Контроль USB и печати: DLP без паранойи — политики, которые не мешают работать

Коротко: контроль USB и печати — это набор политик DLP-системы или защиты рабочих станций, которые определяют, кто, на какие устройства и какие документы может выносить за пределы компании, и фиксируют каждую такую операцию. Цель — не запретить всё, а закрыть массовые утечки (выгрузка клиентской базы на флешку, пачка распечатанных договоров перед увольнением) и не мешать бухгалтерии, юристам и инженерам. Genius Systems настраивает такие политики для компаний Казахстана — в Усть-Каменогорске, Астане, Алматы, Караганде и Павлодаре — на базе Kaspersky, Falcongaze SecureTower и GTB. Ниже — схема, которая работает без паранойи.

Почему «закрыть все порты» не работает

Первая реакция после инцидента — запретить USB групповой политикой Windows и ввести лимит на печать. Через неделю выясняется:

• бухгалтерия не может подписать отчёт: ключи ЭЦП НУЦ РК лежат файлом на обычной флешке, а Kaztoken перестал определяться;
• инженерам нужно переносить чертежи и программы на станки и измерительное оборудование;
• юристы печатают договоры пачками, и лимит бьёт именно по ним;
• ИТ раздаёт исключения по звонку, и через месяц половина компании «в исключениях».

Итог — формальный запрет, который обходят, и раздражённые сотрудники. Работает обратный порядок: сначала увидеть реальную картину, потом ограничить узкие места.

Матрица политик: кому что разрешить

Политики привязываются к группам Active Directory, а не к конкретным людям. Типовая стартовая матрица:

Группа	USB-накопители	Печать
Все сотрудники	Только чтение; токены ЭЦП разрешены	Журнал всех заданий, без копий содержимого
Бухгалтерия, финансы	Запись на учтённые флешки компании	Копии содержимого, водяной знак с ФИО
Продажи, доступ к CRM	Запись запрещена, исключение — по заявке на 24 часа	Блокировка документов с 50+ ИИН и выгрузок CRM
Инженеры, производство	Запись на учтённые носители, теневое копирование	Журнал, чертежи — с водяным знаком
Руководство, ИТ	Запись разрешена, всё журналируется	Журнал

Пороги (50 ИИН, 24 часа) — отправная точка, их калибруют по данным мониторинга.

USB: пять правил

1. Белый список по серийному номеру. Компания закупает флешки — лучше с аппаратным шифрованием — и регистрирует их. Личная флешка работает только на чтение или не работает вовсе.
2. ЭЦП — отдельное правило. Токены (Kaztoken, eToken) разрешаются по классу устройства, флешки с файловыми ключами НУЦ РК — вносятся в белый список. Иначе встанут налоговая отчётность и работа на goszakup.gov.kz.
3. Временные исключения. Сотрудник запрашивает запись на 24 часа, руководитель подтверждает. Постоянных исключений «для удобства» нет.
4. Теневое копирование — точечно. Копии файлов сохраняются только для групп с доступом к конфиденциальным данным. Полное копирование для всех — это 1–3 ТБ архива в год на 100 рабочих мест.
5. Блокировка по содержимому. Выгрузка из CRM, файл с сотнями ИИН, документ с грифом «Коммерческая тайна» блокируются независимо от того, чья флешка.

Печать: контроль без очереди к администратору

• Журнал всех заданий: кто, когда, какой документ, сколько страниц, на каком принтере. Стоит почти ничего и закрывает большинство расследований.
• Блокировка по содержимому — только для однозначных случаев: списки клиентов, документы с грифом, массовые персональные данные.
• Водяные знаки с ФИО и датой на конфиденциальных документах. Сотрудник знает, что распечатка персонализирована, — это само по себе снижает соблазн.
• Печать по PIN-коду на сетевых МФУ: документ не лежит в лотке, пока владелец не подошёл.
• Виртуальные принтеры («печать в PDF») контролируются так же, как физические: это классический обход.

Чем реализовать

Задача	Решение
Контроль устройств без анализа содержимого	Kaspersky Next EDR Foundations и Kaspersky Endpoint Security для бизнеса — компонент «Контроль устройств»
USB и печать с анализом содержимого и теневыми копиями	Falcongaze SecureTower: белые списки по серийному номеру, блокировка печати по тексту, имени принтера и заголовку документа
Банки, холдинги, точное распознавание данных	GTB Technologies
Госорганы, КВОИКИ, требование доверенного ПО	Киберстраж, iBatyr (сертификация КНБ РК)

Если Kaspersky уже установлен, начните с его контроля устройств — это настройка, а не покупка. DLP нужна, когда важно понимать, что именно копируют и печатают. Сравнение систем — в гайде как выбрать DLP в Казахстане и на странице DLP-систем.

Внедрение за 4 недели

1. Неделя 1 — инвентаризация. Какие устройства реально подключают, какие принтеры и МФУ есть в сети, у кого ЭЦП на токенах и флешках.
2. Недели 2–3 — мониторинг. Политики только фиксируют события: кто и сколько пишет на USB, какие отделы печатают больше всех, где аномалии.
3. Неделя 4 — блокировки. Включаем белые списки и запреты для однозначных случаев. Спорные — в режим подтверждения: сотрудник указывает причину, служба безопасности её видит.
4. Раз в квартал — пересмотр исключений и порогов. События уходят в SIEM для корреляции: например, массовая печать клиентских документов в неделю подачи заявления на увольнение.

Закон и документы

Контроль без документов — юридический риск, а не защита:

• Приказ о контроле рабочих средств и положение о коммерческой тайне с ознакомлением сотрудников под подпись — Трудовой кодекс РК обязывает работодателя знакомить работника с актами, касающимися его работы.
• Закон РК «О персональных данных и их защите» № 94-V от 21 мая 2013 года: журналы DLP содержат персональные данные самих сотрудников, поэтому нужны срок хранения и ограниченный круг доступа.
• Для госорганов и КВОИКИ — Единые требования в области ИКТ и обеспечения ИБ (постановление Правительства РК № 832), в том числе в части работы со съёмными носителями.

Без подписанных документов доказательства из DLP сложно использовать при увольнении или в суде.

Что дальше

Если непонятно, где сейчас утекают данные, начните с аудита ИБ: по логам покажем, кто что копирует и печатает, и предложим матрицу политик под ваши отделы. Пилот контроля USB и печати на 20–50 рабочих местах занимает 2–4 недели. Напишите нам — обсудим задачу.