UDV Group: файловая инфраструктура остается слепой зоной ИБ

Файловая инфраструктура во многих российских компаниях остается одной из самых сложных зон контроля. В ней хранятся договоры, финансовые документы, персональные данные, проектная документация, внутренние регламенты, коммерческие предложения и рабочая переписка в виде вложений. При этом доступ к таким файлам часто формировался годами: через сетевые папки, общие каталоги, права групп, локальные исключения и временные доступы, которые давно стали постоянными.

Для CISO главный риск здесь не только в утечке. Проблема шире: компания может не понимать, какие чувствительные данные у нее есть, где они лежат, кто к ним имеет доступ и что с ними делают пользователи. Без этой картины защита файловой инфраструктуры превращается в набор разрозненных ограничений, а не в управляемый процесс.

Мы в UDV Group видим, что многие компании недооценивают маркировку конфиденциальной информации. Может возникать ошибочное ощущение: если документ не имеет грифа, значит, особых требований к его защите нет. С точки зрения законодательства это не так. Для персональных данных и других категорий информации с установленными требованиями защиты отсутствие отметки не отменяет обязанностей компании.

Более того, отсутствие классификации затрудняет внутренний контроль. Если файл не отнесен к понятной категории, сложнее определить, кому можно дать доступ, можно ли передавать его за пределы организации, как контролировать копирование и какие действия считать нарушением. В момент проверки или инцидента компании нужно не просто сказать, что данные защищались, а показать, как именно контролировался доступ и обращение с ними.

При этом маркировка действительно требует ресурсов. Нужно описать категории данных, правила доступа, допустимые каналы передачи, порядок хранения и ответственность владельцев. При больших объемах информации ручная классификация быстро превращается в отдельную постоянную работу. Поэтому компании откладывают ее или маркируют только часть документов.

Так появляется опасный разрыв. Формально данные есть, требования к ним есть, сотрудники с ними работают, но система контроля не понимает их ценности. Пользователь может скопировать чувствительный файл, открыть чужой каталог, передать документ дальше или удалить важные данные, а служба ИБ увидит только отдельное техническое событие без достаточного контекста.

Штатные средства ОС и прикладного ПО закрывают базовый уровень защиты. Они позволяют назначать права на папки и документы, ограничивать доступ, фиксировать отдельные действия пользователей. Это необходимая основа, но ее недостаточно, когда нужно понять, что именно происходило с данными и насколько действия пользователя соответствовали его рабочим задачам.

Встроенные механизмы обычно не дают единой картины. Информация о доступе, изменении, копировании, перемещении или удалении файла может быть распределена между разными системами. Одно средство показывает права, другое — событие доступа, третье — передачу по каналу, четвертое — изменение в каталоге. Аналитику приходится вручную связывать эти данные, и далеко не всегда это возможно сделать быстро.

Для CISO критично не само событие «пользователь открыл файл». Важно другое: какой это файл, к какой категории он относится, были ли у пользователя основания для доступа, является ли действие типичным, куда файл переместили, не было ли массового копирования и не связан ли этот эпизод с дальнейшей передачей данных наружу. Без такого контекста отдельные журналы доступа дают слишком слабый сигнал.

Именно здесь появляется роль DCAP-систем. Их задача — контролировать действия пользователей непосредственно с данными. Такие решения показывают, кто открывает, изменяет, копирует, перемещает или удаляет файлы, и позволяют оценивать эти действия с учетом прав, роли пользователя, типа документа и обычного поведения.

Мы в UDV Group считаем, что DCAP нужно рассматривать не как замену DLP, а как недостающий слой контроля внутри файловых хранилищ. DLP помогает отслеживать передачу информации по каналам: почта, мессенджеры, веб, внешние носители, облачные сервисы. DCAP показывает, что происходит с данными до того, как они попали в канал передачи: кто получил доступ, что скопировал, какие каталоги начал просматривать и какие документы изменил.

Низкое распространение DCAP связано не только со стоимостью. Перед внедрением компании приходится наводить порядок в правах доступа, файловых хранилищах, владельцах данных и правилах работы с информацией. Нельзя эффективно контролировать действия с файлами, если неизвестно, какие каталоги критичны, кто за них отвечает и какие права считаются нормальными.

Есть и организационный барьер. Пользу от DCAP сложно показать заранее, пока не произошло серьезного инцидента. Бизнесу может казаться, что файловые хранилища и так защищены правами доступа, а дополнительные средства контроля создают лишнюю нагрузку. Но после утечки, внутреннего нарушения или конфликта с сотрудником выясняется, что компании нужны точные ответы: кто работал с файлом, когда, что сделал и были ли эти действия допустимыми.

Отдельный риск — накопленные избыточные права. Сотрудник меняет должность, переходит в другое подразделение, участвует во временном проекте, получает доступ к папке «на неделю», а потом этот доступ остается на годы. Формально нарушение может не выглядеть очевидным: права когда-то были выданы. Но фактически пользователь уже не должен видеть эти документы.

Для файловой инфраструктуры это один из самых частых сценариев потери контроля. Вредоносная активность может начаться не с взлома, а с легитимного доступа, который давно не пересматривался. Сотрудник или злоумышленник с его учетной записью получает возможность читать, копировать и переносить данные без обхода технических ограничений.

Поэтому защита файловой инфраструктуры должна начинаться с инвентаризации данных и прав. Нужно понимать, где находятся чувствительные документы, какие категории информации там хранятся, кто владелец каждого критичного ресурса, какие пользователи и группы имеют доступ, когда эти права последний раз пересматривались и какие действия считаются нормальными.

Следующий шаг — связать классификацию данных с контролем действий. Маркировка полезна только тогда, когда она влияет на правила защиты. Если файл относится к конфиденциальным, система должна понимать, кто может его открывать, куда его можно копировать, допустима ли отправка за пределы компании и какие действия требуют проверки.

Третий шаг — регулярный пересмотр прав. Доступ к файловым ресурсам не должен жить отдельно от кадровых и организационных изменений. Увольнение, перевод, смена роли, завершение проекта или смена подрядчика должны приводить к пересмотру прав на данные. Иначе файловая инфраструктура становится архивом старых допусков.

Четвертый шаг — контроль аномалий. Массовое копирование файлов, обращение к нетипичным каталогам, доступ к документам вне рабочего сценария, резкий рост операций с чувствительными данными, удаление большого числа файлов или активность перед увольнением сотрудника должны становиться поводом для проверки. Важно видеть не только факт доступа, но и поведение пользователя в динамике.

Для нас в UDV Group главный вывод такой: файловая инфраструктура требует не только разграничения прав, но и постоянного контроля обращения с данными. Штатные средства остаются базой, DLP закрывает каналы передачи, DCAP помогает увидеть работу с файлами внутри хранилищ. Вместе эти уровни дают CISO более полную картину: какие данные есть в компании, кто ими пользуется, куда они перемещаются и где возникает риск.

Без такой картины компания может формально иметь права доступа и отдельные журналы, но не понимать реального движения чувствительной информации. А значит, при инциденте ей придется восстанавливать события вручную — по логам, переписке, словам сотрудников и остаточным следам в системах. Для современной ИБ этого уже недостаточно.

CISO важно смотреть на файловую инфраструктуру как на самостоятельный контур риска. Документы не становятся безопасными только потому, что лежат внутри корпоративной сети. Если они не классифицированы, права не пересматриваются, действия пользователей не связаны с контекстом, а передача данных контролируется только на выходе, компания видит проблему слишком поздно. Управляемая защита начинается там, где каждый чувствительный файл имеет понятную категорию, владельца, правила доступа и историю действий.