Что за продукт

Российский разработчик решений для управления доступом Avanpost представил новую систему DAG — продукт для контроля доступа к неструктурированным данным на файловых серверах, в облачных хранилищах и корпоративных базах знаний. Система обнаруживает конфиденциальную информацию по содержимому файлов, показывает фактические права пользователей и выявляет нарушения политик безопасности. Главная задача, которую решает DAG, разработчик формулирует предельно прикладно: выяснить, кто действительно может открыть конфиденциальные документы, даже если утверждённые регламенты рисуют куда более благополучную картину.

Почему это актуально

По оценкам отрасли, до 80% корпоративной информации хранится в неструктурированном виде — в общих папках, на сетевых дисках, в базах знаний и файлообменниках. Классические системы управления доступом (IDM/IGA) хорошо описывают права в учётных записях и бизнес-приложениях, но содержимое файловых шаров для них остаётся «слепой зоной». В результате типичной становится ситуация, когда сотрудник давно сменил должность, а доступ к папкам прежнего проекта у него сохранился, а рядом с рабочей документацией лежат выгрузки персональных данных и инструкции с паролями.

Для российских заказчиков проблема усиливается регуляторным давлением: требования по защите персональных данных и объектов критической информационной инфраструктуры подразумевают, что организация должна знать, где именно хранятся чувствительные сведения и кто имеет к ним доступ. Инструментов, которые закрывают эту задачу «из коробки» и входят в реестр отечественного ПО, на рынке по-прежнему немного — поэтому появление каждого нового продукта в нише Data Access Governance привлекает внимание.

Как это работает

  • Поиск чувствительных файлов по содержимому. Система сканирует файловые серверы, облака и базы знаний и распознаёт конфиденциальную информацию внутри документов, а не только по имени папки или формальным меткам.
  • Картина фактических прав. DAG показывает, кто реально может открыть тот или иной документ с учётом всех унаследованных разрешений и групповых политик, и сравнивает эту картину с утверждёнными регламентами, выявляя нарушения.
  • Встроенный движок бизнес-процессов. Найти лишние права — половина дела: система позволяет направить запрос владельцу данных, собрать согласования, поставить задачу ИТ-службе и проконтролировать исполнение. После корректировок повторное сканирование проверяет, что доступ действительно закрыт, — «галочка в заявке» доказательством не считается.
  • Интеграция с SIEM и SOAR. DAG отслеживает изменения прав и объектов, передаёт сведения о нарушениях в системы мониторинга и может запускать внутренние сценарии реагирования.
  • Связка с IDM. Продукт работает как самостоятельно, так и в составе экосистемы Avanpost: интеграция с IDM позволяет учитывать должность и кадровый статус сотрудника и автоматически инициировать пересмотр доступа при переводе или увольнении.
  • Две редакции под разные задачи. Вендор выпустил версию для крупных корпораций с акцентом на высокие нагрузки и версию для среднего бизнеса с упором на простоту интеграции. Заказчикам предлагают пилотное внедрение на действующей инфраструктуре.

Data Access Governance простыми словами

DAG (Data Access Governance) — это «инвентаризация и уборка» в корпоративных файлах: сначала система находит всё чувствительное — паспорта, базы клиентов, финансовые отчёты, — затем выясняет, у кого из сотрудников есть к этим данным доступ, и заставляет организацию навести порядок: лишние права отозвать, нужные — подтвердить у владельца данных, а результат — проверить повторным сканированием. В отличие от антивируса или межсетевого экрана, DAG защищает не от внешнего взлома, а от внутренних рисков: уволенных сотрудников с «забытыми» доступами, любопытных инсайдеров и утечек через общие папки.

Итог: Выход DAG продолжает формирование в России полноценного рынка решений класса Data Access Governance — ниши, которая на Западе давно стала стандартом для крупных компаний, а у нас до сих пор закрывалась самодельными скриптами и ручными проверками. Для заказчиков это шанс закрыть требования регуляторов по контролю доступа к персональным данным и снизить риск внутренних утечек без ручного перебора миллионов файлов. Практичный подход — начинать с пилота на одном-двух файловых хранилищах с наиболее чувствительной информацией и уже по его итогам масштабировать систему на всю инфраструктуру.

Читайте также: