الرئيسية / المحتوى المقروء / المقالات / منع تسريب البيانات خارج المنظمة (Data Leakage Prevention (DLP

منع تسريب البيانات خارج المنظمة (Data Leakage Prevention (DLP

data_loss_protection

 

منع تسريب البيانات خارج المنظمة

(Data Leakage Prevention (DLP

 

غالبا ما يكون هناك هاجس لدى الكثير من المسؤولين في غالب المنظمات بشكل عام من تسرب البيانات المهمة و السرية التي تمتلكها إلى خارج نطاق المنظمة و وصولها لأشخاص غير مصرح لهم للإطلاع عليها، مما قد يتسبب لهذه المنظمات خسائر كبيرة متنوعة و مختلفة بحسب مجال عمل هذه المنظمات. في هذا المقال سوف يكون حديثنا عن أحد مفاهيم و استراتيجيات أمن المعلومات (منع تسريب البيانات) أو ما يسمى ب (DLP) Data Leakage Prevention  و يطلق عليه أحيانا Data Loss Prevention وكلاهما يحملان نفس المعنى و لكن يطلق عليها (Loss) في حال كان التسريب بشكل متعمد و  (Leakage)  في حال كان تسريب البيانات بشكل غير متعمد بالإضافة إلى أن هناك عدة مسميات و مفاهيم أخرى متعلقة بهذا المفهوم و منبثقة من (DLP) كـ
  • information leak prevention (ILP)
  • Information leak detection and prevention (ILDP)
  • content monitoring and filtering (CMF)
  • information protection and control (IPC) 
(Data Leakage Prevention (DLP  هي استراتيجية أمنية شاملة للحفاظ على البيانات المهمة من الأشخاص الغير مصرح لهم  بالإطلاع عليها و منع تداولها خارج نطاق المنظمة بإختلاف حالة و مكان هذه البيانات سواء كانت مخزنة على وحدات التخزين (In-rest) أو أجهزة المستخدمين و الخوادم (In-Use) أو متنقلة من خلال الشبكة (In-motion). 

 

في الحقيقة، إن بناء استراتيجية شاملة للحفاظ على البيانات من تداولها خارج نطاق المنظمة يعتمد بشكل أساسي على تصنيف هذه البيانات (Data Classification). فتطبيق سياسات تصنيف البيانات من قبل المنظمات من حيث سرية بيناتها و أهميتها مهم جدا و يساعد كثيراً عند فرض القيود التقنية و الحلول الأمنية المناسبة لحماية البيانات. و كمثال على تصنيف البيانات في المنظمات (عام، هام، سري، سري للغاية) فجميع البيانات بشكل عام متفاوتة الأهمية بحسب تصنيفها و أيضا هناك طرق لإيضاح نوع التصنيف على هذه البيانات بناء على هيأتها، فالبيانات الورقية يكون تصنيفها مرفق معها أو مطبوع عليها (Labeling) و البيانات الإلكترونية تصنف عبر إستخدام بعض الأدوات المخصصة لذلك مثل أداة TITUS  الشهيرة. 

data-loss-prevention-for-mac-os-x-dlp-for-mac-en_blank

أصبح استخدام التقنية عنصر أساسي لعمل جميع الإدارات والتي يتعامل أفرادها بطريقة مباشرة مع بيانات المنظمة، لذلك أصبح لدى المسؤولون هاجس كبير من تسرب و تداول بياناتها السرية خارج أسوار المنظمة و وصولها لأناس لا يحق لهم الإطلاع عليها. هناك عدة طرق قد يحدث من خلالها تسريب للبيانات و هي كالتالي:
  • الحديث بصوت عالي في الأماكن المفتوحه عن ما تحتويه بيانات المنظمة.
  • ترك الأجهزة الشخصية بدون تسجيل خروج أو قفل للشاشة.
  • سرقة الأجهزة المحمولة و الأجهزة الذكية و أجهزة التخزين المتنقلة الغير محمية و التي تحتوي على بيانات مهمة.
  • التفتيش في سلة المهملات للبحث عن البيانات المهمة.
  • الهندسة الاجتماعية و خداع الموظفين لإستخراج المعلومات المهمة و السرية منهم.
  • نسخ البيانات على أجهزة التخزين المتنقلة (USB,CD/DVD) و نقلها خارج المنظمة.
  • طباعة الملفات المهمة عن طريق الأشخاص الغير مصرح لهم و إخراجها خارج المنظمة.
  • إستخدام الكاميرا المدمجة مع أجهزة الهواتف النقالة لإلتقاط صور للبيانات المهمة.
  • إرسال البيانات المهمة إلى الخارج عبر البريد الإلكتروني.
  • إرسال البيانات المهمة إلى الخارج برفعها لمواقع التخزين التجارية عبر خدمة الإنترنت المقدمة داخل المنظمة.
  • إرسال البيانات المهمة عبر تطبيقات المحادثة (Instant Messageing).
  • ضعف أنظمة تحكم الوصول للتطبيقات و قواعد البيانات و التي عن طريقها يتم الوصول للبيانات المهمة.
  • التنصت على البيانات المرسلة عبر الشبكة الداخلية للمنظمات.
  • أيضا تواجد الأبواب الخلفية (البرامج التجسسية )على أجهزة المنظمة يساهم بنسبة كبيرة في عملية تسريب البيانات.
  • وصول المخترقين من عالم الإنترنت إلى الشبكة الداخلية للمنظمة عبر الخدمات الإلكترونية المقدمة من خلال الانترنت.

data-leak-prevention-system

 

طرحت بعض الشركات العالمية كـ (Macfee  و Bluecoat و EMC) عدة أنظمة مخصصة لاستراتيجيات الـ (Data Leakage Prevention (DLP. و هنا سوف نتحدث بشكل عام عن أبرز النقاط التي يركز عليها الكثير من المهتمين بهذا الموضوع و الأنظمة المخصصة لذلك و التي تشمل الجوانب التقنية و الإدارية و المادية (الفيزيائية) و هي كالاتي:
  • أولا و قبل البدء في حماية البيانات يجب على المسؤولين في أي منظمة تصنيف البيانات حسب أهميتها وسريتها و ذلك لإتخاذ الإجراء المناسبة لكل تصنيف.
  • بناء السياسات الأمنية المتعلقة في بيانات المنظمة و إطلاع جميع موظفي المنظمة عليها و حثهم على اتباعها.
  • إيجاد إجراءات أمنية للحفاظ على سرية البيانات تُتبع عند التخلص منها سواء كانت هذه البيانات تقنية أو ورقية.
  • تثقيف و توعية موظفي المنظمة تجاه المخاطر التقنية كـ (Phishing Email, Malicious URL) و التي قد تساهم في تسريب البيانات خارج المنظمة.
  • مراقبة محتوى الانترنت و البريد الإلكتروني Content inspection لعمل فلترة و منع جميع البيانات المهمة من الخروج لعالم الإنترنت.
  • تفعيل أنظمة مكافحة الفيروسات على جميع الأجهزة و خدمات الانترنت و البريد الالكتروني.
  • تشفير البيانات المهمة و التي عادة ما تنتقل من خلال الشبكات الداخلية و الخارجية لمنع المتطفلين من الاطلاع عليها.
  • أنظمة التحكم بالوصول (Access Control) سواء كانت على البيانات أو التطبيقات و حتى مباني المنظمة يجب أن تكون متواجدة وفعالة بالقدر الذي يحمي البيانات من الوصول الغير مصرح له.
  • يجب أن تكون الصلاحيات الممنوحة لمستخدمي أنظمة المنظمة و تطبيقاتها وفق الحاجة (Least Privileges).
  • تقييد أجهزة المستخدمين و تعطيل أو مراقبة الأجهزة التي قد تساهم في تسريب البيانات مثل (USB, CD/DVD).
  • حماية جميع الخدمات الإلكترونية المقدمة من خلال الانترنت و منع المخترقين من اختراقها عبر التقنيات المتقدمة مثل (Firewall, IPS) و غيرها من تقنيات الحماية المتقدمة.
  • أيضا تعتمد كثيراً من المنظمات على استحدام تقنيات Mobile Device Management (MDM) الحديثة و التي تعمل على الحفاظ على سرية البيانات المتواجدة على الأجهزة المحمولة و الأجهزة الذكية المتنقلة مع موظفي المنظمة خارج نطاقها.

 

سامي الأيداء

عن سامي الأيداء

اضف رد

لن يتم نشر البريد الإلكتروني . الحقول المطلوبة مشار لها بـ *

*

Time limit is exhausted. Please reload CAPTCHA.