TL;DR
Klasyczne rozwiązania Data Loss Prevention przestają wystarczać w środowiskach, w których pracownicy korzystają z aplikacji SaaS, narzędzi GenAI oraz pracują zdalnie z różnych urządzeń. FortiDLP łączy funkcje DLP z mechanizmami Insider Risk Management i analizą zachowań użytkowników, dzięki czemu potrafi wykrywać ryzykowne działania jeszcze zanim dojdzie do wycieku danych. Rozwiązanie analizuje nie tylko sam plik, ale również jego pochodzenie, sposób wykorzystania, kontekst użytkownika oraz historię wykonywanych działań. Takie podejście pomaga organizacjom skuteczniej chronić dane, spełniać wymagania regulacyjne oraz ograniczać liczbę fałszywych alarmów.
Dane są dziś najcenniejszym zasobem organizacji. I najczęstszym celem ataków.
Nigdy wcześniej organizacje nie przetwarzały tak dużej ilości informacji jak obecnie. Według prognoz IDC do 2028 roku globalna ilość danych przekroczy 394 zettabajty, podczas gdy jeszcze w 2024 roku wynosiła około 149 ZB. Oznacza to niemal trzykrotny wzrost w ciągu zaledwie kilku lat!
Dane nie opuszczają już organizacji wyłącznie przez pocztę elektroniczną. Dzisiaj pracownicy korzystają z Microsoft 365, Google Workspace, Salesforce, Slack, Teams, prywatnych dysków chmurowych oraz coraz częściej z narzędzi generatywnej sztucznej inteligencji. Do tego dochodzi praca hybrydowa, urządzenia mobilne oraz prywatne komputery. W efekcie kontrolowanie przepływu informacji staje się znacznie trudniejsze niż jeszcze kilka lat temu.
To właśnie dlatego rozwiązania klasy Data Loss Prevention przechodzą obecnie dużą zmianę. Zamiast jedynie blokować kopiowanie plików, mają rozumieć kontekst całego zdarzenia i pomagać wykrywać zagrożenia zanim dojdzie do wycieku danych.
Dlaczego DLP staje się obowiązkiem? Aspekty regulacyjne
Jeszcze kilka lat temu wdrożenie DLP było przede wszystkim decyzją biznesową. Dzisiaj coraz częściej wynika ono z obowiązków regulacyjnych.
Organizacje przetwarzające dane osobowe, informacje finansowe czy własność intelektualną muszą wykazać, że są w stanie kontrolować sposób, w jaki informacje są wykorzystywane, kopiowane i udostępniane.
Takie wymagania pojawiają się między innymi w:
- RODO – obowiązek zapewnienia integralności i poufności danych oraz stosowania odpowiednich środków technicznych i organizacyjnych (art. 5, 25 i 32),
- Dyrektywie NIS2 – wymagającej wdrożenia środków zarządzania ryzykiem cyberbezpieczeństwa oraz ochrony informacji,
- Krajowym Systemie Cyberbezpieczeństwa (KSC) – nakładającym obowiązki na operatorów usług kluczowych oraz podmioty objęte ustawą,
- ISO/IEC 27002:2022, gdzie kontrola 8.12 Data Leakage Prevention opisuje wymagania dotyczące zapobiegania wyciekom danych, kontroli transferu informacji oraz ograniczania dostępu zgodnie z zasadą least privilege.
Czym właściwie powinno być DLP?
Przez lata DLP kojarzyło się głównie z blokowaniem wysyłania poufnych plików poza organizację. Dziś to podejście jest nieco inne. Rich Mogull, były analityk Gartnera specjalizujący się w Data Loss Prevention, definiuje rozwiązania DLP jako systemy, które na podstawie centralnie zarządzanych polityk potrafią identyfikować, monitorować i chronić dane znajdujące się w spoczynku (data at rest), w ruchu (data in motion) oraz w użyciu (data in use), wykorzystując do tego zaawansowaną analizę treści.
Obecnie Gartner idzie o krok dalej, promując koncepcję Adaptive Risk-based DLP. Zakłada ona, że skuteczna ochrona danych nie opiera się wyłącznie na analizie zawartości plików, ale łączy kilka obszarów bezpieczeństwa: klasyfikację danych, mechanizmy DLP, analizę zachowań użytkowników (UEBA), zarządzanie dostępem uprzywilejowanym oraz ocenę poziomu ryzyka.
Takie podejście pozwala skuteczniej odpowiadać na realne wyzwania organizacji – od spełnienia wymagań regulacyjnych i ochrony własności intelektualnej, przez ograniczanie ryzyka związanego z użytkownikami uprzywilejowanymi i przypadkowym ujawnieniem informacji, aż po coraz częstszy problem wynoszenia danych przez pracowników odchodzących z firmy.
FortiDLP: DLP połączone z zarządzaniem ryzykiem
FortiDLP to rozwiązanie łączące klasyczne funkcje DLP z zarządzaniem ryzykiem wewnętrznym (Insider Risk Management), zaprojektowane tak, by przewidywać i zapobiegać wyciekom danych, a nie tylko reagować po fakcie.
Kluczowe cechy z perspektywy biznesowej:
- Rozwiązanie cloud-native (SaaS): brak konieczności utrzymywania własnej infrastruktury, szybsze wdrożenie.
- Widoczność ryzyka od pierwszego dnia: organizacja od razu widzi, gdzie faktycznie znajdują się dane wrażliwe i jak się przemieszczają,
- Ochrona oparta o treść i źródło danych: np. rozpoznanie, że plik pochodzi z CRM, i uwzględnienie etykiet poufności przy podejmowaniu decyzji.
- Gotowe pokrycie dla głównych ram compliance: bez konieczności budowania polityk od zera.
- Integracja z ekosystemem bezpieczeństwa: w tym z FortiClient i FortiEDR.
- Wsparcie dla wielu systemów operacyjnych (Windows, macOS, Linux) oraz środowisk (praca w sieci firmowej i poza nią), a także urządzeń zarządzanych i niezarządzanych.
Skąd FortiDLP wie, że dane są zagrożone? Czyli dlaczego kontekst ma znaczenie
Jedną z największych zalet FortiDLP jest analiza pełnego kontekstu zdarzenia, a nie tylko pojedynczej akcji użytkownika. Zamiast reagować wyłącznie na próbę skopiowania czy wysłania pliku, rozwiązanie bierze pod uwagę wiele dodatkowych informacji, dzięki czemu potrafi znacznie trafniej ocenić poziom ryzyka.
System analizuje przede wszystkim same dane – sprawdza, czy zawierają informacje wrażliwe, własność intelektualną, kod źródłowy, dokumenty pochodzące z określonych systemów (np. CRM) lub pliki oznaczone etykietami poufności.
Równocześnie monitoruje wektory potencjalnej eksfiltracji danych. Obejmuje to m.in. przeglądarki internetowe, aplikacje SaaS, klientów poczty elektronicznej, nośniki USB, usługi chmurowe, drukarki, Bluetooth i AirDrop, czy wykonywanie zrzutów ekranu. Istotny jest również kontekst użytkownika. FortiDLP uwzględnia lokalizację pracownika, historię logowań, wykorzystywane sieci Wi-Fi, uruchamiane procesy, aktywność sieciową, historię działań w czasie oraz przynależność do konkretnych działów lub grup w organizacji.
Analizowane jest także środowisko pracy urządzenia – między innymi to, czy komputer znajduje się w sieci firmowej oraz z jakiego systemu operacyjnego korzysta. Dopiero po zestawieniu wszystkich tych informacji FortiDLP podejmuje decyzję o odpowiedniej reakcji. W zależności od poziomu ryzyka może ograniczyć się do wygenerowania alertu lub wyświetlenia użytkownikowi komunikatu edukacyjnego, zablokować określoną operację, a w bardziej krytycznych sytuacjach nawet odizolować urządzenie lub zakończyć działanie konkretnego procesu.
Data Origin + Data Lineage
Jedną z ciekawszych funkcji jest śledzenie pochodzenia danych (Data Origin & Data Lineage). System pamięta, skąd dany plik pochodzi (np. pobranie z sankcjonowanej aplikacji powiązanej z konkretnym kontem służbowym) i śledzi wszystkie kolejne operacje na nim: zmianę nazwy, przenoszenie, załączanie do wiadomości, oceniając na bieżąco poziom ryzyka.
To istotna zmiana jakościowa: zamiast reagować na pojedyncze zdarzenie w oderwaniu od kontekstu, organizacja widzi całą historię danych.
Ochrona danych w aplikacjach SaaS
Wraz z eksplozją narzędzi GenAI czatboty, przeglądarki AI, wyspecjalizowane agenty jak Copilot, Einstein czy Breeze) rośnie ryzyko, że dane firmowe trafią do aplikacji, nad którymi dział IT nie ma żadnej kontroli — tzw. Shadow AI. FortiDLP adresuje ten problem poprzez:
- śledzenie, kategoryzowanie i ocenę ryzyka aplikacji sankcjonowanych i niesankcjonowanych,
- wgląd w wykorzystanie narzędzi GenAI w organizacji,
- widoczność przepływu danych wrażliwych (ingress/egress),
- wykrywanie nieautoryzowanego użycia oraz stosowania prywatnych danych logowania do firmowych zasobów.
Insider Risk Management, czyli zagrożenie, którego nie widać na pierwszy rzut oka
Większość organizacji koncentruje się na ochronie przed cyberprzestępcami z zewnątrz. Tymczasem jednym z najtrudniejszych do wykrycia zagrożeń pozostają użytkownicy posiadający legalny dostęp do danych. Ryzyko mogą stanowić również nieświadome błędy pracowników, nadużycia uprawnień czy konta przejęte przez atakujących.
FortiDLP rozszerza klasyczne funkcje DLP o moduł Insider Risk Management, który analizuje zachowanie użytkowników i identyfikuje aktywności odbiegające od przyjętej normy.
Rozwiązanie zbiera informacje dotyczące aktywności użytkownika, punktów końcowych oraz wykorzystywanych usług chmurowych, a następnie wykorzystuje mechanizmy Machine Learning User Behavior Analytics (ML-UBA) do zbudowania indywidualnej linii bazowej zachowania każdego użytkownika.
Dzięki analizie zdarzeń zarówno przed, jak i po wystąpieniu incydentu FortiDLP znacząco ogranicza liczbę fałszywych alarmów, pozwalając zespołom bezpieczeństwa skupić się na rzeczywistych zagrożeniach. W przypadku potwierdzenia incydentu rozwiązanie dostarcza kompletny materiał dowodowy – historię aktywności użytkownika, operacje na plikach, zawartość schowka czy zrzuty ekranu – jednocześnie umożliwiając anonimizację danych pracownika do momentu, gdy analiza wykaże konieczność ujawnienia jego tożsamości. Dodatkowo analitycy mogą korzystać z raportów wspomaganych przez FortAI, które ułatwiają interpretację zdarzeń i przyspieszają proces dochodzeniowy.
Autor tekstu:
