Návrh koncepce prevence ztráty dat

Tomáš Brejla

Master's thesis

Design of conception of data loss prevention

Abstract:

Práce se zabývá vytvořením koncepce implementace procesů a softwarových nástrojů směřujících k zajištění prevence úniku citlivých dat z prostředí organizace. Strukturu tvoří tři klíčové části. V první z nich jsou popsána teoretická východiska práce. Je vysvětleno, co to prevence ztráty dat je, z čeho vychází, proč je třeba ji řešit a jaké jsou její cíle. Je také popsáno, jakým způsobem zapadá tato oblast do celého prostředí podnikové ICT bezpečnosti. Dále jsou v práci definována veškerá rizika spojená s únikem citlivých dat, možnosti jejich řešení a jsou popsána úskalí, která jsou s těmito řešeními spojená. První část práce také analyzuje současný stav prevence ztráty dat v organizacích. Ty jsou rozděleny dle své velikosti a pro každou skupinu je vypsán přehled nejčastějších nedostatků a rizik. Je zhodnoceno, jak organizace aktuálně oblast prevence ztráty dat řeší a jak mají problematiku pokrytou z procesního pohledu, i z pohledu softwarových nástrojů. Přímo na softwarové nástroje se soustředí druhá část práce. Je charakterizován princip fungování těchto systémů a vysvětlena jejich síťová architektura. Dále jsou popsány a zhodnoceny aktuální trendy vývoje nástrojů pro prevenci ztráty dat a nastíněn další možný vývoj. Jsou rozděleny do jednotlivých kategorií podle toho, jaké funkce nabízejí a jakým způsobem pokrývají potřeby organizací. V závěru druhé části jsou porovnána softwarová řešení od nejvýznamnějších dodavatelů na trhu podle zkušeností z praxe, se zaměřením na jejich silné a slabé stránky. Třetí část práce představuje stěžejní obsah. Dochází v ní ke spojení dvou předchozích částí a výsledkem je vytvoření celkové koncepce zavádění prevence ztráty dat s důrazem na rozdělení dle několika různých rovin -- procesů, času a velikosti společnosti. Na začátku třetí části je popsáno, co předchází samotnému zavádění prevence ztráty dat a na co by si organizace měla dát pozor. Dále je definováno jakým způsobem a podle čeho by si organizace měla nastavit svá vlastní očekávání, aby byl celý projekt řiditelný. Hlavním bodem je vytvoření postupu zavádění prevence ztráty dat, od vytvoření strategie, přes výběr řešení, až po implementaci tohoto řešení a souvisejících procesů. V závěru třetí části jsou řešeny právní a personální otázky, které se zaváděním prevence ztráty dat velmi úzce souvisí. Jsou vytvořena doporučení, založená na analýze právních norem a tato doporučení jsou doplněna do personálního rámce přístupu k zaměstnancům. Na úplný závěr jsou jmenovány přínosy zavedení prevence ztráty dat a celá vytvořená koncepce je shrnuta formou best practices.

Abstract:

This work deals with the making of conception of implementation of processes and software tools designed to ensure sensitive data leakage prevention from the organization infrastructure. The structure consists of three key parts. The first one describes theoretical basis of the work. It explains what is the data loss prevention, what it comes from, why it is necessary to deal with it and what its goals are. It also describes how this fits into the whole area of corporate ICT security environment. There are defined all the risks associated with leakage of sensitive data and there are also defined possible solutions and problems that are associated with these solutions. The first part also analyzes the current state of data loss prevention in organizations. They are divided according to their size and for each group there is a list of the most common weaknesses and risks. It is evaluated how the organizations currently solve prevention of data loss and how they cover this issue from both a procedural point of view and in terms of software tools. The second part focuses directly on the software tools. It is characterized the principle of operation of these systems and it is explained their network architecture. There are described and evaluated current trends in the development of the data loss prevention tools and it is outlined possible further development. They are divided into different categories depending on what features they offer and how these categories cover the needs of organizations. At the end of the second part there are compared the software solutions from leading vendors in the market against actual experience, focusing on their strengths and weaknesses. The third part presents the core content. IT joins two previous sections and the result is the creation of the overall concept of the implementation of data loss prevention with focus on breakdown by several different levels -- processes, time and size of the company. At the beginning of this third section it is described what precedes the implementation of data loss prevention, and what the organizations should be careful of. It is defined by how and what the organizations should set their own expectations for the project could be manageable. The main point is the creation of a procedure of data loss prevention implementation by creating a strategy, choice of solutions, to the implementation of this solution and related processes. The end of the third part deals with the legal and personnel issues which are with the implementation of DLP very closely related. There are made recommendations based on analysis of the law standards and these recommendations are added to the framework approach of HR staff. At the very end there are named benefits of implementing data loss prevention, and the created concept is summarized as a list of best practices.

Keywords

data, únik, riziko, koncepce, dokumenty, proces, prevence ztráty dat, Citlivé informace, organizace, ICT bezpečnost, softwarový nástroj, implementace

Keywords

leakage, software tool, risk, process, data loss prevention, organization, conception, implementation, ICT security, documents, data, Sensitive information

Language used: Czech

Date on which the thesis was submitted / produced: 1. 11. 2011

Thesis defence

• Date of defence: 11. 6. 2012
• Supervisor: Vlasta Střížová
• Reader: Vratislav Sejk

Vysoká škola ekonomická v Praze

Master programme / field:
Aplikovaná informatika / Informační management