[:pb]Tem havido muita confusão no mercado em relação às soluções de prevenção de perda de dados (Data Loss Prevention – DLP). Existem vários fatores que contribuem para isso, principalmente a falta geral de conhecimento na comunidade de fornecedores sobre como a segurança de dados funciona e quais são os alertas de risco importantes para uma empresa.

Processos ineficientes foram adotados, gargalos operacionais se seguiram e a permanente ameaça de perda e roubo de dados persiste. Como resultado, as organizações que desejam proteger seus dados confidenciais e cumprir as leis e os regulamentos adotaram uma postura cética e não sabem ao certo o que fazer. Alguns até já foram vítimas de implementações malsucedidas.

O importante é entender que não é a tecnologia por trás das soluções de DLP que, em última análise, determina seu sucesso. É a metodologia e a estratégia de execução de seu fornecedor que determinará sua experiência e seus resultados.

Um ponto de partida

As soluções de DLP devem apresentar as duas primeiras funcionalidades a seguir e as ferramentas mais avançadas devem apresentar também a terceira:

1. Fornecer a capacidade de identificar dados

• Em movimento (trafegando pela rede);
• Em uso (sendo usados nos endpoints);
• Em repouso (ociosos no armazenamento);
• Na nuvem (em uso, em movimento ou em repouso).

2. Identificar dados conforme foram descritos ou registrados

• Descritos: classificadores e modelos de políticas prontos para uso ajudam a identificar os tipos de dados. Isso é útil ao procurar conteúdo, como informações pessoais identificáveis;
• Registrados: os dados são registrados no sistema para criar uma “impressão digital”, que permite a correspondência total ou parcial de informações específicas, como propriedade intelectual.

3. Adotar uma abordagem adaptativa ao risco para a DLP

A DLP adaptativa ao risco apresenta soluções avançadas de prevenção de perda de dados, indo além das funcionalidades dos outros tipos de ferramentas de DLP. Derivada da abordagem de avaliação de risco e confiança contínua do Gartner (Continuous Adaptive Risk and Trust Assessment – CARTA), a DLP adaptativa ao risco adiciona flexibilidade e pró-atividade à DLP. Ela ajusta e aplica a política de DLP automaticamente, com base no risco que um indivíduo representa para uma organização em um dado momento específico.

Para ilustrar como as duas primeiras funcionalidades atuam, uma solução de DLP é informada sobre:

• O que procurar (ex: números de cartão de crédito);
• O método para identificar as informações (descritas ou registradas);
• Onde procurá-las (ex: na rede, no endpoint, no armazenamento, na nuvem).

O que acontece depois que uma ferramenta de DLP identifica as informações:

a) depende da tolerância ao risco do proprietário dos dados;

b) apresenta as opções de resposta disponíveis quando a perda de dados é detectada;

c) informa se a solução é adaptável ao risco.

Da visão à implementação

Embora todas as soluções de DLP forneçam recursos semelhantes, é importante entender que nem todos os fornecedores têm a mesma visão de como a DLP ajuda a resolver o problema da perda de dados. Portanto, o primeiro passo é entender a metodologia e a estratégia de execução de cada fornecedor que você está considerando.

Ao perguntar a um fornecedor: “Qual é a sua metodologia?”, você está realmente perguntando: “Qual é a sua visão de como essa ferramenta ajudará a resolver o meu problema de perda de dados?”. Essa é uma pergunta importante, ainda que raramente feita. A resposta permite que você entenda a visão de um fornecedor, o que por sua vez, permite que você identifique os recursos exclusivos de cada produto e a direção provável do roteiro de implementação. Para os tomadores de decisão, saber POR QUE os fornecedores fazem o que fazem é muito mais importante para o sucesso e a satisfação em longo prazo, do que saber O QUE eles fazem.

A metodologia de um fornecedor também influencia fortemente a estratégia de execução e a implementação. Por exemplo, se a metodologia de um fornecedor começar avaliando dados em repouso e a de outro começar avaliando dados em movimento usando controles adaptativos ao risco, suas estratégias de execução serão muito diferentes.

O modo como um fornecedor executa os controles de DLP é importante, pois afeta tanto o custo total da propriedade (Total Cost of Ownership – TCO), quanto o tempo esperado para a obtenção de valor, que são métricas cruciais para se tomar a decisão correta de compra e definir as expectativas junto aos stakeholders.

Uma observação importante: você deve evitar aplicar a metodologia de um fornecedor à tecnologia de outro. A metodologia define e orienta o roadmap de tecnologia de um fornecedor. Portanto, ao misturar os dois aspectos, você corre o risco de investir em uma tecnologia que não atenda às suas necessidades de longo prazo.

DLP mensurável e prático

Se você participou de uma conferência ou leu um artigo sobre práticas recomendadas de DLP, provavelmente está familiarizado com a metáfora “não tente ferver o oceano”. Isso significa que você não pode executar um projeto completo de DLP de uma só vez. Essa não é uma prática recomendada, porque não ajuda você a descobrir o que fazer e quando fazer. “Não tente ferver o oceano” é mais uma advertência do que uma prática recomendada.

Infelizmente, muitas práticas recomendadas e divulgadas nem sempre são realmente práticas. A falta de recursos, financeiros ou não, e outras questões organizacionais muitas vezes obrigam a não seguir as melhores práticas. Há muito mais valor nas práticas baseadas em situações personalizadas, que levam em consideração o custo, os benefícios e o esforço de segui-las e podem ser medidas para determinar se você e sua organização podem ou devem adotá-las.

Para que sua solução de DLP seja mensurável e atue com eficiência no gerenciamento e mitigação dos riscos com a perda de dados é recomendável o acompanhamento de uma consultoria experiente, que colabore no desenvolvimento de uma estratégia e um planejamento adequados e que oriente tanto as decisões referentes às soluções técnicas quanto as conceituais, com o objetivo de atender as necessidades corporativas com o melhor retorno sobre o investimento.

A Leadcomm faz parte do ecossistema de canais Forcepoint no Brasil. Com essa parceria, incorporamos em nosso portfólio o DLP – Data Loss Prevention, reforçando nossa estratégia de soluções voltadas à proteção de dados sensíveis e atendimento às novas Regulamentações como LGPD, GDPR e Resolução BACEN 4.658

Texto adaptado de “The Practical Executive’s Guide to Data Loss Prevention”, Forcepoint, 2019[:en]Tem havido muita confusão no mercado em relação às soluções de prevenção de perda de dados (Data Loss Prevention – DLP). Existem vários fatores que contribuem para isso, principalmente a falta geral de conhecimento na comunidade de fornecedores sobre como a segurança de dados funciona e quais são os alertas de risco importantes para uma empresa.

Processos ineficientes foram adotados, gargalos operacionais se seguiram e a permanente ameaça de perda e roubo de dados persiste. Como resultado, as organizações que desejam proteger seus dados confidenciais e cumprir as leis e os regulamentos adotaram uma postura cética e não sabem ao certo o que fazer. Alguns até já foram vítimas de implementações malsucedidas.

O importante é entender que não é a tecnologia por trás das soluções de DLP que, em última análise, determina seu sucesso. É a metodologia e a estratégia de execução de seu fornecedor que determinará sua experiência e seus resultados.

Um ponto de partida

As soluções de DLP devem apresentar as duas primeiras funcionalidades a seguir e as ferramentas mais avançadas devem apresentar também a terceira:

1. Fornecer a capacidade de identificar dados

• Em movimento (trafegando pela rede);
• Em uso (sendo usados nos endpoints);
• Em repouso (ociosos no armazenamento);
• Na nuvem (em uso, em movimento ou em repouso).

2. Identificar dados conforme foram descritos ou registrados

• Descritos: classificadores e modelos de políticas prontos para uso ajudam a identificar os tipos de dados. Isso é útil ao procurar conteúdo, como informações pessoais identificáveis;
• Registrados: os dados são registrados no sistema para criar uma “impressão digital”, que permite a correspondência total ou parcial de informações específicas, como propriedade intelectual.

3. Adotar uma abordagem adaptativa ao risco para a DLP

A DLP adaptativa ao risco apresenta soluções avançadas de prevenção de perda de dados, indo além das funcionalidades dos outros tipos de ferramentas de DLP. Derivada da abordagem de avaliação de risco e confiança contínua do Gartner (Continuous Adaptive Risk and Trust Assessment – CARTA), a DLP adaptativa ao risco adiciona flexibilidade e pró-atividade à DLP. Ela ajusta e aplica a política de DLP automaticamente, com base no risco que um indivíduo representa para uma organização em um dado momento específico.

Para ilustrar como as duas primeiras funcionalidades atuam, uma solução de DLP é informada sobre:

• O que procurar (ex: números de cartão de crédito);
• O método para identificar as informações (descritas ou registradas);
• Onde procurá-las (ex: na rede, no endpoint, no armazenamento, na nuvem).

O que acontece depois que uma ferramenta de DLP identifica as informações:

a) depende da tolerância ao risco do proprietário dos dados;

b) apresenta as opções de resposta disponíveis quando a perda de dados é detectada;

c) informa se a solução é adaptável ao risco.

Da visão à implementação

Embora todas as soluções de DLP forneçam recursos semelhantes, é importante entender que nem todos os fornecedores têm a mesma visão de como a DLP ajuda a resolver o problema da perda de dados. Portanto, o primeiro passo é entender a metodologia e a estratégia de execução de cada fornecedor que você está considerando.

Ao perguntar a um fornecedor: “Qual é a sua metodologia?”, você está realmente perguntando: “Qual é a sua visão de como essa ferramenta ajudará a resolver o meu problema de perda de dados?”. Essa é uma pergunta importante, ainda que raramente feita. A resposta permite que você entenda a visão de um fornecedor, o que por sua vez, permite que você identifique os recursos exclusivos de cada produto e a direção provável do roteiro de implementação. Para os tomadores de decisão, saber POR QUE os fornecedores fazem o que fazem é muito mais importante para o sucesso e a satisfação em longo prazo, do que saber O QUE eles fazem.

A metodologia de um fornecedor também influencia fortemente a estratégia de execução e a implementação. Por exemplo, se a metodologia de um fornecedor começar avaliando dados em repouso e a de outro começar avaliando dados em movimento usando controles adaptativos ao risco, suas estratégias de execução serão muito diferentes.

O modo como um fornecedor executa os controles de DLP é importante, pois afeta tanto o custo total da propriedade (Total Cost of Ownership – TCO), quanto o tempo esperado para a obtenção de valor, que são métricas cruciais para se tomar a decisão correta de compra e definir as expectativas junto aos stakeholders.

Uma observação importante: você deve evitar aplicar a metodologia de um fornecedor à tecnologia de outro. A metodologia define e orienta o roadmap de tecnologia de um fornecedor. Portanto, ao misturar os dois aspectos, você corre o risco de investir em uma tecnologia que não atenda às suas necessidades de longo prazo.

DLP mensurável e prático

Se você participou de uma conferência ou leu um artigo sobre práticas recomendadas de DLP, provavelmente está familiarizado com a metáfora “não tente ferver o oceano”. Isso significa que você não pode executar um projeto completo de DLP de uma só vez. Essa não é uma prática recomendada, porque não ajuda você a descobrir o que fazer e quando fazer. “Não tente ferver o oceano” é mais uma advertência do que uma prática recomendada.

Infelizmente, muitas práticas recomendadas e divulgadas nem sempre são realmente práticas. A falta de recursos, financeiros ou não, e outras questões organizacionais muitas vezes obrigam a não seguir as melhores práticas. Há muito mais valor nas práticas baseadas em situações personalizadas, que levam em consideração o custo, os benefícios e o esforço de segui-las e podem ser medidas para determinar se você e sua organização podem ou devem adotá-las.

Para que sua solução de DLP seja mensurável e atue com eficiência no gerenciamento e mitigação dos riscos com a perda de dados é recomendável o acompanhamento de uma consultoria experiente, que colabore no desenvolvimento de uma estratégia e um planejamento adequados e que oriente tanto as decisões referentes às soluções técnicas quanto as conceituais, com o objetivo de atender as necessidades corporativas com o melhor retorno sobre o investimento.

A Leadcomm faz parte do ecossistema de canais Forcepoint no Brasil. Com essa parceria, incorporamos em nosso portfólio o DLP – Data Loss Prevention, reforçando nossa estratégia de soluções voltadas à proteção de dados sensíveis e atendimento às novas Regulamentações como LGPD, GDPR e Resolução BACEN 4.658

Texto adaptado de “The Practical Executive’s Guide to Data Loss Prevention”, Forcepoint, 2019[:]