Как выбрать DLP: критерии выбора системы защиты от утечек

Чтобы выбрать DLP-систему, сначала зафиксируйте, какие каналы утечки для вас критичны — почта, веб, мессенджеры, USB и другие съёмные носители, печать, буфер обмена, фото экрана, — и только потом сравнивайте конкретные продукты по этому списку. Дальше решите, готовы ли вы работать в режиме блокировки с первого дня или начнёте с мониторинга, чтобы откалибровать политики.

Отдельно проверьте, обязателен ли сертификат ФСТЭК для вашего случая: для значимых объектов КИИ и части ГИС — да, для защиты персональных данных — зависит от уровня защищённости системы. Остальное — вопрос охвата endpoint-агента, технологий анализа контента, инструментов расследований и совокупной стоимости владения на горизонте нескольких лет.

DLP-система стоит на пути данных, которые пытаются покинуть организацию, и сверяет их с политиками: если письмо содержит номер паспорта, а файл с пометкой «конфиденциально» копируется на флешку, система фиксирует это событие и, в зависимости от настроек, либо пропускает его с записью в журнал, либо блокирует.

DLP нужен, если в компании есть данные, утечка которых создаёт юридический или репутационный риск — персональные данные клиентов, коммерческая тайна, финансовая отчётность, — и штат достаточно большой, чтобы нельзя было полагаться только на организационные меры и доверие к сотрудникам. Подробный обзор класса и курированный список решений — на странице DLP на SecRadar.

DLP закрывает не любую задачу, смежную с данными. Если цель — контролировать веб-трафик в реальном времени и фильтровать вредоносные и нежелательные сайты, а не перехватывать конкретные каналы утечки, ближе класс SWG (шлюз веб-безопасности). Если задача — предотвращать мошеннические операции внутри бизнес-процессов (подмена реквизитов, социальная инженерия, компрометация счетов), а не утечку данных как таковую, это уже класс антифрод.

DLP и эти классы решают разные задачи и обычно работают параллельно, а не взаимозаменяемо.

Подробнее о том, чем DCAP отличается от DLP и когда нужны оба класса сразу, — на странице DCAP на SecRadar.

Продукты одного класса на бумаге решают одну задачу, но заметно расходятся по тому, что именно они умеют видеть, как жёстко реагируют и насколько удобно с ними работать команде ИБ. Семь критериев ниже стоит пройти по каждому кандидату до того, как переходить к сравнению цены.

Вес каждого из семи критериев выше меняется в зависимости от того, зачем вы вообще внедряете DLP. Ниже — четыре типовых сценария и на что в них смотреть в первую очередь.

1. Определите каналы, которые нужно закрыть в первую очередь: почта, веб, мессенджеры, USB и другие съёмные носители, печать, буфер обмена, фото экрана.
2. Решите про режим работы — начинаете сразу с блокировки критичных каналов или с мониторинга на период обкатки политик.
3. Проверьте требование сертификата ФСТЭК для вашего случая — значимый объект КИИ, ГИС или конкретный уровень защищённости ПДн.
4. Оцените endpoint-агент — поддерживаемые ОС, скрытность работы, нагрузку на рабочие станции.
5. Проверьте технологии анализа контента — словари, цифровые отпечатки, OCR, выборочная маскировка — под ваш тип данных.
6. Изучите инструменты расследований — глубину архива, поиск по инцидентам, профилирование поведения пользователей.
7. Посчитайте TCO на 3 года — лицензии на агентов, дополнительные модули, внедрение, поддержку и масштабирование при росте штата.

• Контролировать только сеть, без endpoint-агента. Сетевой DLP видит лишь то, что проходит через шлюз, и теряет локальные копии на USB, офлайн-печать и утечки, которые вообще не выходят в сеть напрямую.
• Включать блокировку сразу, без обкатки в режиме мониторинга. Точность правил на старте всегда ниже, чем кажется на демонстрации продукта; жёсткая блокировка на этом этапе тормозит легитимные процессы и настраивает сотрудников против системы.
• Недооценивать долю ложных срабатываний. DLP без донастройки политик под конкретные бизнес-процессы генерирует поток алертов, разбирать который вручную способна не любая команда ИБ; время на тюнинг нужно закладывать с первого дня, а не после первого шторма инцидентов.
• Игнорировать OCR и мессенджеры. Если система не распознаёт текст на скриншотах и не видит переписку в мессенджерах, значительная часть современных утечек — фото документа, пересланное сообщение — остаётся вне поля зрения.

Как провести пилот DLP и проверить внедрение

До выбора поставки составьте протокол для своих каналов передачи. Проверяйте одинаковые тестовые документы и разрешённые рабочие операции на каждом решении. Итог пилота — перечень пройденных сценариев, ограничений и открытых вопросов, а не общий балл.

1. Зафиксируйте контур. Версии сервера и агента, модули, ОС, браузеры, почтовые клиенты и способ включения в трафик. Поддержка семейства ОС не подтверждает каждый дистрибутив или канал.
2. Подготовьте тестовые данные. Создайте искусственные документы с контрольными строками, таблицами и изображениями. Для каждого сценария заранее запишите, должна ли передача пройти, быть остановлена или только попасть в журнал.
3. Разделите обнаружение и предотвращение. Проверьте получение файла на стороне тестового адресата. Событие в консоли ещё не означает, что данные не были переданы.
4. Проверьте обычную работу. Открытие и сохранение документов, разрешённую переписку и копирование. Запишите ложные блокировки, время операции и нагрузку относительно работы без проверяемого модуля.
5. Испытайте эксплуатационные ситуации. Потерю связи агента с сервером, восстановление связи, обновление политики и возврат к прежней конфигурации. Ожидаемое поведение согласуйте для выбранной архитектуры.
6. Подведите итоги по требованиям. Для каждого теста сохраните фактический результат и основание: журнал, снимок экрана, файл на тестовом получателе. Отдельно укажите непроверенные условия.

Скачать протокол пилота DLP (CSV) — шаблон с тестами и полями для версии, канала, ожидаемого и фактического результата.

DLP для Linux: что проверить отдельно

Разделяйте Linux на сервере DLP и Linux на рабочем месте. Для агента нужна матрица «дистрибутив и версия → приложение → канал → обнаружение → блокировка». Не переносите результаты Windows-агента на Linux автоматически.

• Какие версии ОС, ядра и графического окружения поддерживаются?
• Что происходит при передаче через USB, почту, браузер, сетевую папку, печать и буфер обмена?
• Работает ли проверка по содержимому или только запрет устройства/операции?
• Какие функции и политики сохраняются без связи с сервером?

Например, руководство Staffcop Enterprise 5.8 отдельно ограничивает признаки блокировки устройств для Linux-агента и предупреждает о возможном замедлении файловых операций при включении модуля. Это ограничения конкретного модуля, а не всего класса DLP. Документация Staffcop: метки и блокировка доступа, проверено 2 октября 2026 года.

Из чего складывается стоимость DLP

Запрашивайте расчёт на одинаковую конфигурацию и срок использования. Цена лицензии без состава поставки не позволяет сравнить предложения.

• Что является единицей лицензирования: рабочее место, пользователь, сервер или иной объект?
• Какие каналы, OCR, поиск в хранилищах и функции расследования включены, а какие приобретаются отдельно?
• Каковы требования к хранению архива, резервированию и дополнительным серверам?
• Входят ли внедрение, настройка политик, обучение и техническая поддержка?
• Как меняется расчёт при росте числа рабочих мест и продлении поддержки?

Бесплатный пилот, ограниченная редакция и бесплатная лицензия — разные условия. Их нужно сверять в предложении поставщика. Актуальных сопоставимых публичных цен для всех решений здесь нет.

Замена зарубежной DLP: что перенести и проверить

При переходе с Forcepoint DLP, Symantec DLP или Digital Guardian сравнивайте рабочие сценарии, а не названия модулей. Ниже — редакционный план миграции; он не означает, что у каждого российского продукта есть готовый импорт настроек.

1. Составьте перечень действующих правил. Для каждого запишите защищаемые данные, канал, пользователей, исключения и ожидаемое действие. Отметьте правила, которые больше не нужны.
2. Проверьте переносимость. Уточните, какие словари, шаблоны, отпечатки и метки можно перенести, а какие придётся создать заново. Экспорт из старой системы ещё не подтверждает импорт в новую.
3. Сохраните доступ к истории. Заранее решите, где останутся архив и материалы расследований, кто сможет их открыть после отключения прежней системы и как будет проверяться полнота выгрузки.
4. Спланируйте замену агентов. Согласуйте последовательность удаления и установки, совместимость с защитой рабочих мест и возможность отката. Одновременную работу двух агентов сначала проверьте в тестовом контуре.
5. Повторите контрольные сценарии. Используйте одинаковые искусственные документы и штатные операции. Сравните не только события в консоли, но и результат у получателя, ложные блокировки и нагрузку.
6. Назначьте условия переключения. Зафиксируйте принятые ограничения, ответственных за исключения, критерии остановки перехода и порядок возврата к прежней конфигурации.

Результат: перечень перенесённых и заново созданных правил, доступный архив, протокол проверок и согласованный порядок переключения. Непроверенную функцию оставьте открытым пунктом, даже если она есть в рекламном описании.

Постепенное включение политик и проверка их влияния на обычную работу описаны, например, в руководстве Microsoft Purview по развёртыванию DLP-политик. Это источник общего подхода, а не подтверждение совместимости или функций российских продуктов.

Сравнить функции 2–3 кандидатов → · Перейти к протоколу пилота →

После пилота сопоставьте решения по обязательным требованиям, подтверждённым возможностям и ограничениям поставки. Общий балл не заменяет проверку ваших каналов, версий ОС и сценариев. Обзор рынка и материалы по отдельным решениям доступны на страницах класса.