Документ, ушедший на сторону, живет своей жизнью. Канал можно закрыть, письмо — отозвать, доступ к папке — отключить. Но PDF, который контрагент уже скачал на свой ноутбук, продолжает существовать вне вашего периметра, и никакой корпоративный firewall до него не дотянется. Именно здесь проходит водораздел между двумя подходами: один охраняет маршруты, по которым движется информация, второй — сам носитель.
Для ИБ-руководителя, юриста или DPO этот выбор не абстрактный. От него зависит, что именно вы сможете обещать совету директоров: контроль над каналами или контроль над судьбой конкретного файла. Часто — и то, и другое, но в разной пропорции.
DLP: защита периметра и каналов передачи
DLP (Data Loss Prevention) смотрит на поток. Он анализирует, что и куда уходит: почта, мессенджеры, съемные носители, облачные диски, печать, буфер обмена. Логика простая — обнаружить конфиденциальные данные в момент передачи и остановить операцию или хотя бы зафиксировать ее.
Сильная сторона подхода — обзор. Одна система видит десятки каналов и тысячи сотрудников, умеет классифицировать содержимое по шаблонам и меткам, строит отчеты для службы ИБ. Слабые стороны тоже понятны. DLP работает в пределах контролируемого контура: как только файл легально покинул компанию — ушел партнеру, попал на личный ноутбук удаленщика, остался у подрядчика после окончания проекта, — политики перестают на него действовать. Правила настраиваются сложно, ложные срабатывания раздражают бизнес, а тонкая настройка требует постоянного сопровождения.
DLP отвечает на вопрос «не утекает ли». Он не отвечает на вопрос «что можно делать с файлом, который уже у кого-то на руках».
DRM/IRM: управление правами на сам файл
Здесь объект защиты другой — не канал, а документ. IRM (Information Rights Management) и его более известный родственник DRM привязывают права к файлу: кто может открыть, кто — печатать, кто — копировать текст, до какой даты действует доступ. Шифрование и проверка прав происходят на стороне получателя, поэтому защита едет вместе с документом.
Практический эффект: файл можно отправить по обычной почте или выложить в защищенный обмен, и он останется управляемым. Отозвать доступ реально даже после отправки — на удаленном компьютере документ просто перестанет открываться. Это принципиально другой уровень контроля, чем блокировка письма на шлюзе.
Ограничения тоже есть, и о них честнее сказать сразу. IRM требует, чтобы получатель пользовался поддерживаемым клиентом или просмотрщиком. Полностью защищенный документ сложнее включить в чужой бизнес-процесс: не всякий внешний контрагент готов ставить дополнительное ПО. Администрирование прав добавляет нагрузку на ИТ. Наконец, ни один метод не дает абсолютной гарантии: фотография экрана телефоном остается вне любой технической защиты.
Ключевые сценарии: контрагенты, удаленка, подрядчики
Три типовые ситуации, где разница между подходами становится ощутимой.
Обмен с контрагентами. Договоры, сметы, техническая документация, результаты интеллектуальной деятельности уходят партнерам и заказчикам. DLP здесь охраняет момент отправки, но не судьбу вложения. Если документ нужно ограничить в правах — запретить правку, печать или дальнейшую передачу, — работает только защита на уровне файла.
Удаленные сотрудники. Человек работает из дома, на личном компьютере, в неконтролируемой сети. Корпоративный периметр заканчивается на его роутере. Документ с привязанными правами остается управляемым независимо от того, где он открыт.
Подрядчики и временный персонал. Проект закончился, доступ к общим папкам закрыли, но копии файлов у подрядчика остались. Отзыв прав по серийному номеру или политике позволяет закрыть к ним доступ постфактум, не полагаясь на добросовестность исполнителя.
Что проверить в решении: печать, скриншоты, копирование, отзыв доступа
Когда речь заходит о конкретных инструментах, список требований удобно свести к проверяемым пунктам.
- Запрет печати и копирования. Возможность выборочно запрещать печать, копирование фрагментов и редактирование — отдельно для разных групп получателей.
- Борьба со скриншотами. Блокировка Print Screen, сторонних программ захвата экрана и трансляции через сервисы видеосвязи.
- Водяные знаки. Персональные метки с идентификатором получателя — сдерживающий фактор и подспорье при расследовании инцидента.
- Отзыв доступа. Техническая возможность закрыть документ после отправки, а не только запретить его дальнейшее распространение.
- Управление политиками. Понятная выдача прав по группам, серийным номерам, срокам действия.
- Поддержка форматов. Какие типы файлов реально защищаются, включая архивы и вложения.
Последний пункт часто недооценивают: если решение закрывает только PDF, а половина обмена идет архивами или офисными файлами, дыра останется. На практике защита конфиденциальной информации редко укладывается в один инструмент — важно, чтобы выбранные меры покрывали реальные маршруты документов, а не идеальную схему из презентации.
Как DLP и IRM дополняют друг друга
Противопоставлять подходы бессмысленно: они закрывают разные участки жизненного цикла документа. DLP контролирует движение данных внутри и на границе контура, IRM — поведение файла за его пределами. Логичная связка выглядит так: DLP фиксирует и предотвращает нежелательные отправки, IRM гарантирует, что даже легально отправленный документ останется под вашими правилами.
Есть и третья точка соприкосновения — SIEM. События из обеих систем — попытки печати, отказ в доступе, открытие защищенного файла, срабатывание политик DLP — попадают в единую картину и позволяют расследовать инциденты, а не собирать их по кускам.
Масштабируемость упирается в интеграцию. Если защита прав не умеет разговаривать с СЭД, DLP и SIEM через API, администрирование быстро превращается в ручную работу: права выдаются вручную, события не собираются, аудит держится на выгрузках. API-интерфейсы позволяют встроить выдачу прав в существующий документооборот — например, автоматически назначать политику при регистрации документа в СЭД.
Чек-лист выбора и внедрения
Перед пилотом полезно ответить на несколько вопросов — честно, с участием юристов и владельцев процессов, а не только ИТ.
- Какие документы действительно нужно защищать поштучно, а какие достаточно прикрыть политиками DLP?
- Кто получатели — сотрудники, контрагенты, подрядчики, госорганы — и какой клиент они готовы установить?
- Какие действия нужно ограничивать: печать, копирование, правку, скриншоты, пересылку?
- Нужен ли отзыв доступа и как быстро он должен срабатывать?
- Как решение встроится в СЭД, DLP и SIEM — через API или вручную?
- Кто администрирует права и как это ложится на текущую нагрузку ИТ?
- Как будет устроен аудит: какие события собираются и в каком виде попадают в SIEM?
Пилот стоит строить на одном-двух реальных сценариях, а не на демонстрационном документе. Например, обмен технической документацией с конкретным контрагентом или работа удаленной команды над проектом. Так быстрее видно, где защита мешает процессу, а где закрывает реальный риск.
Ориентиром при выборе может служить и наличие продукта в реестре российского ПО — для многих организаций это формальное требование закупки. Но реестр не заменяет проверку сценариев: важно, чтобы инструмент решал вашу задачу, а не просто проходил по списку.
Защита конфиденциальных документов — это не выбор между DLP и IRM, а выстраивание слоев. DLP отвечает за каналы, IRM — за сам файл, SIEM — за наблюдаемость. Разница в том, что именно вы считаете единицей защиты: маршрут или документ. От этого ответа зависит архитектура, бюджет и то, насколько спокойно вы будете спать после очередного письма контрагенту.