USB мен басып шығаруды бақылау: паранойясыз DLP — жұмысқа кедергі келтірмейтін саясаттар

Қысқаша: USB мен басып шығаруды бақылау — кімнің, қандай құрылғыларға және қандай құжаттарды компаниядан тыс шығара алатынын айқындайтын және әрбір осындай операцияны тіркейтін DLP жүйесінің немесе жұмыс станцияларын қорғау құралының саясаттар жиынтығы. Мақсат — бәріне тыйым салу емес, жаппай жылыстауларды (клиенттер базасын флешкаға жүктеу, жұмыстан кетер алдында басып шығарылған бір бума шарт) жабу және бухгалтерияға, заңгерлерге және инженерлерге кедергі келтірмеу. Genius Systems мұндай саясаттарды Қазақстан компаниялары үшін — Өскеменде, Астанада, Алматыда, Қарағандыда және Павлодарда — Kaspersky, Falcongaze SecureTower және GTB негізінде баптайды. Төменде — паранойясыз жұмыс істейтін схема.

Неліктен «барлық портты жабу» жұмыс істемейді

Инциденттен кейінгі алғашқы реакция — USB-ге Windows топтық саясатымен тыйым салу және басып шығаруға лимит енгізу. Бір аптадан кейін мынадай жағдай анықталады:

• бухгалтерия есепке қол қоя алмайды: ҚР ҰКО (НУЦ РК) ЭЦҚ кілттері кәдімгі флешкада файл түрінде жатыр, ал Kaztoken анықталмай қалды;
• инженерлерге сызбалар мен бағдарламаларды станоктар мен өлшеу жабдығына тасымалдау керек;
• заңгерлер шарттарды бумалап басып шығарады, және лимит дәл соларға тиеді;
• АТ бөлімі ерекшеліктерді қоңырау бойынша таратады, бір айдан кейін компанияның жартысы «ерекшеліктер тізімінде» жүреді.

Нәтижесі — айналып өтілетін формальды тыйым және ашуланған қызметкерлер. Кері тәртіп жұмыс істейді: алдымен нақты көріністі көру, содан кейін тар жерлерді шектеу.

Саясаттар матрицасы: кімге не рұқсат ету керек

Саясаттар нақты адамдарға емес, Active Directory топтарына байланады. Әдеттегі бастапқы матрица:

Топ	USB жинақтағыштар	Басып шығару
Барлық қызметкерлер	Тек оқу; ЭЦҚ токендеріне рұқсат	Барлық тапсырманың журналы, мазмұн көшірмелерінсіз
Бухгалтерия, қаржы	Компанияның есепке алынған флешкаларына жазу	Мазмұн көшірмелері, аты-жөні бар су таңбасы
Сату, CRM-ге қолжеткізу	Жазуға тыйым, ерекшелік — өтінім бойынша 24 сағатқа	50+ ЖСН бар құжаттар мен CRM жүктемелерін бұғаттау
Инженерлер, өндіріс	Есепке алынған тасымалдағыштарға жазу, көлеңкелі көшіру	Журнал, сызбалар — су таңбасымен
Басшылық, АТ	Жазуға рұқсат, бәрі журналға жазылады	Журнал

Шектер (50 ЖСН, 24 сағат) — бастапқы нүкте, оларды мониторинг деректері бойынша калибрлейді.

USB: бес ереже

1. Сериялық нөмір бойынша ақ тізім. Компания флешкаларды — жақсысы аппараттық шифрлауы барларын — сатып алып, оларды тіркейді. Жеке флешка тек оқу режимінде жұмыс істейді немесе мүлде жұмыс істемейді.
2. ЭЦҚ — бөлек ереже. Токендерге (Kaztoken, eToken) құрылғы класы бойынша рұқсат беріледі, ҚР ҰКО файлдық кілттері бар флешкалар ақ тізімге енгізіледі. Әйтпесе салық есептілігі мен goszakup.gov.kz порталындағы жұмыс тоқтап қалады.
3. Уақытша ерекшеліктер. Қызметкер 24 сағатқа жазу құқығын сұрайды, басшы растайды. «Ыңғайлы болу үшін» берілетін тұрақты ерекшеліктер жоқ.
4. Көлеңкелі көшіру — нүктелік. Файлдардың көшірмелері тек құпия деректерге қолжеткізуі бар топтар үшін сақталады. Барлығына толық көшіру — 100 жұмыс орнына жылына 1–3 ТБ архив.
5. Мазмұн бойынша бұғаттау. CRM-нен алынған жүктеме, жүздеген ЖСН бар файл, «Коммерциялық құпия» грифі бар құжат флешканың кімдікі екеніне қарамастан бұғатталады.

Басып шығару: әкімшіге кезек күттірмейтін бақылау

• Барлық тапсырманың журналы: кім, қашан, қандай құжат, неше бет, қай принтерде. Шығыны жоқтың қасы, ал тергеулердің көпшілігін жабады.
• Мазмұн бойынша бұғаттау — тек біржақты жағдайлар үшін: клиенттер тізімдері, грифі бар құжаттар, жаппай дербес деректер.
• Су таңбалары — құпия құжаттарда аты-жөні мен күні көрсетіледі. Қызметкер басып шығарылған парақтың дербестендірілгенін біледі — мұның өзі азғыруды азайтады.
• PIN-код бойынша басып шығару желілік көпфункциялы құрылғыларда (МФУ): иесі келмейінше құжат науада жатпайды.
• Виртуалды принтерлер («PDF-ке басып шығару») физикалық принтерлер сияқты бақыланады: бұл — айналып өтудің классикалық тәсілі.

Немен іске асыруға болады

Міндет	Шешім
Мазмұнды талдамай құрылғыларды бақылау	Kaspersky Next EDR Foundations және Kaspersky Endpoint Security for Business — «Құрылғыларды бақылау» компоненті
Мазмұнды талдайтын және көлеңкелі көшірмелер жасайтын USB мен басып шығару бақылауы	Falcongaze SecureTower: сериялық нөмір бойынша ақ тізімдер, мәтін, принтер атауы және құжат тақырыбы бойынша басып шығаруды бұғаттау
Банктер, холдингтер, деректерді дәл тану	GTB Technologies
Мемлекеттік органдар, АКИАМО (КВОИКИ), сенім білдірілген бағдарламалық қамтылым талабы	Киберстраж, iBatyr (ҚР ҰҚК сертификаттауы)

Егер Kaspersky орнатылып қойса, оның құрылғыларды бақылау функциясынан бастаңыз — бұл сатып алу емес, баптау. DLP қызметкерлердің нақты нені көшіріп, басып шығаратынын түсіну маңызды болғанда қажет. Жүйелерді салыстыру — Қазақстанда DLP-ні қалай таңдау керек гайдында және DLP жүйелері бетінде.

4 аптада енгізу

1. 1-апта — түгендеу. Нақты қандай құрылғылар қосылады, желіде қандай принтерлер мен МФУ бар, кімде ЭЦҚ токендерде және флешкаларда сақталады.
2. 2–3-апталар — мониторинг. Саясаттар тек оқиғаларды тіркейді: кім USB-ге қанша жазады, қай бөлімдер бәрінен көп басып шығарады, аномалиялар қайда.
3. 4-апта — бұғаттаулар. Біржақты жағдайлар үшін ақ тізімдер мен тыйымдарды қосамыз. Даулы жағдайлар — растау режиміне: қызметкер себебін көрсетеді, қауіпсіздік қызметі оны көреді.
4. Тоқсанына бір рет — ерекшеліктер мен шектерді қайта қарау. Оқиғалар корреляция үшін SIEM жүйесіне жіберіледі: мысалы, жұмыстан босату туралы өтініш берілген аптада клиенттік құжаттарды жаппай басып шығару.

Заң және құжаттар

Құжатсыз бақылау — қорғау емес, заңдық тәуекел:

• Жұмыс құралдарын бақылау туралы бұйрық және қызметкерлер қол қойып танысқан коммерциялық құпия туралы ереже — ҚР Еңбек кодексі жұмыс берушіні қызметкерді оның жұмысына қатысты актілермен таныстыруға міндеттейді.
• «Дербес деректер және оларды қорғау туралы» 2013 жылғы 21 мамырдағы № 94-V ҚР Заңы: DLP журналдарында қызметкерлердің өздерінің дербес деректері бар, сондықтан сақтау мерзімі мен қолжеткізудің шектеулі шеңбері қажет.
• Мемлекеттік органдар мен АКИАМО үшін — АКТ және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптар (ҚР Үкіметінің № 832 қаулысы), соның ішінде алынбалы тасымалдағыштармен жұмыс бөлігінде.

Қол қойылған құжаттарсыз DLP-ден алынған дәлелдемелерді жұмыстан босату кезінде немесе сотта пайдалану қиын.

Әрі қарай не істеу керек

Деректердің қазір қай жерден жылыстап жатқаны түсініксіз болса, ақпараттық қауіпсіздік аудитінен бастаңыз: логтар бойынша кім не көшіретінін және басып шығаратынын көрсетіп, бөлімдеріңізге арналған саясаттар матрицасын ұсынамыз. 20–50 жұмыс орнында USB мен басып шығаруды бақылаудың пилоттық жобасы 2–4 аптаға созылады. Бізге жазыңыз — міндетті талқылаймыз.