DLP Veriyi Görüyor. Peki Verinin İş Değerini Biliyor mu? | Zero Second

DLP teknolojileri hassas veriyi tespit etmek için güçlü analiz yöntemlerine sahiptir:

Pattern Matching · Regular Expressions · Dictionaries · Fingerprinting · Exact Data Matching · Content Inspection

Ancak kurumsal verinin tamamı teknik bir pattern ile tanımlanamaz.

Bir şirket satın alma planı kişisel veri içermeyebilir.

Henüz açıklanmamış finansal sonuçlarda kredi kartı numarası bulunmayabilir.

Yeni ürünün teknik tasarımı bir regex ile eşleşmeyebilir.

Kaynak kodu, stratejik fiyatlandırma dokümanı veya yönetim kurulu sunumu klasik sensitive data pattern'lerinden hiçbirini içermeyebilir.

Ama bunların tamamı kurum için kritik veri olabilir.

Buradaki problem DLP'nin yetersiz olması değildir.

Problem, content detection ile business context'in aynı şey olmamasıdır.

Content Inspection Size Ne Söyler?

DLP bir dokümanın içeriğini analiz ederek belirli veri tiplerini tespit edebilir.

Örneğin:

• Credit Card Number detected

• National ID detected

• Customer Record detected

• Source Code detected

Bu bilgi son derece değerlidir.

Ancak güvenlik kararında başka bir bilgi katmanı daha vardır:

Classification = RESTRICTED

Bu bilgi verinin içinde ne bulunduğunu değil, kurumun o veriye nasıl davranılması gerektiğini belirlediğini ifade eder.

Fortra Classifier ile oluşturulan classification metadata'sı tam olarak bu context'i güvenlik mimarisine taşır.

Böylece DLP'nin karar mekanizmasına iki farklı bilgi girebilir:

Detected Content + Business Classification

Bu iki sinyal birlikte kullanıldığında çok daha kontrollü policy'ler oluşturulabilir.

Classification DLP'nin Alternatifi Değildir

Data Classification ile DLP'nin görevleri birbirinden farklıdır.

Classification:

Verinin güvenlik kimliğini oluşturur.

DLP:

Bu veri üzerinde hangi aksiyonlara izin verileceğini kontrol eder.

Basit bir örnek:

• Classification = RESTRICTED

• Channel = Email

• Destination = External

• Action = Send

Sonuç:

BLOCK

Burada DLP'nin dokümanın içerisindeki her kelimeyi yeniden yorumlaması gerekmeyebilir.

Classification metadata'sı zaten policy için güçlü bir güvenlik sinyali sağlar.

Ancak daha güçlü senaryo classification ve content inspection'ın birlikte kullanılmasıdır.

Örneğin:

• Classification = INTERNAL

• Detected Content = Personal Data

• Records > 100

• Destination = External

Bu durumda sistem classification ile content inspection arasında bir uyumsuzluk olduğunu da görebilir.

Belge yanlış sınıflandırılmış olabilir.

Policy:

RECLASSIFY / WARN / BLOCK

gibi bir aksiyon üretebilir.

Bu, classification ile DLP entegrasyonunun en önemli teknik kazanımlarından biridir.

Classification DLP Policy'sine Yeni Bir Değişken Ekler

Geleneksel bir DLP policy'si şu parametreleri değerlendirebilir:

• Who?

• What content?

• Which channel?

• Where is it going?

Classification entegrasyonu buna yeni bir parametre ekler:

How sensitive is it?

Böylece policy karar modeli şu hale gelir:

Identity + Content + Classification + Channel + Destination + Action

Örneğin aynı dosya için:

• CONFIDENTIAL + Internal E-mail → ALLOW

• CONFIDENTIAL + Approved Partner → ENCRYPT

• CONFIDENTIAL + External Recipient → WARN / JUSTIFICATION

• RESTRICTED + External Recipient → BLOCK

uygulanabilir.

Dosyanın formatı değişmemiştir.

İçeriği değişmemiştir.

Değişen şey business context ve destination context'tir.

Bu da DLP rulebase'inin yalnızca “içerikte ne buldum?” mantığından çıkmasını sağlar.

Persistent Metadata Neden Kritik?

Classification bilgisinin DLP tarafından kullanılabilmesi için yalnızca kullanıcı ekranında görünmesi yeterli değildir.

Bilginin makine tarafından okunabilir olması gerekir.

Fortra Classifier classification bilgisini metadata olarak dokümanla ilişkilendirebilir.

Örneğin:

• Classification = Confidential

• Department = Finance

• Handling = Internal

Bu bilgi dokümanın güvenlik context'inin parçası haline gelir.

Dosya farklı bir klasöre taşınabilir.

E-mail attachment olabilir.

Başka bir kullanıcıya gönderilebilir.

Farklı bir güvenlik kontrolünden geçebilir.

Classification bilgisinin veriyle birlikte taşınması sayesinde downstream security systems aynı context'i kullanabilir.

Bu nedenle persistent classification metadata yalnızca bir etiketleme özelliği değildir.

Security integration layer'dır.

False Positive Problemini Context ile Azaltmak

DLP operasyonlarının en önemli problemlerinden biri false positive'dir.

Policy çok geniş tanımlanırsa binlerce incident oluşabilir.

Policy çok dar tanımlanırsa gerçek veri kaybı riski gözden kaçabilir.

Classification burada DLP'ye ek bir filtre sağlayabilir.

Örneğin bir content detector belirli bir veri pattern'i buldu.

Tek başına bu detection:

BLOCK

üretebilir.

Ancak classification context'i de değerlendirilirse:

• Detected Content = Financial Data

• Classification = PUBLIC

• veya

• Classification = RESTRICTED

arasında farklı policy yolları oluşturulabilir.

Daha önemlisi, classification ile content detection arasındaki tutarsızlık ayrıca incelenebilir.

Örneğin:

PUBLIC + Highly Sensitive Content

normal bir durum olmayabilir.

Bu kombinasyon doğrudan:

classification validation

gerektiren bir security event olarak ele alınabilir.

Böylece classification yalnızca DLP'ye başka bir rule eklemez.

DLP kararının doğruluğunu artırabilecek ek context sağlar.

E-mail'de Kontrol DLP Gateway'e Gelmeden Başlayabilir

Fortra Classifier'ın önemli avantajlarından biri classification policy'sinin kullanıcının çalışma noktasında uygulanabilmesidir.

Örneğin Outlook'ta kullanıcı:

CONFIDENTIAL

bir dokümanı external recipient'a göndermeye çalışıyor.

Policy bunu e-mail gönderilmeden önce değerlendirebilir.

Sistem:

• Warn uygulayabilir,

• classification'ın değiştirilmesini isteyebilir,

• kullanıcıdan justification talep edebilir,

• gönderimi engelleyebilir

veya protection mekanizmasını devreye alabilir.

DLP ise downstream katmanda ek enforcement sağlayabilir.

Bu durumda iki farklı kontrol noktası oluşur:

User Interaction Layer → Classification Policy

ve

Data Movement Layer → DLP Policy

Bu mimari özellikle kritik veri hareketlerinde defense-in-depth sağlar.

Classification Encryption'ı da Tetikleyebilir

Her external transfer engellenmek zorunda değildir.

Bazen veri kurum dışına çıkmalıdır.

Problem verinin çıkması değil, hangi koşullarda çıktığıdır.

Örneğin:

Classification = CONFIDENTIAL

Recipient = Approved External Domain

ise politika:

ALLOW + ENCRYPT

uygulayabilir.

Ancak:

Classification = RESTRICTED

Recipient = Unknown External Domain

durumunda:

BLOCK

uygulanabilir.

Böylece classification yalnızca erişime izin veren veya engelleyen bir mekanizma değildir.

Uygulanacak protection seviyesini de belirleyebilir.

Daha Az Rule Değil, Daha Anlamlı Rule

Classification entegrasyonunun amacı DLP rulebase'ini basitçe küçültmek değildir.

Amaç rulebase'e business meaning kazandırmaktır.

Bir DLP sistemi:

“Bu dosyada hassas içerik tespit ettim.”

diyebilir.

Classifier:

“Kurum bu dosyayı RESTRICTED olarak tanımladı.”

bilgisini ekler.

Identity sistemi:

“Bu kullanıcı Finance departmanında.”

der.

E-mail sistemi:

“Hedef external.”

bilgisini sağlar.

Policy engine bütün bu context'i birlikte değerlendirdiğinde güvenlik kararı çok daha spesifik hale gelir:

Finance User + RESTRICTED + External + E-mail → BLOCK

veya:

Finance User + CONFIDENTIAL + Approved Partner + E-mail → ENCRYPT + ALLOW

Modern data security'nin ihtiyacı tam olarak budur.

Daha fazla alert değil.

Daha fazla context.

Fortra Classifier'ın DLP mimarisindeki değeri de burada ortaya çıkar:

DLP verinin hareketini kontrol eder. Classifier ise bu karara verinin kurumsal anlamını ekler.

Detaylı bilgi için info@zerosecond.com.tr adresinden uzmanlarımıza başvurabilirsiniz.

Zero Second | Fortra Classifier – Data Classification Series.