构建有效的数据泄露防护（DLP）计划

如今，数据是任何组织的生命线，因此数据丢失是 IT 团队和 C-suite 同样都高度关注的问题。数据丢失的原因多种多样，从硬盘故障到 数据泄露（由恶意内部人员或外部黑客造成）。数据丢失所带来的后果同样差异很大。关键业务流程很容易被中断，而一份重要文件落到竞争对手手中可能会带来毁灭性的影响。组织还可能面临合规罚款以及客户信任的丧失。所有这些因素都可能损害收入，甚至导致公司陷入停业。

为尽量降低这些风险，每个组织都需要制定 data loss prevention (DLP) 以保护关键数据的方案。

设计有效的数据泄露防护 (data loss prevention) 计划

有效的 data loss prevention 需要采取全面的方法。切记不要屈从于“只选择一款软件程序就已经足够了”的诱惑。你所保护的数据太重要，而其丢失可能带来的后果也太严重。下面介绍建立真正有效的 DLP 程序所涉及的步骤。

第 1 步：获得高层支持。

首先，获得管理层的批准，包括所有可能受到影响的部门和分支机构的负责人。他们的支持对于该项目的成功至关重要。

第 2 步：识别并分类您的关键数据。

将关键数据与非关键数据区分开，或许是创建数据丢失防护（DLP）计划中最重要的一步。以下是您可能需要识别的一些数据类型：

• 知识产权（IP）
• 法律文件
• 战略规划文件
• 销售数据
• 客户信息
• 可识别个人身份的信息（PII）
• 营销数据与预测
• 运维文档
• 财务记录
• 人力资源数据
• 政府数据
• 密码和其他 IT 数据
• 受任何合规法规约束的数据

为每一份关键数据添加带有其分类信息的数字签名标签，以便你们的各种软件解决方案能够对其进行适当处理。

步骤 3：识别威胁和风险。

围绕每类关键数据建模其活动过程，包括谁可以访问它以及他们会如何使用它。识别每一份数据的安全性可能面临的任何威胁。数据生命周期的每个阶段都存在哪些漏洞？谁负责数据的安全使用？他们是否具备保护它所需的工具？

详细说明如果数据丢失可能会发生什么。务必同时考虑对业务的直接影响以及合规处罚。

第 4 步：明确你的目标。

明确你希望 DLP 项目实现的目标，例如：

• 识别风险以及应对方法
• 保护传输中、使用中以及静态（存储）状态的数据
• 在不增加风险的情况下保持数据可供使用
• 标准化安全、隐私和合规流程

第 5 步：创建逐步流程。

建立用于存储和处理关键数据的流程与政策，以及针对数据泄露和其他安全事件的详细响应计划。下表提供了一些经过验证的 最佳实践，用于安全处理关键且敏感的数据；请务必制定流程以落实其中的每一项实践。

来源：https://www.isaca.org/Journal/archives/2018/Volume-1/Pages/data-loss-prevention-next-steps.aspx

第 6 步：评估当前以及可用的系统。

请考虑您现有的硬件和软件是否能够满足您的 DLP 目标。请记住，大多数数据保护系统无法准确且一致地对数据进行分类。如果您当前的系统不足，请在考虑目标的同时也结合风险/成本分析来评估其他解决方案。您需要哪些功能？这些功能对您来说价值几何？

第 7 步：对所有人进行培训。

在组织内部提高对 DLP 计划重要性的认识。请包含以下信息：

• 什么构成关键数据
• 在某些情况下（包括使用电子邮件和互联网），关键数据应如何处理
• 公司必须遵守哪些法律

根据不同员工群体的需求定制培训，并定期重复进行。务必定期测试用户，并对未遵循正确流程的个人进行跟进。

强有力的数据丢失防护计划的益处

您的数据丢失防护（DLP）计划越完善，数据就越安全。此外，您将更好地为合规审计做好准备，包括与 National Institute of Standards and Technology (NIST) 针对联邦机构的数据丢失防护指南相关的审计。NIST DLP 计划包含 Cybersecurity Framework，其中包括支持遵守其他监管体系的建议，例如 FISMA 和 HIPAA。

DLP 的基石：自动化数据分类

任何数据丢失防护（DLP）计划中最重要的部分都是数据分类。如果您不知道自己拥有哪些类型的数据，就无法对这些数据进行适当的保护。

Netwrix Data Classification 可在本地部署、云端或混合 IT 环境中，提供您所需的准确、一致且灵活的数据分类。