Пример реализации проекта

Выбор был сделан в пользу DLP-системы от производителя Zecurion, так как эта система ничем не уступает аналогам и значительно дешевле DLP-решений от компаний конкурентов со схожим функционалом.

Обследование

 

Перед внедрением DLP-системы, необходимо подготовить перечень информации ограниченного доступа, описание бизнес-процессов, в рамках которых происходит обработка, хранение и передача такой информации.

Обычно работы в рамках обследования включают в себя следующие мероприятия:

● изучение организационно-распорядительных документов, относящихся к обеспечению безопасности и классификации информации;

● изучение перечня информационных ресурсов, схем сети, схем потоков данных и т. п., относящихся к формализации информационного взаимодействия;

● согласование признаков отнесения информации к информации ограниченного доступа;

● формализация перечня информации ограниченного доступа;

● обследование и описание процессов передачи, обработки и хранения информации ограниченного доступа в рамках бизнес-процессов.

 

По итогам перечисленных мероприятий разрабатываются документы, на основе которых впоследствии будут создаваться политики безопасности DLP-системы. К таким документам относятся:

 

● «Перечень информации ограниченного доступа»;

● «Схема потоков данных информации ограниченного доступа»;

● «Описание технологических процессов взаимодействия с информацией ограниченного доступа»;

● «Основные сценарии утечки конфиденциальной информации».

Юридическое сопровождение

 

Одними из важных вопросов, с которыми придется столкнуться при внедрении DLP-системы, — это вопросы юридического характера. К примеру:

 

● «Будет ли DLP-система считаться как слежка за сотрудниками?»

● «Как компания будет защищаться от конфликтов, вызванных работой этой системы?»

Создание грамотной стратегии использования DLP-системы в правовом контексте — это важная часть ее внедрения. Результатом этой работы должны стать шаги по организации режима коммерческой тайны или соответствующие дополнения к нему. В рамках данных работ изучаются организационно-распорядительные документы компании, трудовые договоры, дополнительные соглашения и прочие кадровые документы, относящиеся к определению условий труда и обязательств работников, а также внутренние процедуры контроля. И по результатам анализа формирует рекомендации по внесению изменений в нормативную базу компании. В число документов разрабатываемых на данном этапе, могут войти:

 

● дополнительные соглашения к трудовым договорам;

● дополнения к правилам трудового распорядка;

● политика допустимого использования средств обработки информации;

● иные документы, регламентирующие работу с информацией ограниченного доступа.