Aanpak data loss prevention DLP

1. DLP is andere focus op security

Voor veel bedrijven wordt immers het delen van kennis en informatie meer en meer core-business en er komen ook steeds meer hulpmiddelen om dit eenvoudig te realiseren.
Marcel Snippe van Symantec Nederland, sinds kort de ‘domain expert’ in de Emea-regio voor DLP, helpt klanten om te gaan met data en het verlies daarvan te voorkomen.” Het belangrijkste aan DLP is: hoe gaan mensen om met data?”, aldus Snippe. Het is zo, dat de hoeveelheid echt vertrouwelijke informatie vaak gering is. De meeste uitgelekte informatie doet er dan ook niet echt toe. Maar volgens Snippe komt dataverlies vaker voor dan mensen denken, vaker dan ze wéten. Uit een onderzoek door Symantec ongeveer anderhalf jaar geleden onder cio’s (chief information officers) en ciso’s (chief information security officers) kwam naar voren dat organisaties dataverlies hebben, maar niet hoeveel.” Dat de ict- en security-directeuren het in ieder geval weten, komt doordat hun organisaties meestal wel een informatiebeleid (policies) hebben. Zo geldt bijvoorbeeld vaak dat bepaalde e-mails, denk aan e-mails met spreadsheets, alleen voor intern gebruik zijn.
Het doorsturen van e-mail hoeft niet eens naar de concurrent te zijn om al schadelijk te kunnen zijn. Soms sturen werknemers informatie door naar hun huisadres of naar een Gmail-account. Vaak vanuit de beste bedoelingen, bijvoorbeeld om thuis (door) te kunnen werken. Feit is, dat daarmee bedrijfsinformatie toch buiten komt. En buiten kan minder goed beveiligd zijn. Denk aan de privé-pc van Officier van Justitie Joost Tonino, maar denk ook aan de indexeerkracht van Google – ook voor diens Gmail. “Uit ons onderzoek is gebleken dat één op de vierhonderd berichten die naar buiten gaan, niet naar buiten had gemogen. Dat zijn dus e-mails die vertrouwelijke informatie bevatten.” 

2. Meer dan mail

DLP betreft echter niet alleen e-mailbewaking. Het gaat ook om bestanden binnen organisaties. En dan gaat het om vragen als: waar zijn data, wie heeft ze aangemaakt en wie heeft er toegang toe? Veel werknemers hebben toegangsrechten die eigenlijk niet terecht zijn. Dat kan komen door het ‘opstapelen’ van rechten uit voorgaande functies binnen hetzelfde bedrijf. Maar het kan ook komen doordat er tijdelijk werk van een collega is overgenomen. Vooral dit toegangsaspect ontgaat veel cio’s en ciso’s. Hier blijkt geregeld wat mis te zijn.
Dit geldt echter zeker niet voor alle bedrijven en organisaties in gelijke mate. Volgens Snippe is het afhankelijk van het type organisatie. Er zijn organisaties die veel te maken hebben met regulering, zoals financiële instellingen. Dat type bedrijven heeft de zaken meestal goed op orde. Daarnaast verandert nu de blik van organisaties op security. Tot op heden was die blik erg gericht op de perimeter, de grens met de buitenwereld. Maar onder invloed van het Jericho-forum ligt de focus tegenwoordig meer op het concept van de-perimeterisation. Dat is de mix van integrale encryptie, protocollen en hardwareverbindingen die impliciet veilig zijn, federatief identiteitsmanagement, digital rights management en – vooral – sterke authenticatie op het niveau van individuele gegevenselementen.

3. Bedrijfsgeheim

Een type organisatie dat zich ook goed bewust is van DLP is de zogeheten ip-organisatie: bedrijven die in intellectueel eigendom doen. Dat zijn niet alleen bedrijven die zich bezig houden met ontastbare goederen, zoals informatie. Denk ook bedrijven als Coca Cola, met een geheime formule, en aan fabrikanten van mobieltjes. Die laatste hebben zes maanden de tijd om de ontwikkelkosten van een nieuw model terug te verdienen. Dan duikt de concurrentie erop. Ook ‘ouderwetse industriële’ bedrijven als Boeing en Caterpillar hebben de zaken goed op orde. Boeing zou met een enkele usb-stick zo honderdduizenden ontwerpdocumenten kwijtraken. Caterpillar, fabrikant van graafmachines, mijnapparatuur en bouwapparaten, ontwerpt en maakt eigen motoren. Informatie over zo’n motor is de kern van het bedrijf. 

4. Aanpak uitgaande van de data zelf

De meeste bedrijven hebben echter geen idee waar hun vertrouwelijke informatie is. En dan gaat het over in totaal vele gigabytes of terabytes aan data. Snippe adviseert dan ook niet om dat ‘even’ op orde te krijgen, want dat is een ondoenbaar karwei. Dit vergt een andere aanpak die niet uitgaat van de muren van het bedrijf, maar van de vertrouwelijke informatie die er echt toe doet.
Snippe: “De bron van vertrouwelijke informatie is doorgaans wel bekend. Ga dan van daaruit indexeren.” Hij benadrukt dat het niet alleen om documenten gaat, maar ook om waar informatie wordt opgeslagen, wie daar toegang toe heeft, wat er dan mee gebeurt, en zo verder door de organisatie heen. DLP gaat over content én context. Wie maakt data aan, wie wijzigt data, en waar gaan data heen.
Dan nog is het een flinke klus. Snippe geeft toe dat perfectie onhaalbaar is. “Echt honderd procent DLP kan niet: iemand kan altijd een screenshot maken of een foto met zijn of haar mobieltje. En je hebt natuurlijk altijd nog het hoofd van de werknemer, waarin ook informatie is opgeslagen en die werknemer loopt, compleet met hoofd, dagelijks gewoon naar buiten.” 

5. Geen opzet maar vaak ‘dommigheid’

Uit Symantec-onderzoek blijkt dat meer dan vijftig procent van de dataverliesgevallen per ongeluk gebeurt. Vanuit en voor het werk doen mensen iets wat eigenlijk niet de bedoeling is. Een groot probleem is dat het in het overgrote merendeel schort aan beleid. In zesennegentig procent van de gevallen zijn er geen policies of houden mensen zich er niet aan. Dat laatste komt in de praktijk neer op hetzelfde als geen beleidsregels hebben voor omgang met informatie. Met beleidsregels hebben bedrijven natuurlijk wel een middel om overtreders aan te pakken, maar het dataleed is dan al geleden.
Snippe: “Educatie of in ieder geval notificatie van eindgebruikers is van groot belang. Het eerste is werknemers ervan bewust maken dat er informatiebeleid is, wat die regels inhouden, waar ze betrekking op hebben en vooral het belang ervan. Simpelweg regeltjes opleggen, heeft zelden het gewenste effect. Je moet ook niet alleen incidenten waarnemen. Dat vereist alleen maar meer systemen en mensen. Bovendien pak je daarmee niet de oorzaak aan, maar alleen het reeds gebeurde dataverlies. Één van de basiselementen voor DLP is dan ook bewustwording. En natuurlijk om te beginnen bij de key-users, die vertrouwelijke informatie produceren en distribueren.
En daarvoor is tweede maatregel: notificatie. Dat is een simpelere handeling, die met technische middelen valt te doen. Zorg ervoor dat werknemers een melding krijgen als ze bijvoorbeeld een e-mail met vertrouwelijke data willen versturen. De melding kan aanslaan op bepaalde sleutelwoorden in het bericht en brengt de eindgebruiker op de hoogte dat dit doorsturen niet mag. Of beter nog, voorkom dat vertrouwelijke informatie is opgeslagen in een vorm, waarin het voor gebruikers mogelijk is die informatie argeloos te versturen. Dat kan gerealiseerd worden door een gerichte toegang te versturen aan de mensen, die toegang moeten hebben tot de informatie. Daarbij kan gemonitord worden, of er onbevoegden gebruik maken van deze autorisatie. 

6. Hoe implementeren

Waar moet je beginnen om DLP te implementeren? Moet alle dataverkeer via een proxy lopen die eigenlijk een krachtige zoekmachine is? Dat kan de communicatie nogal vertragen én is alleen een oplossing voor contact met de buitenwereld. Volgens Snippe is een dergelijke opstelling wel een optie. “De meeste klanten hebben nu niks. Maar je moet in wezen beginnen met mensen. Log hun gedrag, maar laat het verkeer wel gewoon door. Ga dan kijken wat je eraan kunt doen: training, andere bedrijfsregels, enzovoorts.”
Kort samengevat: “Maak eerst policies aan. Log dan de incidenten, dus de schendingen van die beleidsregels. Gebruik die logs om je policies aan te scherpen. Voer dan pas notificaties in, dus meldingen aan eindgebruikers als zij de informatieregels schenden.” Snippe waarschuwt wel dat je notificaties niet breed en klakkeloos moet inzetten. “Notificaties moet je instellen afhankelijk van welke policy hoe vaak wordt geschonden.”
Sommige organisaties zijn al gevorderd op het niveau van DLP. Dan gaat het vooral om grote bedrijven. Zeker diegene die met regulering te maken hebben. Die organisaties zijn rijp voor dergelijke meer geavanceerde DLP-oplossingen. Voor middelgrote en kleine bedrijven geldt dit vaak nog niet. 

7. Informatietypes

Er zijn drie types informatie:

• klanteninformatie,
• interne informatie, en
• ip (intellectual property).

Klantinformatie zit in het crm-systeem (customer relationship management. Meestal kan elke verkoper van een bedrijf in wezen een export doen van die informatie. Snippe adviseert dan ook de toegang tot die gegevens te beperken door te selecteren op kolommen Niet iedereen heeft immers inzage nodig in alle crm-data.
Onder interne informatie vallen dossiers van personeelszaken en de afdeling financiën, maar ook gevoelige informatie over fusies en overnames. Vaak worden daarvoor intern codenamen gebruikt en daarop valt gemakkelijk te filteren.
Tot slot is er intellectueel eigendom. Zoals bijvoorbeeld bij Symantec de broncode van de producten en bij Caterpillar de ontwerpdocumenten van de motoren. 

8. How to get started

De eerste stap in het opzetten van data loss preventie bestaat vaak uit een mix van afgeschermde projectomgevingen en awareness-vorming bij de risicogroep. Hier zijn tegenwoordig genoeg hulpmiddelen voor. Er moet daarbij worden voorkomen dat een te sterke beveiliging de informatie-uitwisseling onwerkbaar maakt. Ook moet awareness geen ver-van-mijn-bed-show worden. Daarom is de volgende aanpak vaak een eerste, goede stap, die bovendien op draagvlak kan rekenen:

• Doelgroep is directie, management en projectleiders. Zij zijn vaak de bron of ontvanger van vertrouwelijke informatie.
• De doelgroep vult een vragenlijst in om de vertrouwelijkheid van gegevens te inventariseren. Geen overbodige maatregelen treffen.
• De ingevulde formulieren worden geïnventariseerd en op grond hiervan wordt een plan uitgewerkt met concrete maatregelen.
• De doelgroep wordt opgedeeld in groepjes van 6-8 mensen, die elk een dagdeel een awareness training krijgen. Deze bestaat uit:
  • bespreking van wat de mensen hebben ingevuld om awareness te krijgen voor de risico’s;
  • bespreking van de policies en maatregelen om begrip te kweken voor de noodzaak hiervan en ideeën uit te wisselen hoe met die policies en maatregelen in de praktijk handig om te gaan;
• De policies en maatregelen worden geïmplementeerd.
• Daarna kunnen als vervolgstap awareness trainingen gegeven worden aan de overige medewerkers.