Автор:

Андрей Головин

Ведущий аналитик «СёрчИнформ»

Опубликовано 10.09.2025

Обновлено 01.10.2026

Б ольшинство компаний уже научились защищаться от внешних киберугроз. Межсетевые экраны, антивирусы, системы управления инцидентами ИБ (SIEM) — сегодня эти решения стали неотъемлемой частью корпоративной инфраструктуры. Но значительная часть инцидентов по-прежнему связана не с внешними злоумышленниками, а с действиями самих сотрудников.

Кто-то случайно отправляет документ не тому адресату, кто-то использует личное облачное хранилище для передачи рабочих файлов, а кто-то намеренно копирует клиентскую базу перед увольнением. Причем во всех этих случаях компания теряет информацию не потому, что злоумышленник преодолел защиту, а потому, что данные покинули организацию через легальные каналы и с использованием штатных средств работы.

Именно для решения подобных задач используются системы защиты от утечек информации (DLP-системы). Их основная цель — контролировать движение конфиденциальной информации, своевременно выявлять нарушения установленных правил и помогать предотвращать утечки.

За последние годы возможности систем защиты от утечек данных значительно расширились. Раньше такие системы ассоциировались прежде всего с контролем электронной почты и поиском ключевых слов в документах. Сегодня они анализируют множество каналов передачи данных, учитывают контекст действий пользователя, автоматически выявляют подозрительные события и помогают специалистам быстро разобраться в причинах инцидента.

С чего начинается защита информации

Любая система защиты от утечек информации эффективна только тогда, когда организация понимает, какие сведения действительно требуют защиты.

Для одной компании критически важны персональные данные клиентов, для другой — финансовая отчетность, коммерческие предложения или техническая документация. Поэтому первым этапом всегда становится определение перечня информации, которая представляет ценность для бизнеса и не должна попасть к посторонним лицам.

Андрей Головин

Ведущий аналитик «СёрчИнформ»

Следующим шагом необходимо определить, каким образом эта информация может покинуть организацию. Сегодня сотрудники ежедневно используют десятки способов обмена данными: электронную почту, корпоративные и публичные мессенджеры, облачные сервисы, съемные носители, сетевые ресурсы, веб-приложения и печать документов. Каждый из этих каналов потенциально может стать источником утечки.

Современная система защиты от утечек информации контролирует не только передачу информации за пределы компании. Не менее важно понимать, кто работает с конфиденциальными данными, какие действия с ними выполняются и соответствуют ли эти действия установленным правилам безопасности. Именно поэтому современные системы анализируют не отдельный файл или сообщение, а всю ситуацию в целом.

Как система защиты от утечек информации получает информацию

Чтобы контролировать передачу данных, система должна сначала получить информацию о происходящих событиях.

К примеру, в системе защиты от утечек информации «СёрчИнформ КИБ» для этого используются несколько способов сбора данных. Часть информации поступает с рабочих станций и серверов, где специальные модули фиксируют действия пользователей. Дополнительно система может анализировать сетевой трафик и получать данные непосредственно из корпоративной почтовой инфраструктуры. Такой подход позволяет контролировать большинство основных каналов передачи информации независимо от того, каким способом сотрудник пытается отправить данные.

Андрей Головин

Ведущий аналитик «СёрчИнформ»

После получения события система сохраняет как само содержимое передаваемой информации, так и сведения о ней: кто выполнил действие, когда оно произошло, через какое приложение или канал осуществлялась передача, кому были адресованы данные и другие параметры. Благодаря этому впоследствии можно не только обнаружить сам факт передачи документа, но и полностью восстановить обстоятельства произошедшего.

Все события сохраняются в системе и становятся доступны для последующего поиска и анализа. Если позже возникнет необходимость провести внутреннее расследование, специалист сможет быстро найти интересующий документ, письмо или сообщение, восстановить последовательность действий пользователя и определить, являлось ли событие нарушением политики безопасности.

Как система понимает, что информация конфиденциальна

Главная задача любой системы защиты от утечек данных (DLP-системы) — отличить действительно важную информацию от миллионов обычных рабочих документов и сообщений.

Для этого используются сразу несколько технологий анализа.

Наиболее распространенным способом является поиск по ключевым словам и словарям. Он позволяет обнаруживать документы определенной тематики, даже если используются разные формы слов или синонимы.

Если необходимо искать сведения со строгой структурой, например, номера документов, банковских карт, телефонов или других реквизитов, применяются регулярные выражения.

Для защиты конкретных документов используются цифровые отпечатки. Система формирует эталон на основе исходного документа, после чего способна обнаружить его полную или частичную копию даже после незначительных изменений.
Если информация содержится в отсканированном документе или изображении, используется технология оптического распознавания символов (OCR), позволяющая извлечь текст и выполнить его дальнейший анализ.

Андрей Головин

Ведущий аналитик «СёрчИнформ»

Кроме того, современные системы защиты от утечек информации умеют классифицировать документы по их содержимому и учитывать специальные метки конфиденциальности. Благодаря этому политика безопасности может реагировать не только на отдельные слова, но и на принадлежность документа к определенному классу защищаемой информации.

При этом ни один метод анализа не является универсальным. На практике максимальная точность достигается благодаря их совместному использованию. Например, система может одновременно учитывать содержание документа, наличие метки конфиденциальности, способ передачи информации и категорию пользователя, выполняющего операцию.

Именно сочетание различных признаков позволяет существенно снизить количество ложных срабатываний и сосредоточить внимание специалистов только на действительно важных событиях.

Почему важен не только документ, но и контекст

Сам по себе факт передачи конфиденциального документа еще не означает, что произошло нарушение.

Например, бухгалтер ежедневно отправляет финансовые документы коллегам внутри организации, и это совершенно нормальный рабочий процесс. Но если тот же документ отправляется на личную почту сотрудника или неизвестному внешнему получателю, ситуация уже требует внимания службы информационной безопасности.

Именно поэтому системы анализируют не только содержание передаваемой информации, но и обстоятельства, при которых произошло событие.

Андрей Головин

Ведущий аналитик «СёрчИнформ»

При проверке учитываются пользователь, его подразделение, используемый канал передачи, адресат, время совершения действия, тип документа и другие параметры. Такой подход позволяет значительно точнее отличать обычную рабочую активность от потенциально опасных действий.

Фактически система защиты от утечек информации отвечает не только на вопрос «что передается», но и на вопросы «кто», «кому», «когда», «каким способом» и «насколько такое действие соответствует установленным правилам». Именно сочетание содержания и контекста делает контроль информации действительно эффективным.

Как работают политики безопасности

В «СёрчИнформ КИБ» автоматическая проверка данных строится на политиках безопасности.

Политика безопасности — это настроенный набор поисковых запросов, или критериев поиска, который выявляет факты нарушения заданного правила.

Например, политика может выявлять:

• отправку персональных данных на внешние адреса;
• передачу договоров через личную почту;
• копирование конфиденциальных документов на съемные накопители;
• отправку файлов с определенными метками в облачные сервисы;
• обсуждение откатов или продажи клиентской базы;
• массовую печать или копирование документов;
• передачу информации сотрудником, находящимся в процессе увольнения.

ИБ-специалист определяет состав критериев, область действия политики, пользователей и каналы контроля, исключения и порядок уведомления.

Если перехваченные данные соответствуют заданным условиям, Центр обнаружения инцидентов (AlertCenter) фиксирует нарушение и формирует инцидент. Инцидент содержит сведения о событии, сработавших критериях, фигурантах и перехваченных материалах.

Таким образом, система защиты от утечек информации не принимает окончательное решение о виновности сотрудника. Она выявляет признаки нарушения, собирает доказательную базу и передает ее специалисту, который оценивает обстоятельства и принимает решение о дальнейших действиях.

Как искусственный интеллект дополняет классические методы

За последние годы в системе защиты от утечек информации (DLP) появились дополнительные инструменты анализа неструктурированного текста. Они не заменяют политики, словари, регулярные выражения или цифровые отпечатки, а помогают обрабатывать те случаи, где значение имеет общий смысл переписки.

В «СёрчИнформ КИБ» для этого предусмотрен «ИИ-Ассистент киберзащиты». Он может обрабатывать письма, чаты и передаваемые в них файлы, присваивать данным специальные ИИ-метки и использовать эти метки при формировании инцидентов в Центре обнаружения инцидентов (AlertCenter). Также система может создавать резюме обработанных материалов и выполнять их перевод.

Это расширяет возможности анализа коммуникаций. Например, специалист может искать не только конкретные слова, но и признаки опасных или подозрительных тенденций в общении сотрудников.

При этом искусственный интеллект остается дополнительным аналитическим механизмом. Решение о наличии нарушения по-прежнему принимается с учетом политики, контекста события и оценки специалиста.

Роль специалиста по информационной безопасности

Несмотря на развитие аналитических механизмов, эффективность системы защиты от утечек информации по-прежнему зависит от качества настройки и работы специалистов.
Система должна понимать, какие события важны именно для конкретной организации. Универсальная политика может выявлять персональные данные, но только сама компания знает, какие базы являются критичными, кому разрешено с ними работать и какие сценарии передачи допустимы.

Специалисту необходимо определить защищаемую информацию, сформировать политики, настроить исключения, проанализировать инциденты и корректировать правила по мере изменения бизнес-процессов.

Андрей Головин

Ведущий аналитик «СёрчИнформ»

Систему защиты от утечек информации (DLP) не следует рассматривать как систему тотального запрета. Ее главная ценность заключается в прозрачности. Она показывает, как движется информация, какие действия совершают пользователи, где возникают риски и какие события требуют расследования.

Итог

Современная система защиты от утечек данных (DLP) — это уже не отдельный фильтр для электронной почты и не программа, которая ищет заданные слова в документах. Это комплексная система контроля информационных потоков и действий пользователей.

Принцип работы «СёрчИнформ КИБ» включает несколько последовательных этапов:

1. сбор данных с рабочих станций, из сетевого трафика и почтовых систем;
2. разбор, сохранение и индексацию информации;
3. анализ содержания и контекста событий;
4. автоматическую проверку данных по политикам безопасности;
5. формирование инцидентов и уведомление ответственных сотрудников;
6. расследование действий пользователей;
7. блокировку запрещенных операций там, где она поддерживается;
8. контроль конфиденциальной информации, хранящейся в инфраструктуре.

Такой подход позволяет не только зафиксировать уже состоявшуюся утечку, но и вовремя обнаружить признаки опасного поведения, остановить передачу данных и получить материалы для обоснованного расследования.