DLP принято продавать как защиту от утечек, и это верно лишь отчасти. Система фиксирует не только то, что уходит за периметр, но и то, что происходит с документами внутри компании: правку давно закрытых файлов, корректировку актов сверки в PDF, подстановку подписей, изменение сводных таблиц по тендерам, ведение параллельного учёта в личных таблицах. Ни одна из этих операций не является утечкой — и каждая является доказательством. Результат работы: настроенный контур контроля по каналам передачи, копирования и обхода; поток проверенных срабатываний вместо потока алертов; доказательная база по установленным фактам, пригодная для кадрового, гражданско-правового или судебного решения.

Отличие от поставки лицензий — в том, что происходит после установки. DLP генерирует срабатывания тысячами, большинство из них ложные, и система, за которой никто не следит, превращается в журнал, который никто не читает: формально контроль есть, фактически его нет. Часть объектов вообще не поддаётся автоматической оценке — мессенджеры, запароленные архивы, виртуальные машины, захват экрана требуют ручного разбора с пониманием контекста: что за документ, кому он мог понадобиться и что происходило в компании в этот момент. Мы настраиваем фильтры под конкретное производство, ведём разбор срабатываний и доводим находку до факта.

Копирование баз данных, конструкторской документации и отчётов на неизвестные флеш-накопители.
Копирование базы с ноутбука командированного сотрудника на съёмный носитель.
Автоматическая синхронизация всех рабочих документов с личным облачным хранилищем.
Использование Bluetooth для передачи данных.
Фотографирование данных из базы на телефон.
Печать документов с грифом «ДСП» с последующим выносом.
Печать посторонних документов, в том числе относящихся к другим подразделениям.

Использование PDF с функцией корректировки: подчистка актов сверки, изменение условий коммерческих предложений — делающее их непроходными, изменение данных в паспортах производителей, подстановка подписей.
Правка давно созданных и в текущем режиме не ведущихся файлов: внесение изменений в сводные таблицы по тендерам, редактирование чужих файлов на сервере.
Множественные корректировки документов одного типа: заказы, обращения клиентов.

Ведение параллельного учёта: таблицы по товародвижению, данные лабораторных анализов, заказы, таблицы сопоставления единиц измерения и аналогов.
Сбои в настройке доступов: документы ограниченного пользования доступны для просмотра и копирования сотрудникам других подразделений.

Каналы передачи · трудоёмкость низкая и средняя
Основные маршруты, по которым документ покидает компанию. Настраиваются один раз, дальше требуют только доработки фильтров под номенклатуру и терминологию конкретного производства.

Копирование и вынос · трудоёмкость от низкой до высокой
Способы снять копию, не отправляя файл: на носитель, на бумагу, в буфер обмена или на камеру телефона. Последний вариант не оставляет цифрового следа в передаче и потому требует отдельного подхода.

Обход контроля · трудоёмкость от низкой до высокой
Отдельная группа, в которой само срабатывание является находкой: у добросовестного сотрудника нет причин запускать анонимайзер, поднимать виртуальную машину или менять расширение файла базы данных на .jpg.

Поведенческий анализ · трудоёмкость от низкой до высокой
Группа, в которой оценивается не отдельное действие, а отклонение от собственной нормы сотрудника. Здесь чаще всего обнаруживается то, что по отдельности выглядит совершенно законно.

Определение предмета защиты — что именно в вашей компании имеет ценность: конструкторская документация, клиентская база, ценовые условия, рецептуры, результаты лабораторных анализов.
Правовая подготовка — положение о коммерческой тайне, перечень защищаемых сведений, правила использования корпоративных ресурсов, ознакомление работников под подпись.
Настройка фильтров — ключевые слова и типы документов подбираются под номенклатуру и терминологию конкретного производства, а не берутся из типового набора.
Определение объектов контроля — по фактическому риску: не все семнадцать сразу, а те, через которые в вашей компании реально может уйти документ.

Отсев ложных сигналов — большинство срабатываний ложные, и это нормальное свойство системы. Отсев ведётся аналитиком, а не правилом.
Проверка контекста — что за документ, кому он мог понадобиться по работе, что происходило в компании в этот момент. Без ответа на эти вопросы срабатывание не является находкой.
Доведение до факта — подтверждённое событие фиксируется с привязкой к учётной записи, времени и содержанию, в форме, пригодной для служебной проверки.
Обратная связь по процессу — часть находок указывает не на злоупотребление, а на дефект процедуры: неверно настроенные доступы, отсутствие регламента, неудобный порядок, который сотрудники обходят из необходимости.

До запуска контроля принимаются локальные нормативные акты: положение о коммерческой тайне, перечень защищаемых сведений, правила использования корпоративных ресурсов и порядок контроля. Работники знакомятся с ними под подпись. Подготовка этих документов входит в работу.

Вопрос не в наличии системы, а в том, кто читает срабатывания. Проверяется одним вопросом: сколько срабатываний за последний квартал было разобрано до подтверждённого факта? Если ни одного, система работает как журнал, который никто не открывает. Разбор накопленных срабатываний — самостоятельная услуга, и начинать имеет смысл с неё.

Да, при трёх условиях: контроль ведётся на корпоративной технике, касается служебной деятельности и работники уведомлены о нём под подпись. Подготовка локальных нормативных актов входит в работу. Материалы, полученные без соблюдения этого порядка, доказательной силы не имеют.

Узнают обязательно — уведомление требуется по закону, и профилактический эффект как раз в осведомлённости. При этом сама попытка обхода фиксируется отдельно: установка анонимайзера, запуск виртуальной машины, смена расширения файла, отключение агента. У добросовестного сотрудника нет причин делать ничего из этого.

Предмет защиты в торговле и услугах — клиентская база, ценовые условия, логика скидок, договорные условия. Кроме того, значительная часть находок вообще не связана с утечками: правка актов сверки, изменение тендерных таблиц, параллельный учёт в личных файлах. Это подлог, и его фиксирует та же система.

Начать можно с аудита текущего состояния: какие каналы передачи открыты, у кого есть доступ к чувствительным документам и что с ними происходило за последние месяцы. Если система у вас уже установлена — с разбора накопленных срабатываний: как правило, за ними уже есть что найти.

DLP-контроль: утечки данных и подлог документов

Что «Де Факто» может сделать для вас

Что показывает контроль

Объекты контроля

Как устроена работа

Внедрение

Работа со срабатываниями

Правовые основания контроля

Вопросы и возражения

Материалы по теме

Узнайте, что происходит с вашими документами