Políticas DLP
Construya políticas DLP a partir de reglas de coincidencia, canales, alcance objetivo, excepciones y una acción de aplicación.
Qué es una política#
Una política DLP es la unidad de aplicación. Indica qué buscar, dónde buscar, a quién aplica y qué ocurre en una coincidencia. Todo lo demás en el módulo DLP - incidentes, excepciones, informes - es consecuencia de las políticas.
Mantenga las políticas reducidas y de un solo propósito. Una política que protege registros de clientes en USB es más fácil de ajustar, revisar y explicar que una que intenta cubrir todos los canales y todos los tipos de datos.
Creación de una política#
- 1Comience en modo auditoría
Cree la política con la acción en auditoría. Esto registra las coincidencias sin detener al usuario, que es lo que necesita para medir los falsos positivos.
- 2Adjunte reglas de coincidencia
Seleccione las clasificaciones y patrones que describen el contenido que está protegiendo. Reutilice las reglas existentes en lugar de escribir nuevas cuando sea posible.
- 3Habilite solo los canales necesarios
Cada canal añade carga de inspección en el endpoint. Habilite los canales que la política realmente requiera.
- 4Establezca un alcance objetivo reducido
Aplique la política primero a un pequeño grupo piloto. Amplíe el alcance solo después de que la lista de incidentes parezca correcta.
- 5Revise, luego aplique
Lea los incidentes producidos por el piloto, agregue excepciones donde sea necesario y solo entonces cambie la acción a bloqueo.
Reglas de coincidencia#
Una política consta de siete partes. Cada una puede cambiarse sin reconstruir las otras:
| Parte | Qué hace |
|---|---|
| Nombre y descripción | Cómo aparece la política en la lista y en cada incidente que produce. |
| Reglas de coincidencia | Las reglas de clasificación y patrón que deciden si el contenido es sensible. |
| Canales | Qué canales protegidos inspecciona esta política: USB, web, correo electrónico, portapapeles, captura de pantalla, impresión. |
| Alcance objetivo | Grupos, perfiles, tags o endpoints individuales a los que se aplica la política. |
| Excepciones | Usuarios, grupos o procesos excluidos para que un flujo de trabajo legítimo no sea bloqueado. |
| Acción | Auditoría o bloqueo, más el mensaje que se muestra al usuario cuando ocurre una coincidencia. |
| Estado | Habilitado o deshabilitado. Una política deshabilitada conserva su configuración pero no inspecciona nada. |
Alcance objetivo e excepciones#
- El alcance objetivo se expresa como grupos, perfiles, tags o endpoints individuales; nunca como un nombre de dispositivo en texto libre.
- Las excepciones son más precisas que los cambios de alcance. Agregue una excepción para el flujo de trabajo que la necesita en lugar de quitar endpoints de la política.
- Revise las excepciones periódicamente. Una excepción añadida para un proyecto tiende a sobrevivir al proyecto.
- Cuando una política produce falsos positivos repetidos en un equipo, lo que suele estar mal es la regla, no el equipo.