Ежегодно каждое второе промышленное предприятие сталкивается с утечкой данных по вине сотрудников. Цена ошибок и диверсий — утрата дорогой технической и юридической информации, финансовые и репутационные потери. При этом из‑за беспорядка в файловой системе компании часто не знают, что где‑то в открытом доступе лежал важный документ, который теперь гуляет по сети и рукам конкурентов.

Поэтому первостепенная задача бизнеса — создать четкую систему хранения конфиденциальных файлов с разграниченным доступом. С таким запросом и пришел наш клиент, крупная нефтегазовая компания. Рассказываем, как мы помогли ей достичь цели.

Задача — контролировать файлы на 2 000 ПК, семи файловых серверах и в трех сетевых хранилищах

Центральный офис и филиалы компании в разных городах объединены в разветвленную локальную сеть с пропускной способностью от 10 до 100 Мб/с. Данные хранятся на 2 000 рабочих станций сотрудников, семи файловых серверах и в трех сетевых хранилищах (NAS). Суммарно — 70 ТБ документов: информация о месторождениях, чертежи, геологические карты, физико‑химические описания продукции, итоги лабораторных и промысловых исследований, результаты тендеров, договоры с подрядчиками, бизнес‑планы, сметы строительных работ, акты ревизий и проверок. Все нужно контролировать и держать в безопасности.

Решение — системы аудита и защиты файловых хранилищ (DCAP). Такие программы анализируют локальные и сетевые репозитории, помогают понять, какие файлы есть в компании, где они лежат, кто имеет к ним доступ, и обеспечить защиту. Заказчик выбрал нашу систему «СёрчИнформ Файловый аудитор».

Шаг 1. Просканировали файловые хранилища

ИБ‑отдел компании удаленно установил на рабочие ПК сотрудников и серверы агенты, которые передают данные в «Файловый аудитор». Затем подключил сетевое сканирование. Специалисты задали условия — расписание, скорость и условия фонового аудита, чтобы беспрерывно контролировать работу с данными.

Программа просканировала все 70 ТБ документов в двух режимах:

• агентском — на 2 000 ПК сотрудников;

• сетевом — на семи серверах и в трех сетевых хранилищах.

Система проанализировала все файлы и папки и нашла среди них те, которые содержат чувствительную информацию. Использовали разные алгоритмы:

• поиск по атрибутам — типу файла, расположению, времени создания и другим;

• фразовый поиск — по словам, словосочетаниям и последовательности символов, с точным совпадением и с учетом морфологии;

• поиск по регулярным выражениям — для структурированной информации, которая формируется по заданным правилам: например, паспортных данных;

• поиск по словарям — для документов определенной тематики;

• поиск похожих — для файлов, напоминающих друг друга внешне и по смыслу.

На основе простых алгоритмов создавали комплексные поисковые запросы. Например, чтобы найти все договоры в pdf‑формате, запускали поиск по атрибутам и поиск похожих, опираясь на принятый в компании шаблон.

Часть правил создали вручную, а для типовых документов воспользовались готовыми шаблонами — их в «Файловом аудиторе» больше 450, они заранее настроены на поиск разных типов персональных данных и деловой документации.

По итогам анализа система классифицировала документы и присвоила им метки в зависимости от содержания: «Персональные данные», «Договоры», «Финансовая отчетность» и так далее.

Так ИБ‑отдел получил полную картину того, что происходит в файловых хранилищах:

• классификацию данных;

• дерево папок с указанием прав пользователей;

• информацию о количестве и расположении документов с уязвимыми данными, операциях с ними, датами создания и модификации.

А еще — первый тревожный результат. ИБ‑специалисты нашли проблемы с разграничением прав доступа, которые могли привести к серьезным утечкам: запатентованные чертежи, карты месторождений и итоги дорогостоящего финансового аудита хранили в общих папках. Поэтому следующим шагом отдел настроил правила безопасности, чтобы закрыть риски.

Шаг 2. Настроили правила безопасности

Установили блокировки. Запретили нежелательную активность с классифицированными файлами. Например, заблокировали:

• доступ к данным с меткой «Тендер» и «Финансовая отчетность» в офисных приложениях для всех, кроме руководства, бухгалтерии и юристов

• отправку документов с меткой «Коммерческая тайна» в десктоп‑версиях мессенджеров и браузерах для всех сотрудников.

Блокировки не зависят от расположения файла, атрибутов и прав пользователя в контроллере домена — только от меток, привязанных к содержанию. Если конфиденциальный документ случайно попадет в общую папку, работать с ним все равно смогут только сотрудники с доступом, причем только в разрешенном ПО.

Отдельно проверили наследование прав. Раньше ИБ‑специалисты сталкивались с проблемой: когда в хранилище появлялись новые документы, они по умолчанию получали доступы родительской папки. В больших директориях со вложенной структурой права могли «расползаться» бесконтрольно. Кто‑то вручную выдавал сотруднику доступ к конкретной директории, система хранения тиражировала его вниз по дереву — а в одной из вложенных папок оказывался непредназначенный для сотрудника документ. Или наоборот — права на нижнем уровне переставали соответствовать заданным выше.

«Файловый аудитор» решил эту проблему. Система сравнивает доступы к каждому документу с правилами, заданными в родительской папке, и предупреждает, если находит расхождение. Отдельно выявляет случаи избыточных прав — когда у пользователя или группы доступ шире, чем должен быть.

Ввели ручную классификацию файлов. Назначили сотрудников, которые должны самостоятельно обозначать уровень конфиденциальности для писем и документов — в частности, в приложениях Microsoft Office и AutoCAD. Это помогает защитить данные, которые нельзя разметить автоматически. Например, в компании есть черновые и утвержденные прайс‑листы. Они отличаются лишь парой цифр и для системы выглядят одинаково. Но черновик содержит закупочные цены, которые не должны попасть в общий доступ, а финальная версия — цены для клиентов. Сотрудник, которому разрешено работать с такими файлами, знает об этом — и должен указать, что черновик предназначен только «для внутреннего пользования».

Чтобы выделить вручную размеченные файлы в общем документообороте, настроили визуальные маркеры — иконки, надписи в колонтитулах с указанием категории и водяные знаки в MS Word.

Наладили теневое копирование. Задали правило — автоматически копировать в базу системы файлы, которые содержат критические данные, и сохранять историю последних изменений. Когда кто‑то из сотрудников редактирует такие файлы, система уведомляет ИБ‑отдел. Если в документ внесут нелигитимные правки или удалят его, специалист сможет восстановить нужную версию.

Шаг 3. Измерили результат

Мы уже говорили, что компания пришла с конкретным запросом — создать четкую систему хранения с разграниченными правами. «Файловый аудитор» помог достичь этой цели: найти все важные файлы на ПК сотрудников, серверах и в хранилищах и оставить доступы только тем, кто должен с ними работать. Число избыточных разрешений сократилось на 40%.

Бизнес получил инструмент, который позволяет не только единоразово навести порядок, но и регулярно поддерживать его — анализировать растущий объем данных, настраивать безопасные сценарии работы, минимизировать риски нарушений доступа и утечек. При этом аудит автоматизирован. Это освободило до 30% времени ИБ‑специалистов. Раньше оно уходило на рутинные проверки.

Теперь компания планирует интегрировать «Файловый аудитор» с системой защиты от утечек (DLP), чтобы контролировать безопасность и на уровне хранения, и на уровне передачи информации.