منع تسريب البيانات خارج المنظمة (Data Leakage Prevention (DLP

غالبا ما يكون هناك هاجس لدى الكثير من المسؤولين في غالب المنظمات بشكل عام من تسرب البيانات المهمة و السرية التي تمتلكها إلى خارج نطاق المنظمة و وصولها لأشخاص غير مصرح لهم للاطلاع عليها، مما قد يتسبب لهذه المنظمات خسائر كبيرة متنوعة و مختلفة بحسب مجال عمل هذه المنظمات. في هذا المقال سوف يكون حديثنا عن أحد مفاهيم و استراتيجيات أمن المعلومات (منع تسريب البيانات) أو ما يسمى ب (DLP) Data Leakage Prevention و يطلق عليه أحيانا Data Loss Prevention وكلاهما يحملان نفس المعنى و لكن يطلق عليها (Loss) في حال كان التسريب بشكل متعمد و (Leakage) في حال كان تسريب البيانات بشكل غير متعمد بالإضافة إلى أن هناك عدة مسميات و مفاهيم أخرى متعلقة بهذا المفهوم و منبثقة من (DLP) كـ:

• information leak prevention (ILP)
• Information leak detection and prevention (ILDP)
• content monitoring and filtering (CMF)
• information protection and control (IPC)

(Data Leakage Prevention (DLP

هي استراتيجية أمنية شاملة للحفاظ على البيانات المهمة من الأشخاص الغير مصرح لهم بالاطلاع عليها و منع تداولها خارج نطاق المنظمة باختلاف حالة و مكان هذه البيانات سواء كانت مخزنة على وحدات التخزين (In-rest) أو أجهزة المستخدمين و الخوادم (In-Use) أو متنقلة من خلال الشبكة (In-motion).

في الحقيقة، إن بناء استراتيجية شاملة للحفاظ على البيانات من تداولها خارج نطاق المنظمة يعتمد بشكل أساسي على تصنيف هذه البيانات (Data Classification). فتطبيق سياسات تصنيف البيانات من قبل المنظمات من حيث سرية بيناتها و أهميتها مهم جدا و يساعد كثيراً عند فرض القيود التقنية و الحلول الأمنية المناسبة لحماية البيانات. و كمثال على تصنيف البيانات في المنظمات (عام، هام، سري، سري للغاية) فجميع البيانات بشكل عام متفاوتة الأهمية بحسب تصنيفها و أيضا هناك طرق لإيضاح نوع التصنيف على هذه البيانات بناء على هيأتها، فالبيانات الورقية يكون تصنيفها مرفق معها أو مطبوع عليها (Labeling) و البيانات الإلكترونية تصنف عبر استخدام بعض الأدوات المخصصة لذلك مثل أداة TITUS الشهيرة.

أصبح استخدام التقنية عنصر أساسي لعمل جميع الإدارات والتي يتعامل أفرادها بطريقة مباشرة مع بيانات المنظمة، لذلك أصبح لدى المسؤولون هاجس كبير من تسرب و تداول بياناتها السرية خارج أسوار المنظمة و وصولها لأناس لا يحق لهم الاطلاع عليها. هناك عدة طرق قد يحدث من خلالها تسريب للبيانات و هي كالتالي:

• الحديث بصوت عالي في الأماكن المفتوحة عن ما تحتويه بيانات المنظمة.
• ترك الأجهزة الشخصية بدون تسجيل خروج أو قفل للشاشة.
• سرقة الأجهزة المحمولة و الأجهزة الذكية و أجهزة التخزين المتنقلة الغير محمية و التي تحتوي على بيانات مهمة.
• التفتيش في سلة المهملات للبحث عن البيانات المهمة.
• الهندسة الاجتماعية و خداع الموظفين لاستخراج المعلومات المهمة و السرية منهم.
• نسخ البيانات على أجهزة التخزين المتنقلة (USB,CD/DVD) و نقلها خارج المنظمة.
• طباعة الملفات المهمة عن طريق الأشخاص الغير مصرح لهم و إخراجها خارج المنظمة.
• استخدام الكاميرا المدمجة مع أجهزة الهواتف النقالة لالتقاط صور للبيانات المهمة.
• إرسال البيانات المهمة إلى الخارج عبر البريد الإلكتروني.
• إرسال البيانات المهمة إلى الخارج برفعها لمواقع التخزين التجارية عبر خدمة الإنترنت المقدمة داخل المنظمة.
• إرسال البيانات المهمة عبر تطبيقات المحادثة (Instant Messaging).
• ضعف أنظمة تحكم الوصول للتطبيقات و قواعد البيانات و التي عن طريقها يتم الوصول للبيانات المهمة.
• التنصت على البيانات المرسلة عبر الشبكة الداخلية للمنظمات.
• أيضا تواجد الأبواب الخلفية (البرامج التجسسية )على أجهزة المنظمة يساهم بنسبة كبيرة في عملية تسريب البيانات.
• وصول المخترقين من عالم الإنترنت إلى الشبكة الداخلية للمنظمة عبر الخدمات الإلكترونية المقدمة من خلال الانترنت.

طرحت بعض الشركات العالمية كـ (Macfee و Bluecoat و EMC) عدة أنظمة مخصصة لاستراتيجيات الـ (Data Leakage Prevention (DLP. و هنا سوف نتحدث بشكل عام عن أبرز النقاط التي يركز عليها الكثير من المهتمين بهذا الموضوع و الأنظمة المخصصة لذلك و التي تشمل الجوانب التقنية و الإدارية و المادية (الفيزيائية) و هي كالاتي:

• أولا و قبل البدء في حماية البيانات يجب على المسؤولين في أي منظمة تصنيف البيانات حسب أهميتها وسريتها و ذلك لاتخاذ الإجراء المناسبة لكل تصنيف.
• بناء السياسات الأمنية المتعلقة في بيانات المنظمة و إطلاع جميع موظفي المنظمة عليها و حثهم على اتباعها.
• إيجاد إجراءات أمنية للحفاظ على سرية البيانات تُتبع عند التخلص منها سواء كانت هذه البيانات تقنية أو ورقية.
• تثقيف و توعية موظفي المنظمة تجاه المخاطر التقنية كـ (Phishing Email, Malicious URL) و التي قد تساهم في تسريب البيانات خارج المنظمة.
• مراقبة محتوى الانترنت و البريد الإلكتروني Content inspection لعمل فلترة و منع جميع البيانات المهمة من الخروج لعالم الإنترنت.
• تفعيل أنظمة مكافحة الفيروسات على جميع الأجهزة و خدمات الانترنت و البريد الالكتروني.
• تشفير البيانات المهمة و التي عادة ما تنتقل من خلال الشبكات الداخلية و الخارجية لمنع المتطفلين من الاطلاع عليها.
• أنظمة التحكم بالوصول (Access Control) سواء كانت على البيانات أو التطبيقات و حتى مباني المنظمة يجب أن تكون متواجدة وفعالة بالقدر الذي يحمي البيانات من الوصول الغير مصرح له.
• يجب أن تكون الصلاحيات الممنوحة لمستخدمي أنظمة المنظمة و تطبيقاتها وفق الحاجة (Least Privileges).
• تقييد أجهزة المستخدمين و تعطيل أو مراقبة الأجهزة التي قد تساهم في تسريب البيانات مثل (USB, CD/DVD).
• حماية جميع الخدمات الإلكترونية المقدمة من خلال الانترنت و منع المخترقين من اختراقها عبر التقنيات المتقدمة مثل (Firewall, IPS) و غيرها من تقنيات الحماية المتقدمة.
• أيضا تعتمد كثيراً من المنظمات على استخدام تقنيات Mobile Device Management (MDM) الحديثة و التي تعمل على الحفاظ على سرية البيانات المتواجدة على الأجهزة المحمولة و الأجهزة الذكية المتنقلة مع موظفي المنظمة خارج نطاقها.