Warum Ihr DLP im dritten Monat abgeschaltet wird
Data Loss Prevention scheitert aus einem vorhersehbaren Grund, und es ist fast nie die Erkennungs-Engine. Es ist das, was beim ersten Mal passiert, wenn sie etwas Legitimes blockiert.
DLP policy in monitor mode
Real product screenshot of a policy in monitor-only mode with match counts. Redact all customer names, paths and addresses. Light theme.
2400×1350 · PNG · @2x
Das Muster ist so verlässlich, dass man eine Kalendererinnerung darauf setzen könnte. Monat eins: die Richtlinie geht in den Blockiermodus, weil das Projekt einen sichtbaren Erfolg brauchte. Monat zwei: die Buchhaltung kann die Datei nicht senden, die sie jeden Monat sendet. Monat drei: jemand mit Autorität sagt „schaltet es erstmal ab“ — und es wird nie wieder eingeschaltet.
Übermäßiges Blocken ist der Fehlermodus, nicht zu wenig Blocken
Ein DLP, das einen Exfiltrationspfad übersieht, ist eine Lücke. Ein DLP, das einen Vertriebsleiter daran hindert, einen legitimen Vertrag zu senden, ist ein Ausfall — und Ausfälle werden eskaliert. Der zweite Fehler führt dazu, dass das Produkt entfernt wird; der erste bleibt meist jahrelang unbemerkt. Jeder Rollout-Plan, der diese Asymmetrie nicht ernst nimmt, verliert.
Niemand eskaliert eine übersehene Erkennung. Jeder eskaliert eine blockierte Rechnung.
Erst beobachten — und das ernst meinen
Fahren Sie den Nur-Beobachten-Modus in einer repräsentativen Gruppe — nicht der IT-Abteilung, die nichts Normales sendet — lange genug, um einen vollen Geschäftszyklus zu sehen. Monatsende unterscheidet sich von Monatsmitte. Quartalsende unterscheidet sich noch einmal. Wenn Sie nie gesehen haben, was Ihre Organisation in den letzten drei Tagen eines Quartals tut, sind Sie nicht bereit, irgendetwas zu blockieren.
Dann stimmen Sie ab, bis Fehlalarme selten sind — nicht, bis sie erklärt sind. „Das ist erwartetes Verhalten, der Analyst weiß, dass er das ignorieren kann“ ist der Weg, auf dem eine Queue zur Tapete wird.
Drei Stufen, nicht ein Schalter
- Blockieren, was wirklich eindeutig ist: eine Tabelle mit Kartennummern an eine private Webmail-Adresse.
- Warnen und zulassen beim Mehrdeutigen, mit einer einzeiligen Begründung, die der Nutzer eintippt. Hier liegt der Großteil Ihres realen Verkehrs, und diese Begründungen werden zu Ihren Tuning-Daten.
- Still protokollieren, was übrig bleibt, damit Sie Sichtbarkeit ohne Reibung behalten.
Bauen Sie den Ausnahmeprozess, bevor Sie ihn brauchen
Die Buchhaltung hat im zweiten Monat nicht eskaliert, weil sie blockiert wurde. Sie hat eskaliert, weil die Blockade ihr keinen Weg nach vorn ließ außer einem Anruf bei jemandem weiter oben. Eine befristete, genehmigte, protokollierte Ausnahme — im Moment beantragt, in Minuten gewährt, automatisch ablaufend — macht aus einem Ausfall eine kleine Reibung und liefert Ihnen zugleich das Protokoll, welche Controls echter Arbeit im Weg stehen.
Jeder Rollout, den wir fahren, liefert den Ausnahme-Workflow, bevor die erste Richtlinie in den Blockiermodus geht. Das ist kein Nice-to-have. Es entscheidet darüber, ob die Plattform nächstes Jahr noch läuft.