System zapobiegania utracie danych zapobiega wydostawaniu się poufnych danych z organizacji. Monitoruje on, dokąd trafiają dane: do załączników e-mail, do plików przesyłanych w chmurze, na dyski USB i do zadań drukowania. System DLP identyfikuje poufne treści za pomocą wzorców i etykiet, a następnie blokuje lub ostrzega o transferach naruszających zasady. Arkusz kalkulacyjny z numerami kart kredytowych klientów nie powinien być przesyłany na osobiste konto Gmail. Mechanizm DLP rozpoznaje wzorzec i wstrzymuje wysyłanie.

DLP jest trudne do wdrożenia. Fałszywe alarmy irytują użytkowników i powodują zmęczenie alertami. Fałszywe negatywy powodują wyciek danych. Zaszyfrowane pliki i obrazy uniemożliwiają inspekcję treści. Pracownicy znajdują obejścia, takie jak fotografowanie ekranu lub wklejanie danych do aplikacji do notatek. Skuteczne DLP łączy technologię z polityką i szkoleniami. Etykietuj poufne dane podczas ich tworzenia. Klasyfikuj je, aby silnik DLP wiedział, co chronić. Ograniczaj porty USB w razie potrzeby. Monitoruj przesyłanie danych do chmury. Większość naruszeń bezpieczeństwa wiąże się z utratą danych przez kanał, który ktoś zapomniał sprawdzić. DLP zamyka te kanały, ale tylko wtedy, gdy organizacja zdefiniuje, co uznaje się za poufne, i będzie konsekwentnie egzekwować zasady.

Kanały DLP do monitorowania

• E-mail — załączniki i wiadomości wychodzące
• Przechowywanie w chmurze — przesyłanie danych na konta osobiste
• Nośniki wymienne — dyski USB i dyski zewnętrzne
• Drukowanie — dokumenty pozostające w formie papierowej
• Sieć — przesyłanie formularzy i plików

DLP to próg zwalniający, a nie mur. Zdeterminowany insider znajdzie sposób. Celem jest złapanie nieostrożnych i spowolnienie złośliwych.