A prevenção contra a perda de dados (DLP) impede que os dados sensíveis saiam da organização. Monitoriza o fluxo de dados: anexos de e-mail, carregamentos para a nuvem, unidades USB e trabalhos de impressão. Um sistema DLP identifica conteúdo confidencial utilizando normas e etiquetas, bloqueando ou alertando para transferências que violam as políticas da organização. Uma folha de cálculo com os números de cartão de crédito dos clientes não deve ser enviada para uma conta pessoal do Gmail. O motor DLP reconhece o padrão e impede o envio.

Implementar um sistema DLP eficaz é complexo. Os falsos positivos irritam os utilizadores e geram fadiga de alertas. Os falsos negativos permitem o vazamento de dados. Os ficheiros e imagens encriptados dificultam a inspeção de conteúdo. Os colaboradores encontram soluções alternativas, como fotografar o ecrã ou colar os dados numa aplicação de notas pessoal. Um DLP eficaz combina tecnologia com políticas e formação. Rotule os dados sensíveis no momento da criação. Classifique-os para que o motor de DLP saiba o que proteger. Restrinja a utilização de portas USB quando apropriado. Monitorize os uploads para a nuvem. A maioria das violações envolve dados que saem por um canal que alguém se esqueceu de monitorizar. O DLP fecha estes canais, mas apenas se a organização definir o que é considerado sensível e aplicar as regras de forma consistente.

Canais DLP para monitorizar

• E-mail — anexos e mensagens enviadas
• Armazenamento em nuvem — carregamentos para contas pessoais
• Suportes amovíveis — unidades USB e discos externos
• Impressão — documentos que saem em papel.
• Web — envio de formulários e upload de ficheiros

O DLP é um obstáculo, não uma barreira intransponível. Um determinado agente interno encontrará uma forma de o contornar. O objetivo é apanhar os descuidados e travar as ações maliciosas.