需防護級別上發揮積極作用。用戶行為分析和人工智能也在背后幫助防止錯誤分類或故意的不安全數據處理。同時，數據標識和管理策略來自業務部門本身而非IT部門(往往使用人工智能學習和改進的分類過程)。
在此過程中，防泄漏也從網關安全功能轉變為內置的文檔功能——且伴隨著標準化。
安全和隱私如今是數據和文檔本身固有的。一系列新的遠程管理和策略實施功能已經消除了企業“邊界網絡”的概念。比如說，流行商業文檔格式逐漸支持遠程監視功能 (如：打開自、編輯自、打開位置及時間等)，提供隨時隨地撤銷部分或全部訪問權的選項，并可更改文檔內數據的安全保護 (如：復制/粘貼、打印、投影等)——無論文檔是在企業內部、云端還是存放在收件人的未讀郵箱中。
一系列支持信息保護和防泄漏的開放平臺正延伸到其他文檔類型、創建器和瀏覽器，以便重用和構建。這使終端用戶能夠更清楚地了解標簽、分類、保護和執行機制，使DLP更易于在用戶用以查看、共享或創建內容的桌面和移動產品中應用。
從硬邊界DLP實施到持續可見性和創建級控制范式的轉變，強調了CISO需指導其團隊實現的根本變化。這種方式還使安全人員得以擺脫監管和策略實施中來自業務人員的對抗情緒，成為安全業務實踐的推動者，同時業務部門還能保留其數據和策略的所有權。
安全運營變得更像是快遞公司在管理車隊，而不是交警在處罰每一個違規行為。這工作如今注重確保每個業務包以盡可能安全的方式按時到達目的地；在預算允許的情況下盡可能高效和經濟地到達目的地，同時業務部門還能定義包的內容和目的地。