数据丢失防护 (DLP)

数据丢失防护（DLP）是一种防止敏感数据丢失、泄露或被未经授权用户访问的策略。它识别、监测和保护使用中的数据、传输中的数据和静态数据。DLP 确保遵守数据保护法规。

也称为： 数据泄露防护、信息丢失防护（ILP）。

比较

• DLP 与加密。 DLP 重点在于防止未经授权访问或转移敏感数据，而加密则通过将数据转换为不可读格式来保护数据，除非解密。
• DLP 与防火墙。 DLP 监控和控制数据流，以保护敏感信息，而防火墙则通过阻止未经授权的访问或流量来确保网络安全。
• DLP 与访问控制。 DLP 专注于监控和防止数据外泄，而访问控制确保只有授权用户可以访问某些数据。
• DLP 与终端安全。 DLP 保护数据在其生命周期中的各个阶段（使用中、传输中和静态状态），而终端安全专注于保护笔记本电脑或手机等设备免受威胁。
• DLP 与备份解决方案。 DLP 防止敏感数据外泄或被不当处理，而备份解决方案则专注于在数据丢失的情况下创建可恢复的数据副本。

优点

• 防止数据泄露。 DLP 保护敏感信息不被泄露、丢失或盗取。
• 合规保证。 帮助组织满足 GDPR、HIPAA 或 PCI-DSS 等监管要求。
• 保护知识产权。 防止未经授权的共享或盗取专有数据。
• 增强可见性。 跟踪和监控数据在终端、网络和云中的流动。
• 自动执行。 自动阻止未经授权的数据传输，减少人工干预。

缺点

• 复杂的实施。 需要仔细设置以避免干扰工作流程或合法的数据传输。
• 误报。 可能会阻止合法行为或标记非敏感数据，导致效率低下。
• 高成本。 DLP 解决方案可能在部署、维护和扩展上成本高昂。
• 用户抵制。 员工可能会觉得限制过于干扰或麻烦，影响生产力。
• 没有政策效果有限。 DLP 的有效性取决于现有的数据分类和安全政策。

示例

场景：防止通过电子邮件泄露敏感数据
某个组织使用 DLP 系统保护敏感信息，例如信用卡号码或个人身份信息（PII），以防共享到公司外部。

示例实施：

1. DLP 配置：
   1. DLP 系统配置为监控发出的电子邮件。
   2. 它扫描电子邮件内容和附件，以寻找敏感模式，如信用卡号码或社会安全号码（例如，使用正则表达式）。
2. 员工操作：
   1. 一名员工不小心将包含客户信用卡信息的文件附加到电子邮件中，并试图发送给外部收件人。
3. DLP 执行：
   1. DLP 系统在发送前拦截电子邮件。
   2. DLP 识别出附件中的敏感数据。
   3. 根据公司政策，DLP 系统采取以下措施之一：
      1. 阻止电子邮件：防止电子邮件发送并通知用户违反行为。
      2. 隔离电子邮件：将电子邮件保留供管理员审核。
      3. 加密电子邮件：在发送前自动加密电子邮件，确保数据安全。
4. 审计和警报：
   1. DLP 系统记录事件以供审计。
   2. 向 IT 或安全团队发送警报以供审核。

资源

1. 什么是数据丢失防护（DLP）？，微软安全
2. 数据丢失防护策略和最佳实践，Strac
3. 数据丢失防护（DLP）计划，微软学习