Štítky a DLP v praxi: jeden firemní den v šesti situacích
Citlivostní štítky a DLP zní jako teorie pro IT. Tady je jejich převod do každodenního života – šest situací z běžného firemního dne, které nejspíš poznáte z vlastní kanceláře, a co se v každé z nich stane.
V předchozích dvou dílech jsme si rozebrali dvě věci: citlivostní štítky, které dokumentu řeknou, co je zač, a DLP, které pohlídá, aby se s ním nezacházelo špatně. Teorie je jasná: štítek klasifikuje, DLP vynucuje. Jenže „klasifikuje” a „vynucuje” jsou pořád abstraktní slova – a dokud si člověk nepředstaví konkrétní úterní ráno, kdy Jana z HR odesílá e-mail, zůstává to všechno tak trochu na papíře.
Tak si to úterý pojďme projít. Šest situací z běžného firemního dne, každá s jiným člověkem a jiným problémem – a v každé uvidíte, jak štítek a DLP zaberou dohromady. Žádná nová teorie, jen ta z minula v akci.
8:40 – Jana z HR a mzdová tabulka
Jana připravuje podklady pro poradu vedení a omylem přetáhne mzdovou tabulku celého oddělení do knihovny, kterou má nasdílenou celá firma. Klasická chyba na dvě vteřiny nepozornosti.
- Bez systému: tabulka tam leží. Kdokoli, kdo o té knihovně ví, si ji otevře. Nikdo si toho roky nevšimne – dokud se to neprovalí.
- Se štítky a DLP: mzdová tabulka nese štítek Přísně důvěrné (dostala ho automaticky, protože ji vytvořil někdo z HR v personální knihovně). Na ten štítek je navázané pravidlo „nesmí opustit úzký okruh HR”. DLP proto sdílení rovnou zablokuje a Janě ukáže, proč. Dokument se do firemní knihovny vůbec nedostane.
Tohle je nejtvrdší konec škály – blok. A dává tu smysl, protože mzdy jsou přesně ten obsah, u kterého je lepší jedna otravná hláška než jeden únik.
10:15 – Obchodník Petr posílá nabídku klientovi
Petr dokončil cenovou nabídku a posílá ji e-mailem klientovi. Nabídka je označená Důvěrné – je to obchodní materiál, který ven normálně nepatří. Jenže tenhle konkrétní e-mail ven jít má, je to legitimní práce.
- Špatně nastavené DLP: e-mail zablokuje, protože „Důvěrné nesmí ven”. Petr zuří, volá na IT, a příště nabídku pošle ze svého soukromého Gmailu, kam governance nedosáhne.
- Dobře nastavené DLP: místo bloku vyskočí upozornění (policy tip): „Tento dokument je Důvěrné a posíláte ho mimo firmu. Opravdu chcete pokračovat?” Petr ví, co dělá, klikne na potvrdit – a e-mail odejde. Systém si přitom zaznamenal, že odešel, kdo a kam.
Tohle je ta jemnost, o které byl celý předchozí díl. DLP nemá zastavovat práci. Má se ptát v ten správný okamžik – a nechat rozhodnout člověka.
11:30 – Smlouva, na kterou se zapomnělo
Kolega z provozu posílá dodavateli návrh smlouvy. Je v ní odstavec s rodnými čísly jednatelů. Nikdo tu smlouvu nikdy neoznačil žádným štítkem – vznikla narychlo, uložila se na plochu, teď letí ven.
- Bez systému: rodná čísla odejdou e-mailem k dodavateli. Nikdo neřešil, že jde o osobní údaje.
- Se štítky a DLP: i když dokument žádný štítek nemá, DLP umí nahlédnout dovnitř a rozpozná vzor rodného čísla. Zafunguje druhá cesta – detekce podle obsahu, ne podle štítku. Kolega dostane upozornění, že e-mail obsahuje osobní údaje, a rozmyslí si, jestli je tam nechá.
Klíčové ponaučení: štítky pokryjí to, co lidé vědomě označili. Detekce obsahu chytí to, na co se zapomnělo – a zapomíná se pořád.
14:00 – Martin si „zálohuje” práci na USB
Martin dává výpověď a den před odchodem si chce „pro jistotu” zkopírovat pár složek na USB flashku. Mezi nimi i projektové dokumenty označené Důvěrné.
- Bez systému: flashka se zasune, soubory se zkopírují, Martin odchází i s nimi. Nikdo se to nedozví.
- Se štítky a DLP: tady vstupuje do hry Endpoint DLP – ta část, která hlídá i dění mimo Microsoft, přímo na počítači. Kopírování Důvěrného obsahu na USB se zaznamená a Martin dostane upozornění (nebo se akce rovnou zablokuje, podle nastavení). IT má záznam, že se o to někdo pokusil.
Tenhle scénář ukazuje dosah, který lidi u DLP podceňují: nekončí u e-mailu a SharePointu, sahá až na koncové zařízení. (Pozor – Endpoint DLP je výbava vyšší licence, typicky E5.)
15:20 – Lucie se ptá Copilota na platy
Manažerka Lucie si otevře Copilota a napíše: „Shrň mi platové rozpětí v mém týmu.” Technicky má k některým těm dokumentům přístup, takže by jí je AI mohla poskládat do hezké tabulky během vteřiny.
- Bez systému: Copilot poslušně projde vše, na co má Lucie práva, a citlivá čísla vysype do odpovědi. Rychle a pohodlně – a úplně mimo kontrolu.
- Se štítky a DLP: mzdové dokumenty nesou štítek Přísně důvěrné (u nejcitlivějších i Bez AI). Na ten je navázané pravidlo DLP pro Copilot – „tenhle obsah se nesmí použít jako podklad pro AI odpovědi”. Copilot ho proto do odpovědi nezahrne, i když na něj Lucie právo má. Poslední pojistka, kterou samotná oprávnění neumí.
A protože AI dnes nepohání jen Copilot: každé řešení se štítky nakládá po svém. Náš EP365 AI Chat vymezuje, co AI uvidí, přes oprávnění a určený rozsah zdrojů – citlivý obsah z něj držíte tím, že ho necháte mimo rozsah nebo na něj omezíte přístup (přímé respektování štítků je směr, kterým appku rozvíjíme). Podstatné je znát odpověď na jednu otázku dřív, než AI zapnete: čím je citlivý obsah z jejího dosahu držen?
16:45 – Externí konzultant a zašifrovaný soubor
Do projektu se zapojil externí konzultant. Kolega mu omylem přepošle dokument označený Přísně důvěrné, který nese šifrování. Konzultant je mimo firmu a žádnou vaši licenci nemá.
- Obava, kterou slýcháme: „ochrana přece funguje jen pro naše lidi s licencí, ne?”
- Jak to je: ochrana putuje se souborem, ne s licencí. Šifrování a omezení jsou zapečené přímo v dokumentu – takže konzultant bez licence ho jednoduše neotevře (nebo otevře jen ke čtení, bez možnosti přeposlat dál), podle toho, jaká práva štítek uděluje. Ochrana platí i tam, kam vaše licence nedosáhla.
Tohle je nejčastější nedorozumění kolem celého tématu. Licenci potřebuje ten, kdo štítek přiděluje. Ochranu už jednou přiděleného štítku pocítí každý – kolega, dodavatel i konzultant.
Co se ve všech situacích opakuje
Šest různých lidí, šest různých problémů – a přesto se v nich pořád dokola vrací stejné čtyři principy:
- Štítek klasifikuje, DLP vynucuje. Skoro v každé situaci nejdřív rozhodl štítek („tohle je Přísně důvěrné”) a teprve pak zabralo DLP („a proto se nesmí…”). Jedno bez druhého by nefungovalo.
- Systém rozlišuje riziko od běžné práce. Janě sdílení zablokoval, Petrovi ho jen připomněl. Rozdíl mezi blokem a upozorněním je to, co odděluje ochranu, kterou lidé přijmou, od té, kterou obcházejí.
- Ochrana putuje s obsahem, ne s místem ani s licencí. Platí na USB, v e-mailu ven i u externího konzultanta bez licence.
- AI je nový scénář, ne výjimka. Copilot i jakákoli jiná AI čtou tatáž data – a štítky s DLP jsou to, čím se řídí i vůči nim.
Co si z toho odnést
Tři věty na závěr:
- Štítky a DLP nejsou dvě témata, je to jeden systém. Štítek říká co, DLP říká co s tím – a teprve dohromady dávají smysl.
- Nejlepší ochrana je ta, kterou přes den skoro nepotkáte. Zasáhne, jen když má, a jinak nechá lidi pracovat. Přesně jako v těch šesti situacích.
- Začněte u toho nejcitlivějšího. Mzdy, osobní údaje, strategické dokumenty – tam, kde by jeden únik bolel nejvíc. Zbytek se dá dobudovat postupně.
V EP365 pomáháme firmám tenhle systém postavit tak, aby fungoval přesně jako v příkladech výše – od návrhu štítků přes DLP politiky až po jejich odladění, aby chránily a nebrzdily. Nejčastěji to řešíme jako součást návrhu governance nebo auditu zabezpečení. Pokud si chcete projít, jak by těch šest situací dopadlo zrovna u vás, napište nám.
V dalším díle opustíme ochranu a podíváme se na životní cyklus obsahu: jak nastavit retenci a archivaci tak, aby vám v SharePointu nezůstávaly roky starý balast – a proč na tom záleží víc, než se zdá, právě kvůli AI.