Perché il tuo DLP viene spento al terzo mese
La prevenzione della perdita di dati fallisce per una ragione prevedibile, e quasi mai è il motore di rilevamento. È ciò che succede la prima volta che blocca qualcosa di legittimo.
DLP policy in monitor mode
Real product screenshot of a policy in monitor-only mode with match counts. Redact all customer names, paths and addresses. Light theme.
2400×1350 · PNG · @2x
Lo schema è abbastanza costante da metterci un promemoria in calendario. Mese uno: la policy passa in blocco perché il progetto aveva bisogno di una vittoria visibile. Mese due: l'amministrazione non riesce a inviare il file che invia ogni mese. Mese tre: qualcuno con autorità dice «per ora spegnetelo», e non viene mai più riacceso.
Bloccare troppo è la modalità di guasto, non bloccare troppo poco
Un DLP che si perde una via di esfiltrazione è una lacuna. Un DLP che impedisce a un direttore commerciale di inviare un contratto legittimo è un disservizio, e i disservizi vengono escalati. Il secondo fallimento fa rimuovere il prodotto; il primo di solito passa inosservato per anni. Qualsiasi piano di rilascio che non prenda sul serio questa asimmetria perderà.
Nessuno escala un rilevamento mancato. Tutti escalano una fattura bloccata.
Prima osserva, e sul serio
Esegui la modalità sola osservazione su un gruppo rappresentativo — non il reparto IT, che non invia nulla di normale — abbastanza a lungo da vedere un ciclo di business completo. La fine del mese è diversa dalla metà. La fine del trimestre è diversa ancora. Se non hai mai visto cosa fa la tua organizzazione negli ultimi tre giorni di un trimestre, non sei pronto a bloccare nulla.
Poi calibra finché i falsi positivi non diventano rari, non finché non vengono spiegati. «È un comportamento atteso, l'analista sa che va ignorato» è il modo in cui una coda diventa carta da parati.
Tre livelli, non un interruttore
- Blocca ciò che è davvero inequivocabile: un foglio con numeri di carta verso una webmail personale.
- Avvisa e consenti l'ambiguo, con una giustificazione di una riga digitata dall'utente. È lì che vive gran parte del tuo traffico reale, e quelle giustificazioni diventano i tuoi dati di calibrazione.
- Registra in silenzio tutto il resto, così mantieni visibilità senza attrito.
Costruisci il processo di eccezione prima di averne bisogno
Il motivo per cui l'amministrazione ha escalato al secondo mese non è che è stata bloccata. È che il blocco non le lasciava alcuna via d'uscita se non una telefonata a qualcuno più in alto. Un'eccezione a tempo, approvata e tracciata — richiesta sul momento, concessa in minuti, con scadenza automatica — trasforma un disservizio in un piccolo attrito e ti dà l'elenco esatto dei controlli che ostacolano il lavoro reale.
Ogni rilascio che conduciamo consegna il flusso di eccezione prima che una sola policy passi in blocco. Non è un di più gradito. È ciò che determina se la piattaforma sarà ancora in funzione l'anno prossimo.