ป้องกันข้อมูลรั่วไหลด้วย Data Loss Prevention

จะทำอย่างไรถ้าองค์กรของคุณเกิดทำข้อมูลรั่วไหล? สิ่งที่ตามมาคือปัญหามากมายเพราะไม่ใช่แค่ข้อมูลเอกสารต่าง ๆ เท่านั้น ยังรวมถึงข้อมูลสัญญาของลูกค้า สัญญาการซื้อขาย แม้แต่ข้อมูลส่วนบุคคลของพนักงาน เหล่านี้ถือเป็นข้อมูลที่สำคัญที่ถ้าหลุดออกไปองค์กรของคุณอาจจะถูกฟ้องร้องได้ ควรที่จะป้องกันก่อนที่จะสายเกินไปด้วยเทคโนโลยีที่ชื่อว่า Data Loss Prevention (DLP)

Data Loss Prevention (DLP) หรือ ระบบป้องกันการรั่วไหลของข้อมูลถูกสร้างขึ้นเพื่อป้องกันการสูญหายของข้อมูลสารสนเทศที่มีความสำคัญ ที่เกิดจากการส่งข้อมูลผ่านเครือข่ายที่ไม่น่าเชื่อถือ ด้วยการโฟกัสที่ตำแหน่งของข้อมูล การจำแนกประเภท การเฝ้าระวัง การใช้หรือการเคลื่อนไหวของสารสนเทศสำคัญเหล่านั้นให้ดำเนินไปอย่างปกติตามที่ควรจะเป็น ช่วยให้องค์กรควบคุมไม่ให้เกิดการรั่วไหลของสารสนเทศและยังช่วยให้ทราบว่ามีสารสนเทศอะไรเกิดขึ้นบ้าง ในแต่ละวันอีกด้วย 

การป้องกันข้อมูลรั่วไหล เริ่มเป็นสิ่งจำเป็นสำหรับองค์กร ทั้งจากเรื่องที่ข้อมูลมีการจัดเก็บเป็น digital และ Internet ก็เข้าถึงได้จากเครื่องพนักงานทุกคน ซึ่งเหตุผลที่ควรทำ DLP ในองค์กร คือ

• ป้องกันการส่งข้อมูลออกนอกองค์กรอย่างไม่ตั้งใจ บางครั้งพนักงานอาจจะขาดความระมัดระวังอย่างไม่ตั้งใจส่งไฟล์ออกไปบน Internet ได้ องค์กรจึงจำเป็นต้องมี solution เพื่อป้องกันข้อมูลรั่วไหลเพื่อให้แน่ใจว่า เหตุการณ์แบบนี้จะถูก block ไว้ก่อนที่จะถูกส่งออก
• ป้องกันการส่งข้อมูลออกนอกองค์กรอย่างตั้งใจโดยพนักงานเอง พนักงานที่ลาออกไปอาจจะขโมยข้อมูลออกนอกบริษัทหรืออาจจะมีการลบข้อมูลเหล่านั้นทิ้งด้วย จึงต้องมีการใช้ DLP ในการป้องกันทั้งการส่งข้อมูลออกไปบน Internet รวมถึงการคัดลอกข้อมูลออกไปโดยใช้ Thumb drive หรือ external Hard disk
• เพื่อที่จะให้สอดคล้องกับกฎหมายหรือมาตรฐานต่าง ๆ เช่น PDPA ซึ่งการใช้ Solution DLP จะทำให้องค์กรสามารถปฏิบัติตามข้อกำหนดได้
   

ในการป้องกันและกำกับดูแลนั้นต้องเริ่มจากการจัดระเบียบข้อมูล อาจมีการทำ Business Analysis ซึ่งจะทำให้เราสามารถรู้วัตถุประสงค์ขององค์กรในการใช้ข้อมูลต่างๆ รู้ความสำคัญของข้อมูลแต่ละประเภท สิ่งที่ต้องทำร่วมกันไป คือ Data Classification ต้องมีการคัดแยกข้อมูลออกเป็นกลุ่มเพื่อให้รู้ว่าควรจะดูแล และจัดเก็บอย่างไรให้เหมาะสม เมื่อข้อมูลถูกจำแนกออกเป็นกลุ่มที่ชัดเจนจะทำให้การกำกับดูแลทำได้ง่ายขึ้น งบประมาณจะถูกจัดสรรอย่างเหมาะสม โดยชนิดข้อมูลจะแบ่งกลุ่มตามลักษณะเป็น 3 รูปแบบ คือ

• Data at Rest : ข้อมูลที่ถูกจัดเก็บไว้ที่ Local Storage/Database หรือที่อยู่ในองค์กร
• Data in Motion : ข้อมูลที่มีการรับ-ส่ง หรือ แลกเปลี่ยนข้อมูลระหว่างคู่สนทนา
• Data Being Use : ข้อมูลที่ถูกใช้งาน ซึ่งจะเป็นในส่วนของ Endpoint หรือ PC 

ซึ่งการเลือก Security Control ก็จะต้องเลือกตามลักษณะของข้อมูลแต่ละประเภท

รู้อย่างนี้แล้ว องค์กรหรือบริษัทก็ควรที่จะเริ่มจัดการจัดระเบียบข้อมูลในองค์กรและติดตั้งระบบ DLP เพื่อการป้องกันข้อมูลรั่วไหลและให้สอดคล้องกับกฏหมายที่เกิดขึ้นในปัจจุบัน