Будни ИБ-аутсорсера: Выводы, которые я сделал из работы с заказчиками

[NorDOSt]

Хороший пост. Только грустно, что ИБ воспринимается как контроль рабочего времени — старый стереотип, теряется суть направления в целом.

[SearchInform_team]

Контроль времени – наиболее понятная задача для бизнесов, которые раньше с угрозами ИБ не сталкивались. Но мы по своему опыту видим, что таких все меньше, отношение к ИБ и к аутсорсингу ИБ меняется.

[B0Z0NHIGGSA]

Для «ручного» контроля 5-8 восьми сотрудников требуется один «наблюдатель». Гораздо надежнее работают схемы с выстраиванием бизнес-процессов таким образом, чтобы уровень безопасности утечки данных поддерживался самим процессом.
В качестве теста передавал через предварительно обработанный «секретный файл» (паспорта\номера карт) — не отловила система :)

[SearchInform_team]

Для «ручного» — может быть. Но мы ведем речь про автоматизированный. Тут опыт совсем другой. Один аналитик контролирует и сто, и тысячу человек без проблем.
А по поводу вашего теста — паспорта, номера карт очень хорошо отлавливает поиск по регулярным выражениям. Интересно, почему не сработал у вас, расскажите подробнее, разберемся.

[B0Z0NHIGGSA]

В качестве теста я передавал word-файл, зашифрованный кодом Цезаря. Способ, доступный любому пользователю. :)

[SearchInform_team]

Ни наша, ни другая DLP такую шифровку, а также «пляшущих человечков», стеганографию и другие виды тайнописи не перехватит. Другая задача у ПО.
Но DLP, к счастью, машина не однозадачная и ловит другие следы инцидента. Сработают политики на запуск скрипта или использование спецсервиса (или вы вручную шифруете?), где-то в переписке промелькнет ключ или обсуждение. В общем, в отрыве от реального контекста можно только упражняться в остроумии)

[B0Z0NHIGGSA]

причем тут остроумие? шифрование производится с использованием автозамены в ворде или текстовом редакторе. без применения скриптов, хотя это удобнее, и можно применять уже на стороне получения документа. и никаких следов :)

[DarkwinDuck]

Слабо, очень слабо.

[SearchInform_team]

Давайте поговорим об этом. Расскажите, что имеете в виду?

[Yurush]

Александр, а куда отправляют ссылки в примере отчета и есть ли в системе возможность его формировать по неким отметкам событий?

[SearchInform_team]

Этот отчет аналитик формирует сам для заказчика, ссылки из него ведут в выгрузку инцидентов в Analytic Console, где можно подробнее увидеть все подробности по нарушениям: кто, что и когда сделал.

[SearchInform_team]

Кстати, кому интересно. Мы делали исследование на основе выявленных и предотвращенных инцидентов в компаниях, в которых работаем как аутсорсеры. Вот ссылка на него: searchinform.ru/uploads/sites/1/2020/08/incidenty-vnutrennej-bezopasnosti-v-rossijskih-kompaniyah-pervoe-polugodie-2020.pdf