Отчет IDC: DLP+Encryption = IPC

[Рустэм Хайретдинов 30]

http://www.idc.com/getdoc.jsp?containerId=211109

http://www.idc.com/research/viewtoc.jsp?containerId=211109

Компания IDC выпустила отчет по тенденциям рынка. Кроме того, что опять введен новый термин IPC (Information Protection and Control), что запутывает пользователей еще больше, остальное очень полезно. Я так и не понял из отчета, отнесли ли DRM-технологии к IPC, но что шифрование и DLP сращиваются - факт. Теперь нарушения делят на leakage, т.е. то, что стало публичным, stealing, то, что не стало публичным и loss, потери носителей. Для последнего шифрование - то, что доктор прописал. Большинство последних известных утечек - именно потери, никаким DLP это не закроешь.

Наконец-то аналитики от вопроса "каким софтом защищать" перешли к вопросу "что защищать" и "зачем защищать". Не первый раз читаю, что DLP (ILP, ILD&P, ALS и теперь вот - IPC) продукты покупаются не потому, что они такие хорошие и ловят инсайдеров, а потому, что наличия таких продуктов требуют регуляторы (стандарты, акты, законы). Такой рынок называется compliance market (рынок соответствия требованиям), а процесс построения ИБ по требованиям регуляторов - checkbox shopping .

Отсюда вывод - не надо улучшать качество детекта и количество перехватчиков, нужно лоббировать внесение класса продуктов в checkbox list . Но по России это факт - в промысловых количествах из всех каналов в первую очередь покупают контроль электропочты и полнотекстовое почтовое хранилище, поскольку этого требует стандарт Банка России, например.

[Alexey Dudnikov 5]

и не забываем о требованиях и авторах PCI DSS

[Сергей Ильин 1538]

Как следует из описания, отчет по Северной Америке. Но это и хорошо, можно рассматривать как 2-3 годичное будущее для России.

Рустэм, что касается обозначений, то IDC реально еще больше всех путает. Сейчас и так корп. пользователям в России в своей массе больше знаком Infowatch, чем любой из обозначений типа DLP, ILP, ALS и т.д. Я думаю задача экспертного комьюнити - определить какой из терминов будет использоваться повсеместно в нашей стране, это будет полезно всем.

[Кирилл Керценбаум 671]

Сейчас и так корп. пользователям в России в своей массе больше знаком Infowatch, чем любой из обозначений типа DLP, ILP, ALS и т.д.

Вынужден с вами не согласиться, Сергей. Картина меняется и очень быстрыми темпами. Многие корпоративные клиенты, общаясь со своими западными коллегами или став частью каких-то западных компаний, увидели что на самом деле из себя представляют технологии и решения DLP. Именно поэтому сейчас мы наблюдаем, когда спрос и желание увидеть подобные системы в действии намного опережают предложение и возможности DLP вендоров и партнеров-интеграторов. При этом стоимость подобных систем никого не интересует, она второстепенна, что говорит о том, что потребность в них уже стала очевидной для бизнеса

[alexgr 556]

и не забываем о требованиях и авторах PCI DSS

про требования стандарта - понятно, непонятно - при чем тут авторы? тем более - полагаю, что 1.1 не последняя редакция этого стандарта.

[Рустэм Хайретдинов 30]

Вынужден с вами не согласиться, Сергей. Картина меняется и очень быстрыми темпами. Многие корпоративные клиенты, общаясь со своими западными коллегами или став частью каких-то западных компаний, увидели что на самом деле из себя представляют технологии и решения DLP. Именно поэтому сейчас мы наблюдаем, когда спрос и желание увидеть подобные системы в действии намного опережают предложение и возможности DLP вендоров и партнеров-интеграторов. При этом стоимость подобных систем никого не интересует, она второстепенна, что говорит о том, что потребность в них уже стала очевидной для бизнеса

Мне показалось, что Сергей говорил о том, что из-за неразберихи с терминологией заказчики ищут не "DLP-решение", а "что-то типа Инфовотч", т.е. о распространенности и узнаваемости терминов. Наберите в Гугле DLP - и вы увидете, что это торговая марка TI и почти все проиндексированные статьи будут про проекторы.

А в вашем посте, Кирилл, три тезиса вызвали у меня желание поделиться альтернативными мнениями, основанными на личном опыте.

1. Продвинутость западных компаний. Могу продемонстрировать актуальные требования по защите от утечек десятка компаний от Эмиратов до Штатов, от банков до автопроизводителей. Они до боли похожи на российские образца 2005-2006, так что учиться там реально нечему. Это же подтверждает то, что наших клиентов приглашают делиться опытом на западные конференции. DLP - это не просто "софта инстальнуть", тут много нужно своими руками в компании изменить.

2. Польза для бизнеса. Ее нет. Что угодно - требования регуляторов (в России их, правда, нет), любопытство, жажда собственного роста, желание увеличить бюджеты на ИТ и ИБ, только не польза для бизнеса. Отсутствует статистика, судебная практика и методы сбора доказательств, никого ни разу за утечку не наказали и т.д. Бизнес в утечках, которые можно закрыть с помощью DLP решений, угрозы не видит.

3. Спрос, опережающий предложение. Это не спрос, а интерес, не обеспеченный бюджетами. Да, встречаются, ходят на конференции, просят пилотов и референсных визитов. Заказчик пока сам не знает что хочет, он хочет все посмотреть и потрогать, а потом определиться. Смотреть будут годами. Пока покупатели - "любители инноваций", а их, как известно, не более 5%.

Удачи,

Рустэм

[Сергей Ильин 1538]

Мне показалось, что Сергей говорил о том, что из-за неразберихи с терминологией заказчики ищут не "DLP-решение", а "что-то типа Инфовотч", т.е. о распространенности и узнаваемости терминов. Наберите в Гугле DLP - и вы увидете, что это торговая марка TI и почти все проиндексированные статьи будут про проекторы.

Да, именно это я и имел ввиду, когда писал про неразбериху с терминологией. В моем понимании говорить о каком-то сформированном рынке можно тогда, когда я как клиент могу найти то, что хочу. С DLP решениями сейчас такая ситуация, когда можно смутно понимать потребности, но найти какой-то решение будет ой как не просто. Придется разобраться в терминах, пообщаться с интеграторами, покрутить одно, другое, третие ... и результат вовсе не гарантирован при этом.

Поэтому мне кажется в интересах всех игроков в России выработать единую терминологию и подход к проблеме. Понятно, что это когда-то произойдет само ввиду созревания рынка (если только он останется, см. соседний топик), но в силах профессионального комьюнити поспособствовать этому процессу.

[A. 876]

DLP: как много в этом слове...

За последние полгода на рынке DLP (назовём его "защита от утечки данных") незаметно произошла акронимическая революция.

Хотя проблема инсайдеров, вооружённых ЭВМ появилась одновременно с появлением этих самых ЭВМ (прошу прощения за тавтологические экзерсисы), ею плотно занялись только в конце 90-х годов. Точнее, в 1998-99 гг., когда появились первые специализированные вендоры, начавшие прорабатывать эту область параноидальных страхов.

Как любой свежий рынок и этот не избежал участи жертвы "экспертных отстроек" и "аналитических мнений". Каждый вендор и аналитик тянул на себя одеяло, присваивая рынку то название, которое казалось ему более правильным. Соответственно, в гонке побеждал тот, кто окажется более настойчивым, писучим и наводнит Интернет своим "мнением". На кону много — победа в соревновании за авторство фундаментальных основ этого многообещающего рынка сулило "респект" и "уважуху".

Пестрота определений, пожалуй, могла бы дать фору любому другому рынку. Итак, приготовьтесь. Для пущего эффекту будем нумеровать:

1) DLP (Data Loss Prevention). Авторы: McAfee, Vontu (Symantec).

2) DLP (Data Leak Prevention). Автор: IDG.

3) ADL (Anti-Data-Leakage). Автор: The451Group (Nick Selby).

4) CMF (Content Monitoring and Filtering). Автор: Gartner (Rich Mogull)

5) ILP (Information Leak Prevention). Авторы: Forrester Research, PurtAuthority (Websense).

6) CMB (Communications and Behavior Monitoring). Автор: The Yankee Group (Phebe Waterfield, позднее — Chris Liebert).

7-9) Больше всего акронимов породила IDC: OCC (Outbound Content Compliance, автор: группа Charles Kolodgy), ILDP (Information Leakage Detection and Prevention, автор: EMEA-бюро, Dan Yachin), IPC (Information Protection and Control, автор: группа Brian E. Burke).

10) Будучи сотрудником InfoWatch, каюсь, также приложил руку к этим акронимическим игрищам, совместно с E&Y поддерживая ALS (Anti-Leakage Software).

С увлечением наблюдал, как на протяжении последних 5 лет аналитики и разработчики как ни в чем не бывало придерживались своим определениям, как бы не замечая остальные.

Откровенно, мне не нравится акроним DLP. Data Loss Protection — слишком это далеко от реальных задач, которые решаются специализированными решениями. "Потеря данных" — слишком общее понятие, которому можно приписать большой спектр функций. Правда, я готов и на это закрыть глаза — скоро мало кто будет знать как расшифровывается DLP. Останется лишь понимание, что DLP — "это когда против утечек"

В общем, наконец-то поре безвременья пришёл конец и даже словоохотливый Rich Mogull принял DLP. Да здравствует унификация и монотеизм. Но впереди не менее тяжёлый процесс определения что есть DLP решение. На гребне волны интереса к проблеме защиты от утечек к этому рынку откровенно примазались кому только не лень. Тут можно встретить и криптографов, и бэкаперов, и файрвольщиков, и SCMеров. Проще сказать кого тут можно не встретить... Ээээ... пожалуй встретить можно всех.

источник: http://www.secureblog.info/articles/57.html

[Кирилл Керценбаум 671]

Они до боли похожи на российские образца 2005-2006

Конечно, только появились они на Западе в 2001-2003 годах, а сейчас уже происходит их доосмысление и доработка

2. Польза для бизнеса. Ее нет. Что угодно - требования регуляторов (в России их, правда, нет), любопытство, жажда собственного роста, желание увеличить бюджеты на ИТ и ИБ, только не польза для бизнеса. Отсутствует статистика, судебная практика и методы сбора доказательств, никого ни разу за утечку не наказали и т.д. Бизнес в утечках, которые можно закрыть с помощью DLP решений, угрозы не видит.

Ну в России может это все и не очевидно, на Западе вся эта практика уже давно сформировалась. И для бизнеса выгоды очевидны, посмотрите те отчеты, которые я выкладывал, там же все написано. А то что модно на Западе в ИТ априори и у нас становится таковым, но с определенной задержкой

3. Спрос, опережающий предложение. Это не спрос, а интерес, не обеспеченный бюджетами. Да, встречаются, ходят на конференции, просят пилотов и референсных визитов. Заказчик пока сам не знает что хочет, он хочет все посмотреть и потрогать, а потом определиться. Смотреть будут годами. Пока покупатели - "любители инноваций", а их, как известно, не более 5%.

Рустэм, ну значит у нас с вами разные Заказчики

[Михаил Орешин 70]

Конечно, только появились они на Западе в 2001-2003 годах, а сейчас уже происходит их доосмысление и доработка

Ну в России может это все и не очевидно, на Западе вся эта практика уже давно сформировалась. И для бизнеса выгоды очевидны, посмотрите те отчеты, которые я выкладывал, там же все написано. А то что модно на Западе в ИТ априори и у нас становится таковым, но с определенной задержкой

Рустэм, ну значит у нас с вами разные Заказчики

1) Рустэм, несколько постов назад именно по этому поводу мы не сошлись, когда затронули вопрос по trial версиям ВОНТУ…

2) Ну да ! По сути, если я правильно понял сий рынок. Это или увеличение бюджета ИБ, или предложение ИБ контролировать еще больше. Бизнесу это все совершенно не нужно. Я не рискую соваться с DLP к бизнес -людям, если нет паранойи по поводу безопасности.

3) Ну и чья эта проблема ? Есть 3 игрока в России – IW, WS и SYM (и то в потенциале). Я не очень в теме как внедряется IW, но видел внедрения WS-а (скажу честно, мне самому стало страшно) – танцы с бубнами, воркэраунд – но удивительно, что после этого это все работает и не падает (сам несколько раз был в шоке). По поводу SYM-а, боюсь все будет тоже самое (это ничего не меняет с точки зрения продажи).

IW действительно очень хорошо «разогрел» рынок. Вопрос не то что ищут что-то типа IW, а в том что DLP на входе объясняется именно так: «DLP ?! Нипанятна… Контроль утечек ?!! Тоже не понятнаааа ?!! …. Ну а-ля Инфовотч ?! Ага… Давайте разговаривать…»

Кирилл, и твой оптимизм по поводу Вонту я не очень понимаю. Ну дай боже вал пойдет через год.

В целом ситуация дурацкая, положа руку на сердце, за DLP в России (от вендоров) стоят конкретные люди. Их не более 20-ти (это я так ОЧЕНЬ оптимистично). Все фанаты своего дела. Все бескомпромиссны. Общей позитивной мысли нет.

Как-то так… Будем рассчитывать на «любителей инновации» ?

[Прибочий Михаил 20]

Это не спрос, а интерес, не обеспеченный бюджетами. Да, встречаются, ходят на конференции, просят пилотов и референсных визитов. Заказчик пока сам не знает что хочет, он хочет все посмотреть и потрогать, а потом определиться. Смотреть будут годами. Пока покупатели - "любители инноваций", а их, как известно, не более 5%.

Не совсем соглашусь. Тема все-таки интересная практически всем заказчикам. От меленьких в 100 рабочих станций до самых корпоративных. Пактически любой из заказчиков не отказывается от пилота (с его стороны хлопот или вмешательств в сеть минимум, а тут, глядишь, что интересное можно будет узнать. Тем более, что на пилот, как и на внедрение наших продуктов, не нужно своих секретов внедренцам раскрывать). А уж после пилота, когда заказчик видит весь тот возможный бедлам, умышленные и случайные утечки, неверно организованные бизнес-проессы, "секреты в файловых помойках" и пр. встает вопрос бюджетов - уложимся в этот год, или перескочим на год следующий.

[broker 30]

Я не рискую соваться с DLP к бизнес -людям, если нет паранойи по поводу безопасности.

Ну это естественно, для развития паранойи обычно используют новости о кражах, потерях, халатности и т п

предложение ИБ контролировать еще больше

ранее при продаже IW (я сталкивался именно с этим представителем DLP) интеграторы именно так и говорили, но впоследствии, быть может создатели IW сделали переоценку угроз и свои возможности, теперь из числа угроз исчезли ИТ специалисты, ТОП менеджеры и Настоящие шпионы , осталась только Халатность и Ошибка обыкновенного персонала.

очевидно, что сотрудники обладающие самыми большими полномочиями и возможностями остаются неохваченными системой контроля,

так же очевидно, что в борьбе с утечками Компания не должна останавливаться на внедрении DLP.

Кроме всего прочего, для того чтобы DLP решение работало, необходимо не DLP интегрировать в бизнес-процессы, а бизнес-процессы интегрировать в DLP, т.е. перестроить критичные бизнес-процессы в соответствии с требованиями по максимальному контролю при помощи DLP решения. Что это значит? Как мне кажется, это остановка развития бизнес-процессов, есть ощущение, что DLP и его инфраструктура может стать узким горлом для растущего бизнеса и увеличивающегося кол-во конф. информации.

Купив однажды DLP, Компания начинает работать на DLP.. проект по внедрению DLP должен быть бесконечен

[Ashot 110]

Купив однажды DLP, Компания начинает работать на DLP.. проект по внедрению DLP должен быть бесконечен

Заменяем слово DLP на CRM и получаем такую же "дышащую новизной" истину. Потом заменяем на ERP и тоже самое

Ничего уникального в DLP нету, кроме того, что это малюсенький рынок создающий много шума в неспециализированной прессе

А по поводу кол-ва игроков на этом рынке скажу образно почти цитатой из классики маркетинга "железные дороги (в США) думали, что их бизнес это железные дороги и проиграли рынок перевозок авиакомпаниям" ))

[Михаил Кондрашин 55]

и не забываем о требованиях и авторах PCI DSS

Алексей,

Я если подробнее. Что в PCI DSS написано про DLP? И кто авторы этого документа (если это имеет значение)?

[Рустэм Хайретдинов 30]

Алексей,

Я если подробнее. Что в PCI DSS написано про DLP? И кто авторы этого документа (если это имеет значение)?

Привет, можно я за Алексея отвечу, пришлось недавно для заказчика этот вопрос изучать?

Конкретно слова DLP в PCI DSS нет и быть не должно, непонятно, как туда вообще попали конкретные категории продуктов (МСЭ и антивирусы). Зато есть требования, которые без DLP выполнить непонятно как.

Например:

Требование 1.3.9 Установка персональных МСЭ, которые контролируют доступ к данным владельцев платежных карт.

Сюда подойдет любой продукт класса data-in-use.

Требование 3. Обеспечение защиты хранящихся данных держателей карт.

От кого не специфицируется, то, вероятно подразумевается - от всего. Если нет защиты от легального пользователя, значит требование не выполняется.

Сюда - data-in-store

Требование 4.2. Обеспечение шифрования данных владельцев карт и других важных данных при их передаче через общедоступные сети - Никогда не посылайте незашифрованный PAN по e-mail.

Как доказать аудитору, что данные не могут быть посланы незашифрованными? Есть два пути - шифровать весь траффик или в незашифрованном траффике сбрасывать письма и посты, содержащие данные пользователей.

Сюда - data-in-motion

Частично DLP касается и требований 7.1, 10.2, 11.4, 12.1.1,

Если более подробная консультация нужна, пиши на мой адрес.

Удачи,

Рустэм