Как выбрать DLP для среднего бизнеса

Средний бизнес редко выбирает DLP спокойно. Обычно так: аудит или клиентский договор требуют «контроль утечек», IT обещает «подберём за две недели», а на столе через месяц лежат три презентации enterprise-класса и ноль понимания, кто будет разбирать сработки в 9 утра понедельника.

Этот гайд — для ИБ, IT-директоров и тех, кого назначили «владельцем DLP» в компании примерно на 100–500 сотрудников. Цель простая: собрать shortlist из 3–5 решений, проверить их на пилоте и подписать договор без иллюзий.

Обзор всего рынка — в категории DLP-систем и в каталоге; ниже — порядок работы.

Портрет заказчика, для которого текст написан

Типичная картина mid-market:

• один специалист ИБ или совмещение с IT;
• удалёнка и филиалы на VPN;
• критичны Excel-базы, договоры, переписка продаж и бухгалтерии;
• руководство хочет «видеть риски», бизнес боится блокировок и тормозов;
• бюджет есть на систему, но нет штата аналитиков как в корпорации.

Если у вас уже выделенная команда SOC и филиальная архитектура на тысячи АРМ — часть советов всё ещё полезна, но сайзинг и TCO будут другими.

Сначала сценарии, потом вендоры

До shortlist зафиксируйте 5–7 сценариев, из-за которых вы вообще начали разговор о DLP. Не классификатор на 40 типов данных — список болей.

Примеры формулировок, которые работают на пилоте:

• менеджер выгружает клиентскую базу в личную почту;
• файл с себестоимостью уходит на USB;
• договор уезжает в личное облако;
• скан паспорта или счёт уходит через мессенджер;
• после увольнения нужно восстановить, что копировали с ноутбука за две недели.

Каналы, которые mid-market чаще прощает «на честном слове»

• почта — мониторинг электронной почты;
• файлы и шары — мониторинг файлов;
• съёмные носители — контроль USB;
• веб, облака, мессенджеры, печать.

Политика «запрещено» без контроля почти всегда обходится. Если канал в ваших сценариях есть — он должен быть в must-have пилота.

DLP и контроль рабочих мест — не один пилот

На рынке рядом стоят контентные DLP и системы с сильным endpoint-контуром (экраны, активность, расследования действий). Оба класса имеют смысл, но смешивать KPI пилота нельзя.

• Нужно доказать или остановить вынос данных по содержимому и каналам — это DLP-сценарий.
• Нужны хронология действий на АРМ, дисциплина, разбор «что делал сотрудник» — это соседний класс, часто пересекающийся с мониторингом.

Поведенческий слой (поведенческая аналитика) для среднего бизнеса чаще этап два: сначала каналы и разбор инцидентов, потом усложнение.

Критерии: must-have и «позже»

Не пытайтесь закрыть все галочки рынка. Для 100–500 важнее достаточность и сопровождение силами небольшой команды.

Must-have на первую поставку

1. Ваши каналы из сценариев работают на пилоте, а не в слайде.
2. Контент, а не расширение: архив, смена типа файла, типовые офисные форматы.
3. Разбор инцидента за минуты, не за день: кто / что / куда / когда + выгрузка для служебной проверки.
4. Роли доступа: ИБ, IT, при необходимости HR — без выдачи всем полного архива переписки.
5. Установка через ваш каталог учёток и понятный массовый деплой агента.
6. Предсказуемый TCO на 12–24 месяца: лицензии, хранение, поддержка, трудозатраты админа.
7. Живая поддержка на пилоте: ответ по делу в согласованный срок, не «создайте тикет и ждите».

Если бюджет жёсткий, отдельно просмотрите недорогие DLP — как фильтр тяжёлых контуров, не как истину.

Можно отложить на этап 2

• массовые автоматические блокировки «на всём»;
• экзотические каналы вне ваших сценариев;
• глубокая UBA «из коробки»;
• модули продуктивности, если цель проекта — утечки, а не тайм-менеджмент;
• идеальная картинка по всем 40 протоколам из сравнительных таблиц.

OCR, офлайн-буфер агента, модульность лицензий — берите в must-have только если это прямо следует из ваших сценариев или инфраструктуры.

Юридический контур — коротко и по делу

DLP не заменяет политику компании. До закупки зафиксируйте с юристом и HR хотя бы:

• локальный акт / положение о контроле;
• как уведомляете сотрудников;
• кто имеет право смотреть содержимое коммуникаций;
• сроки хранения перехвата и порядок доступа на расследовании.

Это не юрконсультация — это минимум, без которого проект потом останавливают на совещании.

Пилот за 2–4 недели

Пилотируйте три–пять систем. Больше — не сравнение, а марафон демо.

Shortlist без самообмана

1. Must-have сценарии и каналы записаны.
2. Кандидаты отобраны в каталоге.
3. Сведены в сравнение.
4. На пилот Rembrandt только те, кто закрывает must-have и реален по внедрению.

Ориентиры по роли (не рейтинг редакции) — сверяйте с актуальными карточками:

• контентный / расследовательский контур — например SearchInform DLP;
• endpoint и разбор действий — например Staffcop Enterprise;
• контроль рабочих мест и дисциплины — например Стахановец или Kickidler.

Если продукт «не про ваш главный сценарий», не тащите его в пилот из-за известности бренда.

Измеримый минимум на пилоте

• Группа: 5–15% АРМ или 15–40 машин — достаточно, чтобы увидеть шум, мало для паралича бизнеса.
• Срок: 2–4 недели накопления событий, не один день «шоу вендора».
• Контрольные прогоны: вынос тестового файла по 2–3 must-have каналам; архив; смена расширения.
• Шум: если за первые сутки после включения политики поток сработок нечитаем — политики сырые, это тоже результат.
• Нагрузка: жалобы пользователей, VPN, CPU — фиксируйте, не отмахивайтесь.
• Админ-стоимость: сколько часов ушло на исключения (банк-клиент, ЭЦП, обмен с контрагентами).
• Поддержка: контрольный вопрос вендору; ответ >2 рабочих дней без сути — красный флаг для mid-market.

Итог пилота — ваша таблица (критерий / вес / факт / балл). Пункты из презентации в неё не переносятся.

Типичные ошибки

• Купить enterprise «на вырост» без людей, которые его вывезут.
• Сравнить только цену за место и забыть хранение и сопровождение.
• Выкинуть USB, личную почту или облако, потому что «у нас запрещено».
• Включить жёсткие блокировки в первую неделю и получить саботаж агентов.
• Не назначить владельца политик и очереди инцидентов.
• Смешать в одном KPI утечки и «чтобы все меньше сидели в соцсетях».
• Верить сводной таблице галочек сильнее, чем пилоту на ваших файлах.

Как пройти путь на DLP Software

DLP Software — каталог для выбора, не буклет одного вендора. Короткий маршрут:

1. Категория DLP и отбор в каталоге.
2. 3–5 карточек в сравнении.
3. При жёстком бюджете — недорогие DLP.
4. Углубление по функциям: USB, почта, файлы, при необходимости поведенческая аналитика.
5. Пилот → договор.

На переговоры приходите со сценариями и протоколом пилота, а не с просьбой «докажите, что вы лучшие».

Чеклист перед договором

• 5–7 сценариев согласованы с бизнесом.
• Must-have каналы пройдены на пилоте.
• Решение: мониторинг сейчас / блокировки позже — зафиксировано.
• Назначен владелец политик и разбора сработок.
• Понятен объём хранения и срок ретеншна.
• Лицензии, модули и продление прозрачны на 12–24 месяца.
• SLA поддержки и обучение админов прописаны.
• Деплой агентов и каталог учёток проверены.
• Исключения для критичных приложений описаны.
• Локальный акт и уведомление сотрудников согласованы отдельно.
• Протокол пилота сохранён — это ваш аргумент через год.

DLP в среднем бизнесе побеждает не тот, у кого длиннее слайд с функциями, а тот, кого ваша команда реально сопровождает и кто закрыл ваши сценарии на пилоте. Сначала требования и каталог, потом сравнение, потом договор — и только в таком порядке.