Por que seu DLP é desligado no terceiro mês
A prevenção de vazamento de dados falha por um motivo previsível, e quase nunca é o motor de detecção. É o que acontece na primeira vez que ela bloqueia algo legítimo.
DLP policy in monitor mode
Real product screenshot of a policy in monitor-only mode with match counts. Redact all customer names, paths and addresses. Light theme.
2400×1350 · PNG · @2x
O padrão é constante o bastante para você marcar no calendário. Mês um: a política entra em modo bloqueio porque o projeto precisava de uma vitória visível. Mês dois: o financeiro não consegue enviar o arquivo que envia todo mês. Mês três: alguém com autoridade diz "desliga isso por enquanto", e nunca mais é religado.
Bloquear demais é o modo de falha, não bloquear de menos
Um DLP que perde uma via de exfiltração é uma lacuna. Um DLP que impede um diretor comercial de enviar um contrato legítimo é uma indisponibilidade, e indisponibilidades escalam. A segunda falha faz removerem o produto; a primeira costuma passar despercebida por anos. Qualquer plano de implantação que não leve essa assimetria a sério vai perder.
Ninguém escala uma detecção perdida. Todo mundo escala uma fatura bloqueada.
Observe primeiro, e leve a sério
Rode em modo somente observação em um grupo representativo — não o departamento de TI, que não envia nada normal — por tempo suficiente para ver um ciclo de negócio completo. Fim de mês é diferente do meio do mês. Fim de trimestre é diferente de novo. Se você nunca viu o que sua organização faz nos últimos três dias de um trimestre, não está pronto para bloquear nada.
Depois ajuste até os falsos positivos ficarem raros, não até estarem explicados. "É comportamento esperado, o analista sabe que pode ignorar" é como uma fila vira papel de parede.
Três níveis, não um interruptor
- Bloqueie o genuinamente inequívoco: uma planilha com números de cartão indo para um webmail pessoal.
- Avise e permita o ambíguo, com uma justificativa de uma linha digitada pelo usuário. É aí que mora a maior parte do seu tráfego real, e essas justificativas viram seus dados de ajuste.
- Registre em silêncio todo o resto, para manter visibilidade sem atrito.
Construa o processo de exceção antes de precisar dele
O motivo de o financeiro ter escalado no mês dois não é ter sido bloqueado. É que o bloqueio não deixou nenhuma saída além de um telefonema para alguém sênior. Uma exceção com prazo, aprovada e auditada — pedida na hora, concedida em minutos, expirando sozinha — transforma uma indisponibilidade em um pequeno atrito e ainda te dá o registro exato de quais controles atrapalham o trabalho real.
Toda implantação que conduzimos entrega o fluxo de exceção antes de qualquer política entrar em bloqueio. Não é um item desejável. É o que determina se a plataforma ainda estará rodando no ano que vem.