Data Loss Prevention ( - a disciplina de impedir que dados sensíveis saiam de onde pertencem) parece um recurso e é, na verdade, uma pergunta feita em velocidade de fio: este conteúdo de saída é sensível? Todo produto da categoria, qualquer que seja o logotipo, responde com os mesmos quatro instrumentos, cada um trocando abrangência por precisão de um jeito. Entenda os instrumentos e a tela de configuração de DLP de qualquer fabricante fica legível; este artigo é a camada neutra de fabricante sob a implementação da Zscaler.

Instrumento um: padrões

O instrumento mais antigo é o padrão - uma expressão regular com o formato do segredo. Um número de cartão de crédito são dezesseis dígitos com prefixos conhecidos; um CPF são onze dígitos com dois verificadores; uma chave de acesso começa com um prefixo reconhecível. Padrões são baratos e rápidos, e sua fraqueza é o espelho da sua força: eles reconhecem forma, não significado. Dezesseis dígitos que passam no checksum de Luhn podem ser um cartão ou uma massa de teste. A correspondência por padrão puro é onde nascem os falsos positivos, e é por isso que toda implementação séria alcança imediatamente os próximos três instrumentos.

Instrumento dois: dicionários, confiança e proximidade

Um dicionário é um vocabulário curado - termos, frases e padrões que juntos indicam uma classe de dados. O ofício está nos dois botões que vêm ao lado. Um limiar de confiança exige mais que um sinal fraco: uma sequência de dígitos solitária pontua baixo; a mesma sequência perto das palavras "cartão de crédito" e de uma data de validade pontua alto. A proximidade define quão perto a evidência corroborante precisa estar - "CPF" a três palavras de uma sequência de onze dígitos significa algo; o mesmo par separado por quarenta páginas não significa nada. Dicionários transformam a correspondência de "esta forma ocorre" em "esta forma ocorre numa vizinhança incriminadora", e é esse teste de vizinhança que torna o DLP de produção tolerável de conviver.

Instrumento três: correspondência exata de dados (EDM)

Padrões pegam qualquer coisa com forma de número de cartão. Às vezes o requisito é mais afiado: pegar os números de cartão dos nossos clientes - os registros reais do banco de dados real - e nada mais. O Exact Data Match faz isso sem nunca enviar o banco ao ponto de inspeção: a organização roda uma ferramenta de indexação do seu próprio lado, que lê a fonte estruturada (uma tabela de nomes, IDs, números de conta), computa um fingerprint irreversível - um hash - de cada célula, e envia apenas os fingerprints. Na inspeção, valores candidatos no tráfego são hasheados do mesmo jeito e comparados. Uma correspondência significa este valor exato dos nossos registros está saindo; um quase-acerto não significa nada, por projeto. A elegância é a propriedade de privacidade: o serviço de inspeção guarda hashes que não consegue reverter, então o conjunto sensível nunca sai de casa mesmo sendo defendido em toda parte. O custo operacional é o frescor - o índice só conhece os registros de que foi construído, então a cadência de reindexação vira uma pergunta de política.

Instrumento quatro: correspondência de documentos indexados (IDM)

O EDM faz fingerprint de registros; o Indexed Document Match faz fingerprint de documentos. Alimente o indexador com os arquivos-joia - a especificação de projeto, o memorando de M&A, o arquivo de código - e ele deriva fingerprints robustos o bastante para reconhecer o documento depois, mesmo parcial: um trecho colado num e-mail, uma seção dentro de um arquivo maior. O botão aqui é a precisão de correspondência - quanto do material com fingerprint precisa estar presente para alarmar - trocando sensibilidade a trechos por ruído de boilerplate que legitimamente reaparece em toda parte.

A parte que nunca foi a correspondência

Três verdades completam os fundamentos. Primeira: o DLP inspeciona o que consegue ler - na internet de hoje, isso faz da interceptação TLS o pré-requisito estrutural: um fluxo não inspecionado é um fluxo cego para o DLP, cada bypass um corredor. Segunda: imagens também carregam texto, e é por isso que implementações maduras acoplam OCR aos mesmos engines. Terceira - e é esta que separa implantações que funcionam de software de prateleira - a correspondência nunca foi a parte difícil. As partes difíceis são a resposta (bloquear, notificar ou registrar em silêncio?), o fluxo de trabalho que trata os alertas, e a pergunta política de qual taxa de falsos positivos o negócio vai de fato tolerar. Os instrumentos são os 20% fáceis; os fundamentos terminam onde essa conversa mais dura começa.