ایمیل یکی از پرکاربردترین ابزارهای ارتباطی در سازمان است، اما همین ابزار میتواند مسیر سادهای برای خروج اطلاعات ایجاد کند. انتخاب گیرنده اشتباه، ارسال فایل به حساب شخصی یا Forward کردن یک مکاتبه داخلی، گاهی برای ایجاد یک رخداد نشت اطلاعات کافی است.
نشت اطلاعات از طریق ایمیل همیشه از حمله سایبری ناشی نمیشود. در بسیاری از موارد، خطای انسانی یا ضعف کنترلهای امنیتی باعث خروج داده میشود. به همین دلیل، امنیت ایمیل سازمانی فقط به مقابله با Phishing و Malware محدود نیست. سازمان باید بداند هر کاربر چه اطلاعاتی را برای چه مقصدی ارسال میکند.
راهکار DLP میتواند متن پیام، فایل پیوست و مقصد ایمیل را با سیاستهای سازمان مقایسه کند. اگر DLP اطلاعات حساس را تشخیص دهد، بر اساس سیاست تعریفشده جلوی انتقال را میگیرد یا برای تیم امنیت هشدار ارسال میکند.
نشت اطلاعات از طریق ایمیل چگونه اتفاق میافتد؟
کاربر ممکن است بهصورت عمدی یا غیرعمدی اطلاعات را از طریق ایمیل از سازمان خارج کند. برای مثال، کاربری قصد دارد قرارداد یک مشتری را برای همکار خود بفرستد، اما بهدلیل شباهت نامها آدرس فرد دیگری را انتخاب میکند. در سناریوی دیگر، کارمند برای ادامه کار در منزل، فایل سازمانی را به ایمیل شخصی خود میفرستد.
کاربران میتوانند اطلاعات را از مسیرهای مختلف منتقل کنند:
- متن پیام
- فایل پیوست
- فایل فشرده
- تصویر یا اسکرینشات
- اطلاعات موجود در فایلهای Office یا PDF
- Forward کردن مکاتبات داخلی
- ارسال به حساب شخصی یا دامنه خارجی
بنابراین، سازمان نباید کنترل امنیتی را فقط روی فایل پیوست متمرکز کند. راهکار امنیتی باید محتوای پیام و مقصد ارسال را نیز بررسی کند.
رایجترین سناریوهای نشت اطلاعات در ایمیل کداماند؟
چند سناریو در محیطهای سازمانی بیشتر دیده میشوند.
ارسال به گیرنده اشتباه
قابلیت Auto-Complete سرعت ارسال ایمیل را بالا میبرد، اما گاهی کاربر آدرس نادرستی را انتخاب میکند. اگر پیام اطلاعات حساس داشته باشد، همین اشتباه کوچک میتواند داده را در اختیار فردی غیرمجاز قرار دهد.
ارسال فایل به ایمیل شخصی
برخی کاربران برای ادامه کار خارج از سازمان، فایلها را به Gmail، Outlook یا حساب شخصی دیگری ارسال میکنند. پس از خروج فایل، سازمان کنترل کمتری بر نگهداری و اشتراکگذاری آن دارد.
ارسال اطلاعات محرمانه به خارج از سازمان
گاهی سازمان به کاربر اجازه مشاهده یک سند را میدهد، اما اجازه ارسال همان سند برای مشتری، پیمانکار یا شخص ثالث را نمیدهد.
Forward کردن زنجیره مکاتبات
گاهی کاربر فقط قصد دارد آخرین پیام را منتقل کند، اما کل Thread را Forward میکند. در این حالت، او ممکن است ناخواسته پیامهای قبلی و اطلاعات حساس داخل آنها را نیز برای گیرنده جدید بفرستد.
ارسال فایل فشرده
قرار دادن چند سند داخل ZIP میتواند بررسی ساده بر اساس نام یا پسوند فایل را ناکافی کند. راهکار امنیتی مناسب باید در صورت پشتیبانی، محتوای داخل آرشیو را نیز بررسی کند.
درج اطلاعات حساس در متن ایمیل
نشت همیشه از طریق Attachment رخ نمیدهد. کاربر ممکن است اطلاعات مشتریان، دادههای مالی یا مشخصات کارکنان را مستقیماً در متن پیام وارد کند.
چرا کنترلهای معمول ایمیل برای جلوگیری از نشت اطلاعات کافی نیستند؟
سازمانها معمولاً از کنترلهای امنیت ایمیل برای مقابله با تهدیدهایی مانند موارد زیر استفاده میکنند:
- Spam
- Phishing
- Malware
- فایل آلوده
- لینک مخرب
- جعل فرستنده
این کنترلها بخش مهمی از امنیت ایمیل سازمانی را تشکیل میدهند، اما لزوماً محتوای حساس را تشخیص نمیدهند. برای مثال، ممکن است یک فایل Excel هیچ بدافزاری نداشته باشد، اما فهرست مشتریان یا اطلاعات مالی محرمانه را در خود نگه دارد. Secure Email Gateway ممکن است پیام را سالم تشخیص دهد، درحالیکه سیاست حفاظت از داده، ارسال آن به یک دامنه خارجی را ممنوع میداند.
اینجاست که DLP نقش متفاوتی پیدا میکند. DLP بهجای تمرکز صرف بر مخرب بودن فایل، محتوای داده و مجاز بودن انتقال را بررسی میکند.
DLP چگونه اطلاعات حساس در ایمیل را شناسایی میکند؟
راهکار DLP یا Data Loss Prevention محتوای ایمیل را با سیاستهایی که سازمان تعریف کرده است مقایسه میکند. این بررسی میتواند متن پیام، موضوع، فایلهای پیوست و مقصد ارسال را در بر بگیرد. محصولات مختلف روشهای متفاوتی برای شناسایی داده دارند، اما معمولاً از روشهای زیر استفاده میکنند:
الگوهای داده
برخی اطلاعات ساختار مشخصی دارند. برای نمونه، سازمان میتواند الگوهایی برای شماره ملی، شماره کارت یا سایر دادههای ساختاریافته تعریف کند.
کلمات و عبارات مشخص
سازمان میتواند نام پروژه، نام مشتری یا عبارتهای اختصاصی خود را در سیاستهای تشخیص قرار دهد.
طبقهبندی اطلاعات
اگر سازمان اسناد را با برچسبهایی مانند «داخلی»، «محرمانه» یا «بسیار محرمانه» مشخص کند، DLP میتواند سیاست ارسال را بر اساس همان Classification اجرا کند.
Fingerprinting اسناد
برخی راهکارها به سازمان اجازه میدهند نمونه اسناد حساس را به سیستم معرفی کند. سپس DLP نسخههای مشابه یا بخشهایی از همان محتوا را تشخیص میدهد.
تحلیل محتوای فایل
DLP میتواند محتوای فایلهای Office، PDF و فایلهای متنی را بررسی کند و تصمیم خود را فقط بر اساس نام فایل نگیرد.
بررسی مقصد پیام
ممکن است سیاست سازمان ارسال یک فایل را برای گیرنده داخلی مجاز بداند، اما ارسال همان فایل به ایمیل شخصی یا دامنه ناشناس را ممنوع کند. DLP مقصد پیام را نیز در تصمیم خود لحاظ میکند.
پس از شناسایی اطلاعات حساس، DLP چه اقدامی انجام میدهد؟
تشخیص داده حساس فقط مرحله اول است. سازمان باید واکنش مناسب را بر اساس سطح ریسک و سیاست خود مشخص کند.
DLP میتواند:
- ارسال ایمیل را مسدود کند؛
- رخداد را ثبت کند؛
- برای تیم امنیت هشدار بفرستد؛
- پیام هشدار به کاربر نمایش دهد؛
- از کاربر دلیل ارسال بخواهد؛
- انتقال را برای کاربران یا مقصدهای مشخص مجاز کند.
سازمان نباید برای همه رخدادها یک واکنش یکسان در نظر بگیرد. برای مثال، ممکن است سازمان ارسال یک سند داخلی برای شریک تجاری تأییدشده را با ثبت دلیل مجاز بداند. در مقابل، میتواند ارسال اطلاعات بسیار حساس به ایمیل شخصی را مستقیماً مسدود کند. هدف، حفظ تعادل میان حفاظت از اطلاعات و ادامه فرایندهای کاری است.
چگونه سیاست مؤثری برای جلوگیری از نشت اطلاعات از ایمیل طراحی کنیم؟
یک سیاست مناسب باید مشخص کند هر کاربر چه اطلاعاتی را برای چه مقصدی و تحت چه شرایطی میتواند ارسال کند.
اطلاعات حساس را مشخص کنید
سازمان ابتدا باید دادههای حساس را بهطور دقیق تعریف کند. اگر سازمان نداند از چه اطلاعاتی باید محافظت کند، نمیتواند قوانین DLP دقیقی تنظیم کند. سازمان میتواند اطلاعات را در گروههایی مانند عمومی، داخلی، محرمانه و بسیار محرمانه قرار دهد.
مقصدهای داخلی و خارجی را تفکیک کنید
ارسال یک فایل برای همکار داخلی با ارسال همان فایل به حساب شخصی یا شرکت دیگر ریسک یکسانی ندارد. سیاست امنیتی باید این تفاوت را در نظر بگیرد.
قوانین را بر اساس نقش کاربران تنظیم کنید
واحدهای مالی، منابع انسانی، حقوقی و فروش با انواع متفاوتی از داده کار میکنند. به همین دلیل، سازمان نباید یک قانون یکسان را برای همه کاربران اعمال کند.
استثناها را مدیریت کنید
برخی انتقالها برای کسبوکار ضرورت دارند. سازمان میتواند این موارد را با دلیل مشخص، تأیید مناسب و محدودیت زمانی مدیریت کند.
سیاستها را ابتدا در حالت Monitor ارزیابی کنید
اجرای فوری تعداد زیادی قانون Block میتواند عملیات روزمره را مختل کند. بهتر است تیم امنیت ابتدا برخی قوانین را در حالت Monitor اجرا کند. این کار به تیم امنیت کمک میکند False Positiveها و نیازهای واقعی کاربران را شناسایی کند.
سایر کانالهای خروج داده را هم در نظر بگیرید
اگر کاربر نتواند فایل را از طریق ایمیل ارسال کند، ممکن است از USB، فضای ابری یا پیامرسان استفاده کند. بنابراین، سازمان باید در سیاست جلوگیری از نشت اطلاعات، مسیرهای مختلف انتقال داده را نیز پوشش دهد.
جمعبندی
نشت اطلاعات از طریق ایمیل میتواند از یک اشتباه ساده یا انتقال آگاهانه داده به خارج از سازمان آغاز شود. کنترلهای معمول امنیت ایمیل برای مقابله با Malware و Phishing ضروری هستند، اما بهتنهایی نمیتوانند همه سناریوهای خروج اطلاعات حساس را کنترل کنند. DLP محتوای پیام، فایلهای پیوست و مقصد ارسال را بررسی میکند. سپس بر اساس سیاست سازمان، انتقال را مجاز میداند، هشدار ایجاد میکند یا جلوی ارسال را میگیرد.
تعریف دقیق اطلاعات حساس، تفکیک مقصدهای داخلی و خارجی، تنظیم سیاستها بر اساس نقش کاربران و مدیریت استثناها، دقت کنترل را افزایش میدهد. کارشناسان رادسکیور میتوانند جریان استفاده از ایمیل سازمانی، انواع اطلاعات حساس، مقصدهای خارجی و سیاستهای فعلی را بررسی کنند و کنترلهای مناسب برای کاهش ریسک نشت اطلاعات از طریق ایمیل را پیشنهاد دهند.
تیم محتوای رادسکیور
تیم محتوای رادسکیور متشکل از کارشناسان امنیت اطلاعات و شبکه است که با تکیه بر تجربه عملی، محتوای تخصصی و کاربردی در حوزه امنیت سایبری، آنتیویروس، حفاظت از داده و تهدیدات دیجیتال تولید میکند. هدف این تیم، افزایش آگاهی کاربران و کمک به انتخاب هوشمندانه راهکارهای امنیتی است
