DLP in 2026: ISO 27001 le haghaidh GDPR, NIS2 agus DORA

Tosaíonn sé le scarbhileog.

Ag 08:17 Dé Luain, easpórtálann bainisteoir ratha custaiméirí 14,000 teagmháil fiontair ón CRM chun feachtas athnuachana a ullmhú. Ag 08:24, ceanglaítear an scarbhileog le ríomhphost. Ag 08:26, seoltar an ríomhphost chuig cuntas pearsanta Gmail toisc gur mian leis an bhfostaí obair a dhéanamh le linn turais traenach. Ag 08:31, uaslódáiltear an comhad céanna chuig seirbhís neamhcheadaithe nótaí intleachta saorga chun “dúblaigh a ghlanadh”.

Ní cosúil gur sárú é fós. Níl nóta fuascailte ann, níl beacon bogearraí mailíseacha ann, níl cuntas riarthóra comhréitithe ann agus níl sceitheadh poiblí ann. Ach don Phríomhoifigeach Slándála Faisnéise (CISO), don bhainisteoir comhlíonta agus don Oifigeach Cosanta Sonraí (DPO), tá an cheist cheart tagtha chun cinn cheana féin: an féidir leis an eagraíocht a chruthú go raibh an ghluaiseacht seo ceadaithe, aicmithe, logáilte, criptithe, údaraithe agus inchúlaithe?

Tarlaíonn an cás céanna i seirbhísí airgeadais gach seachtain. Déanann forbróir iarracht Q1_Investor_Projections_DRAFT.xlsx a uaslódáil chuig tiomántán néalríomhaireachta pearsanta toisc go bhfuil an VPN mall. Easpórtálann bainisteoir díolacháin liosta custaiméirí chuig aip comhoibrithe tomhaltóra. Greamaíonn anailísí tacaíochta taifid chustaiméirí isteach in uirlis intleachta saorga neamhcheadaithe. I ngach cás, b’fhéidir gur áisiúlacht seachas mailís atá i gceist, ach is ionann an riosca. Tá sonraí íogaire tar éis teorainn nach rialaíonn an eagraíocht a thrasnú, nó beagnach a thrasnú.

Sin í fadhb nua-aimseartha an Chosc ar Chaillteanas Sonraí. Ní riail gheata ríomhphoist ná gníomhaire críochphointe amháin é DLP a thuilleadh. In 2026, is córas rialaithe faoi rialachas agus tacaithe le fianaise é cosc éifeachtach ar chaillteanas sonraí thar SaaS, néalstóráil, críochphointí, gléasanna soghluaiste, soláthraithe, APIanna, timpeallachtaí forbartha, easpórtálacha cúltaca, uirlisí comhoibrithe agus aicearraí daonna.

Éilíonn GDPR Article 32 rialuithe teicniúla agus eagraíochtúla iomchuí le haghaidh slándáil próiseála. Éilíonn NIS2 Article 21 bearta cibearshlándála bunaithe ar riosca, lena n-áirítear sláinteachas cibear, rialú rochtana, bainistíocht sócmhainní, slándáil slabhra soláthair, láimhseáil teagmhas, criptiú agus tástáil éifeachtachta. Éilíonn DORA ar eintitis airgeadais riosca TFC a bhainistiú trí rialachas, brath, freagairt, téarnamh, tástáil, maoirseacht ar thríú páirtithe agus iniúchthacht. Soláthraíonn ISO/IEC 27001:2022 cnámh droma an chórais bainistíochta chun na hoibleagáidí sin a dhéanamh oibríochtúil, intomhaiste agus in-iniúchta.

Is é an botún a dhéanann go leor eagraíochtaí ná uirlis DLP a cheannach sula sainmhíníonn siad cad is brí le “caillteanas”. Tosaíonn cur chuige Clarysec níos luaithe: aicmigh na sonraí, sainigh aistrithe ceadaithe, cuir an beartas chun feidhme, déan faireachán ar eisceachtaí, ullmhaigh fianaise freagartha agus nasc gach rud leis an ISMS.

Mar a deir Zenith Blueprint: Treochlár 30 Céim an Iniúchóra sa chéim Rialuithe i bhFeidhm, Céim 19, Rialuithe Teicneolaíochta I:

Is é atá i gceist le Cosc ar Sceitheadh Sonraí ná scaoileadh neamhúdaraithe nó de thaisme faisnéise íogaire a stopadh, cibé acu a shleamhnaíonn sí amach trí ríomhphost, uaslódálacha néalríomhaireachta, meáin iniompartha, nó fiú asphrionta a ndearnadh dearmad air. Tugann Control 8.12 aghaidh ar an ngá atá le faireachán a dhéanamh ar aon sonraí a fhágann teorainneacha iontaofa na heagraíochta, iad a shrianadh agus freagairt dóibh, is cuma cé acu atá siad digiteach, fisiciúil nó tiomáinte ag daoine. Zenith Blueprint

Is í an abairt sin croílár DLP in 2026: faireachán, srianadh agus freagairt.

Cén fáth a bhfuil DLP anois ina shaincheist comhlíonta ar leibhéal an bhoird

De ghnáth, ní fhiafraíonn an bord an mbraitheann regex DLP uimhreacha aitheantais náisiúnta. Fiafraíonn sé an féidir leis an eagraíocht muinín custaiméirí a chosaint, leanúint den oibriú, nochtadh rialála a sheachaint agus slándáil réasúnach a chruthú nuair a théann rud éigin mícheart.

Is ansin a thagann GDPR, NIS2 agus DORA le chéile.

Baineann GDPR go forleathan le próiseáil uathoibrithe sonraí pearsanta, lena n-áirítear rialaitheoirí agus próiseálaithe atá bunaithe san AE, agus eagraíochtaí lasmuigh den AE a thairgeann earraí nó seirbhísí do dhaoine san AE nó a dhéanann faireachán ar a n-iompar. Sainmhíníonn sé sonraí pearsanta go leathan agus clúdaíonn sé oibríochtaí amhail bailiú, stóráil, úsáid, nochtadh, léirscrios agus scriosadh. Féadfaidh nochtadh neamhúdaraithe sonraí pearsanta, nó rochtain neamhúdaraithe orthu, a bheith ina shárú sonraí pearsanta. Déanann GDPR Article 5 cuntasacht follasach freisin: ní mór d’eagraíochtaí ní hamháin cloí le prionsabail amhail íoslaghdú sonraí, teorannú stórála, sláine agus rúndacht, ach a bheith in ann an comhlíonadh sin a léiriú.

Leathnaíonn NIS2 an brú thar phríobháideachas. Baineann sé le go leor eintiteas riachtanach agus tábhachtach, lena n-áirítear earnálacha amhail baincéireacht, bonneagair mhargaí airgeadais, soláthraithe seirbhísí néalríomhaireachta, soláthraithe ionad sonraí, soláthraithe seirbhísí bainistithe, soláthraithe seirbhísí slándála bainistithe, margaí ar líne, innill chuardaigh agus ardáin líonraithe shóisialta. Éilíonn Article 21 bearta teicniúla, oibríochtúla agus eagraíochtúla iomchuí agus comhréireacha, lena n-áirítear anailís riosca, beartais slándála córas faisnéise, láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, forbairt shlán, tástáil éifeachtachta, sláinteachas cibear, oiliúint, cripteagrafaíocht, rialú rochtana, bainistíocht sócmhainní agus fíordheimhniú.

Tá feidhm ag DORA ón 17 Eanáir 2025 agus feidhmíonn sé mar rialachán tiomnaithe athléimneachta TFC na hearnála airgeadais. I gcás eintitis airgeadais atá laistigh den raon feidhme, caitear leis mar an gníomh dlíthiúil earnáilsonrach de chuid an Aontais chun críocha forluiteacha NIS2. Tugann DORA DLP isteach i mbainistíocht riosca TFC, aicmiú teagmhas, caillteanas sonraí a théann i bhfeidhm ar infhaighteacht, barántúlacht, sláine nó rúndacht, tástáil athléimneachta oibríochtúla digití, bainistíocht tríú páirtithe TFC agus rialuithe conarthacha.

Ní hí ceist DLP 2026 ná “An bhfuil uirlis againn?” Is í:

1. An bhfuil a fhios againn cén fhaisnéis atá íogair?
2. An bhfuil a fhios againn cá stóráiltear, cá bpróiseáiltear agus cá n-aistrítear í?
3. An bhfuil bealaí aistrithe ceadaithe agus toirmiscthe sainithe?
4. An bhfuil úsáideoirí oilte agus srianta go teicniúil?
5. An bhfuil bealaí néalríomhaireachta agus SaaS faoi rialachas?
6. An leor na logaí don imscrúdú?
7. An ndéantar foláirimh a thriáisiú agus teagmhais a aicmiú go tapa?
8. An bhfuil soláthraithe agus seirbhísí TFC seachfhoinsithe faoi cheangal conarthach?
9. An féidir linn a chruthú go bhfuil na rialuithe ag feidhmiú?

Tá ISO/IEC 27001:2022 oiriúnach go maith chun na ceisteanna sin a fhreagairt toisc go n-éilíonn sé comhthéacs, ceanglais páirtithe leasmhara, measúnú riosca, cóireáil riosca, cuspóirí intomhaiste, rialú oibríochtúil, fianaise dhoiciméadaithe, rialú soláthraithe, iniúchadh inmheánach, athbhreithniú bainistíochta agus feabhsú leanúnach. Ní caighdeán DLP é, ach athraíonn sé DLP ó chumraíocht teicneolaíochta leithlisithe go próiseas rialaithe córais bainistíochta.

Slabhra rialuithe ISO 27001 atá taobh thiar de DLP éifeachtach

Ní thógtar clár DLP inchreidte ar rialú amháin. Tógtar é ar shlabhra.

Mapálann Zenith Controls: An Treoir Thraschomhlíonta de chuid Clarysec rialú ISO/IEC 27002:2022 8.12, Cosc ar sceitheadh sonraí, mar rialú coisctheach agus braite atá dírithe ar rúndacht, ailínithe le coincheapa cibearshlándála Protect agus Detect, agus cosaint faisnéise mar chumas oibríochtúil agus cosaint mar fhearann slándála. Zenith Controls

Tá tábhacht leis sin toisc go mbíonn iniúchóirí ag súil le blocáil agus infheictheacht araon. Tá riail DLP choisctheach gan athbhreithniú foláirimh neamhiomlán. Tá cur chuige logála amháin gan cur chun feidhme i leith aistrithe ardriosca lag freisin.

Mapálann an treoir chéanna rialú ISO/IEC 27002:2022 5.12, Aicmiú faisnéise, mar rialú coisctheach a thacaíonn le rúndacht, sláine agus infhaighteacht, agus atá ailínithe le Identify. Mapálann sí rialú 5.14, Aistriú faisnéise, mar rialú coisctheach a thacaíonn le rúndacht, sláine agus infhaighteacht, agus atá ailínithe le Protect, bainistíocht sócmhainní agus cosaint faisnéise.

I dtéarmaí praiticiúla, seo mar a bhreathnaíonn slabhra rialuithe DLP:

Míníonn Zenith Blueprint, Céim 22, an spleáchas idir fardal sócmhainní, aicmiú agus DLP:

Déan athbhreithniú ar do Fhardal Sócmhainní reatha (5.9) chun a chinntiú go n-áirítear ann sócmhainní fisiciúla agus loighciúla, úinéirí agus aicmithe araon. Nasc an fardal seo le do scéim aicmithe (5.12), agus cinntigh go bhfuil sócmhainní íogaire lipéadaithe agus cosanta go cuí. Más gá, sainmhínigh coinneáil, cúltaca nó leithlisiú bunaithe ar aicmiú.

Sin é an fáth nach dtosaíonn Clarysec rannpháirtíocht DLP de ghnáth trí rialacha a thiúnadh. Tosaímid trí shócmhainní, úinéirí, cineálacha sonraí, lipéid aicmithe, bealaí aistrithe agus taifid fianaise a réiteach. Mura féidir leis an eagraíocht a rá cé na tacair sonraí atá rúnda, rialáilte, faoi úinéireacht custaiméara, bainteach le híocaíochtaí nó criticiúil don ghnó, ní féidir le huirlis DLP ach buille faoi thuairim a thabhairt.

Trí cholún clár DLP nua-aimseartha

Seasann clár DLP nua-aimseartha ar thrí cholún a neartaíonn a chéile: bíodh eolas agat ar na sonraí, rialaigh an sreabhadh agus cosain an teorainn. Déanann na colúin seo ISO/IEC 27001:2022 praiticiúil do chomhlíonadh GDPR, NIS2 agus DORA.

Colún 1: bíodh eolas agat ar do shonraí le haicmiú agus lipéadú

Ní féidir leat rud nach dtuigeann tú a chosaint. Éilíonn rialuithe ISO/IEC 27002:2022 5.12 agus 5.13 ar eagraíochtaí faisnéis a aicmiú agus a lipéadú de réir íogaireachta agus ceanglas láimhseála. Ní cleachtadh páipéarachais é seo. Is é an bonn é don chur chun feidhme uathoibrithe.

I gcás FGBManna, deir an Beartas Aicmithe agus Lipéadaithe Sonraí:

Rúnda: Éilítear criptiú sonraí faoi tharchur agus ar fos, rochtain shrianta, formheas follasach le haghaidh comhroinnte, agus scriosadh slán ar dhiúscairt. Beartas Aicmithe agus Lipéadaithe Sonraí - SME

Tugann an sliocht seo, ó rannán “Ceanglais chun an beartas a chur chun feidhme,” clásal 6.3.3, ceithre choinníoll inchurtha i bhfeidhm don chlár DLP: criptiú, rochtain shrianta, formheas comhroinnte agus diúscairt shlán.

I dtimpeallachtaí fiontair, tá an Beartas Aicmithe agus Lipéadaithe Sonraí níos dírí fós. Ó rannán “Ceanglais chun an beartas a chur chun feidhme,” clásal 6.2.6.2:

Tarchur a bhlocáil (m.sh., ríomhphost seachtrach) i gcás sonraí íogaire atá lipéadaithe go míchuí Beartas Aicmithe agus Lipéadaithe Sonraí

Agus ó rannán “Cur chun feidhme agus comhlíonadh,” clásal 8.3.2:

Bailíochtú uathoibrithe aicmithe trí úsáid a bhaint as Cosc ar Chaillteanas Sonraí (DLP) agus uirlisí aimsithe

Tiontaíonn na clásail seo aicmiú ina rialú. Féadfaidh comhad atá marcáilte Rúnda criptiú a spreagadh, tarchur seachtrach a bhlocáil, formheas a éileamh nó foláireamh slándála a ghiniúint. Ansin éiríonn DLP mar chiseal cur chun feidhme do bheartas is féidir le húsáideoirí, córais agus iniúchóirí a thuiscint.

Colún 2: rialaigh an sreabhadh le haistriú slán faisnéise

Nuair atá sonraí aicmithe, ní mór don eagraíocht rialú a dhéanamh ar an gcaoi a mbogann siad. Is minic a dhéantar neamhaird de rialú ISO/IEC 27002:2022 5.14, Aistriú faisnéise, ach is ann a thosaíonn go leor teipeanna DLP.

Cuireann Zenith Blueprint rialú 5.14 i láthair mar an gá le sreabhadh faisnéise a rialú ionas go mbeidh aistriú slán, d’aon ghnó agus comhsheasmhach le haicmiú agus le cuspóir gnó. Baineann sé seo le ríomhphost, comhroinnt slán comhad, APIanna, comhtháthuithe SaaS, meáin inbhainte, tuarascálacha clóite agus tairseacha soláthraithe.

Déanann cianobair é seo thar a bheith tábhachtach. Éilíonn an Beartas Cianoibre, rannán “Ceanglais chun an beartas a chur chun feidhme,” clásal 6.3.1.3, ar fhostaithe:

Ná húsáid ach réitigh chomhroinnte comhad cheadaithe (m.sh., M365, Google Workspace le rialuithe cosanta ar chaillteanas sonraí (DLP)) Beartas Cianoibre

Maidir le gléasanna soghluaiste agus BYOD, soláthraíonn an Beartas maidir le Gléasanna Soghluaiste agus BYOD, rannán “Ceanglais chun an beartas a chur chun feidhme,” clásal 6.6.4, cur chun feidhme críochphointe nithiúil:

Ní mór do bheartais um Chosc ar Chaillteanas Sonraí (DLP) uaslódálacha neamhúdaraithe, gabhálacha scáileáin, rochtain ghearrthaisce, nó comhroinnt sonraí ó aipeanna bainistithe chuig limistéir phearsanta a bhlocáil. Beartas maidir le Gléasanna Soghluaiste agus BYOD

Tá tábhacht leis seo toisc nach bhfágann sonraí trí ríomhphost amháin. Fágann siad trí ghrianghraif scáileáin, sioncrónú gearrthaisce, próifílí brabhsálaí neamhbhainistithe, tiomántáin phearsanta, bileoga comhroinnte soghluaiste, breiseáin chomhoibrithe agus uirlisí intleachta saorga.

Tá rialachas néalríomhaireachta chomh tábhachtach céanna. Sa Bheartas maidir le hÚsáid Néalríomhaireachta do FGBManna, rannán “Ceanglais rialachais,” clásal 5.5:

Ní mór TF scátha, a shainmhínítear mar úsáid uirlisí néalríomhaireachta neamhcheadaithe, a láimhseáil mar shárú beartais agus é a athbhreithniú ag an mBainisteoir Ginearálta agus ag an soláthraí TF chun riosca agus leigheas riachtanach a chinneadh. Beartas maidir le hÚsáid Néalríomhaireachta - SME

I gcás eagraíochtaí fiontair, ardaíonn an Beartas maidir le hÚsáid Néalríomhaireachta, rannán “Ceanglais rialachais,” clásal 5.5, an caighdeán faireacháin:

Ní mór don Fhoireann Slándála Faisnéise trácht líonra, gníomhaíocht DNS agus logaí a mheas go rialta chun úsáid neamhúdaraithe néalríomhaireachta (TF scátha) a bhrath. Ní mór sáruithe braite a imscrúdú go pras. Beartas maidir le hÚsáid Néalríomhaireachta

Ní núis TF amháin é TF scátha. Faoi GDPR, d’fhéadfadh sé a bheith ina nochtadh neamhdhleathach nó ina phróiseáil neamh-rialaithe. Faoi NIS2, is laige sláinteachais cibear agus slabhra soláthair é. Faoi DORA, d’fhéadfadh sé a bheith ina riosca tríú páirtí TFC agus ina shaincheist aicmithe teagmhais.

Colún 3: cosain an teorainn le teicneolaíocht, beartas agus feasacht DLP

Is é rialú ISO/IEC 27002:2022 8.12, Cosc ar sceitheadh sonraí, an rialú a cheanglaíonn formhór na ndaoine le DLP. Ach i gclár aibí, is é an líne chosanta dheireanach é, ní an chéad cheann.

Míníonn Zenith Blueprint go dteastaíonn cur chuige trí shraith ó DLP: teicneolaíocht, beartas agus feasacht. Áirítear le teicneolaíocht DLP críochphointe, slándáil ríomhphoist, cigireacht inneachair, slándáil rochtana néalríomhaireachta, rialuithe SaaS, rialuithe brabhsálaí, scagadh tráchta amach ón líonra agus ródú foláirimh. Sainmhíníonn beartas cad a chuireann na huirlisí chun feidhme. Cinntíonn feasacht go dtuigeann fostaithe cén fáth nach modhanna láimhseála inghlactha iad ríomhphost pearsanta, néalstóráil tomhaltóra agus uirlisí intleachta saorga neamhcheadaithe d’fhaisnéis rialáilte nó rúnda.

Tá an chomhpháirt freagartha chomh tábhachtach céanna leis an gcosc. Deir Zenith Blueprint, Céim 19:

Ach ní cosc amháin atá i DLP; is freagairt atá ann freisin. Má bhraitear sceitheadh féideartha:

✓ Ní mór foláirimh a thriáisiú go tapa, ✓ Ní mór don logáil tacú le hanailís fhóiréinseach, ✓ Ní mór an plean freagartha do theagmhais a spreagadh gan mhoill.

Níl clár DLP a bhlocálann imeachtaí ach nach ndéanann triáis, imscrúdú ná foghlaim uathu réidh don iniúchadh. Níl sé ach imlonnaithe go páirteach.

Ó sceitheadh scarbhileoige go freagairt atá réidh don iniúchadh

Fillimis ar an scarbhileog maidin Dé Luain.

I gclár lag, aimsíonn an eagraíocht an t-uaslódáil trí seachtaine ina dhiaidh sin le linn athbhreithniú príobháideachais. Níl a fhios ag aon duine cé a d’fhaomh an t-easpórtáil, cibé acu ba shonraí pearsanta iad na sonraí, cibé acu a bhí sonraí catagóire speisialta i gceist, cibé acu a choinnigh an uirlis intleachta saorga an comhad, nó cibé acu nach mór custaiméirí a chur ar an eolas.

I gclár deartha ag Clarysec, tá cuma dhifriúil ar an seicheamh.

Ar dtús, clibeáiltear easpórtáil CRM mar Rúnda toisc go bhfuil sonraí pearsanta agus faisnéis tráchtála custaiméirí inti. Ar an dara dul síos, logáiltear an t-imeacht easpórtála. Ar an tríú dul síos, braitheann an geata ríomhphoist ceangaltán rúnda atá ag dul chuig fearann ríomhphoist pearsanta agus blocálann sé é mura bhfuil eisceacht formheasta ann. Ar an gceathrú dul síos, spreagann an iarracht uaslódála chuig seirbhís néalríomhaireachta neamhcheadaithe foláireamh úsáide néalríomhaireachta. Ar an gcúigiú dul síos, triáisítear an foláireamh de réir an nós imeachta freagartha do theagmhais. Ar an séú dul síos, cinneann an fhoireann slándála cibé acu a tharla nochtadh iarbhír, cibé acu a bhí na sonraí criptithe, cibé acu a phróiseáil nó a choinnigh an soláthraí iad, cibé acu a chomhlíontar critéir sáraithe GDPR, agus cibé acu a bhaineann tairseacha teagmhais NIS2 nó DORA.

Insíonn an Beartas Logála agus Faireacháin do FGBManna, rannán “Ceanglais rialachais,” clásal 5.4.3, don fhoireann go díreach cad ba cheart a bheith infheicthe:

Logaí rochtana: rochtain ar chomhaid (go háirithe i gcás sonraí íogaire nó pearsanta), athruithe ceadanna, úsáid acmhainní comhroinnte Beartas Logála agus Faireacháin - SME

Tá an clásal sin beag ach cinniúnach. Mura logáiltear rochtain ar chomhaid, athruithe ceadanna agus úsáid acmhainní comhroinnte, éiríonn imscrúdú DLP ina bhuille faoi thuairim.

Faoi NIS2 Article 23, éilíonn teagmhais shuntasacha tuairisciú céimnithe: réamhrabhadh laistigh de 24 uair an chloig ón tráth a dtagann sé ar eolas, fógra teagmhais laistigh de 72 uair an chloig, agus tuarascáil dheiridh tráth nach déanaí ná mí amháin tar éis an fhógra teagmhais. Faoi DORA, éilíonn Articles 17 go 19 ar eintitis airgeadais teagmhais mhóra a bhaineann le TFC a bhrath, a bhainistiú, a aicmiú, a thaifeadadh, a uaschéimniú agus a thuairisciú. Áirítear san aicmiú caillteanas sonraí a théann i bhfeidhm ar infhaighteacht, barántúlacht, sláine nó rúndacht, in éineacht le cliaint lena mbaineann, fad, leathadh geografach, criticiúlacht agus tionchar eacnamaíoch. Faoi GDPR, d’fhéadfadh measúnú sáraithe a bheith ag teastáil ó nochtadh neamhúdaraithe sonraí pearsanta agus, nuair a chomhlíontar tairseacha, fógra.

Dá bhrí sin, ní imeacht slándála amháin é foláireamh DLP. Féadfaidh sé a bheith ina mheasúnú ar shárú príobháideachais, ina shreabhadh oibre teagmhais NIS2, ina aicmiú teagmhais TFC DORA, ina spreagadh fógra custaiméara agus ina phacáiste fianaise iniúchta.

Rialuithe DLP le haghaidh GDPR Article 32

Is minic a aistrítear GDPR Article 32 ina liosta beart: criptiú, rúndacht, sláine, infhaighteacht, athléimneacht, tástáil agus athshlánú. Maidir le DLP, is í cosaint saolré an eochair.

Bogann sonraí pearsanta trí bhailiú, stóráil, úsáid, aistriú, nochtadh, coinneáil agus scriosadh. Éilíonn GDPR Article 5 íoslaghdú sonraí, teorannú cuspóra, teorannú stórála, sláine, rúndacht agus cuntasacht. Éilíonn GDPR Article 6 bonn dlíthiúil agus comhoiriúnacht cuspóra. Éilíonn GDPR Article 9 coimircí níos déine do chatagóirí speisialta sonraí pearsanta.

Tacaíonn DLP leis na hoibleagáidí seo nuair atá sé nasctha le haicmiú sonraí, taifid phróiseála dhleathaí agus bealaí aistrithe ceadaithe.

Tacaíonn Beartas maidir le Mascadh Sonraí agus Bréagainmniú do FGBManna de chuid Clarysec, rannán “Cuspóir,” clásal 1.2, leis an gcur chuige saolré seo:

Tá na teicnící seo éigeantach nuair nach bhfuil sonraí beo ag teastáil, lena n-áirítear i gcásanna forbartha, anailísíochta agus seirbhísí tríú páirtí, chun an riosca nochta, mí-úsáide nó sáraithe a laghdú. Beartas maidir le Mascadh Sonraí agus Bréagainmniú - SME

Is rialú praiticiúil GDPR Article 32 é seo. Mura bhfuil sonraí pearsanta beo ag teastáil ó fhorbróirí, anailísithe nó soláthraithe, níor cheart gurb é DLP an t-aon bhac. Laghdaíonn mascadh agus bréagainmniú an raon tionchair sula mbogann sonraí ar chor ar bith.

Ba cheart do mhaitrís DLP láidir atá ailínithe le príobháideachas cineálacha sonraí pearsanta a mhapáil chuig lipéid aicmithe, bonn dlíthiúil, córais cheadaithe, modhanna easpórtála ceadaithe, ceanglais chriptithe, rialacha DLP, rialacha coinneála agus spreagthaí teagmhais. Éiríonn an mhaitrís sin mar an droichead idir rialachas príobháideachais agus oibríochtaí slándála.

Sláinteachas cibear NIS2 agus DLP lasmuigh den fhoireann phríobháideachais

Athraíonn NIS2 an comhrá DLP toisc go gcuireann sé sceitheadh i láthair mar chuid de shláinteachas cibear agus athléimneacht, ní mar phríobháideachas amháin.

Éilíonn Article 20 ar chomhlachtaí bainistíochta eintiteas riachtanach agus tábhachtach bearta bainistíochta riosca cibearshlándála a fhormheas, maoirseacht a dhéanamh ar chur chun feidhme agus oiliúint cibearshlándála a fháil. Éilíonn Article 21 bearta iomchuí agus comhréireacha thar bheartas, láimhseáil teagmhas, leanúnachas, slabhra soláthair, forbairt shlán, tástáil éifeachtachta, sláinteachas cibear, oiliúint, cripteagrafaíocht, slándáil AD, rialú rochtana agus bainistíocht sócmhainní. Spreagann Article 25 úsáid caighdeán Eorpach agus idirnáisiúnta ábhartha agus sonraíochtaí teicniúla.

Cuireann DLP go díreach leis na réimsí seo:

Déanann an Beartas Slándála Líonra do FGBManna, rannán “Cuspóirí,” clásal 3.4, cuspóir an eis-scaoilte follasach:

Cosc a chur ar leathadh bogearraí mailíseacha agus ar eis-scaoileadh sonraí trí chainéil líonra Beartas Slándála Líonra - SME

Do NIS2, tugann an cineál cuspóra seo conair tástála dhíreach d’iniúchóirí: taispeáin scagadh tráchta amach, faireachán DNS, logaí seachfhreastalaí, foláirimh críochphointe, iarrachtaí uaslódála blocáilte agus ticéid imscrúdaithe.

Cuireann Zenith Blueprint, Céim 23, gníomh néalríomhaireachta sonrach leis atá riachtanach anois do sholáthraithe digiteacha agus TFC atá clúdaithe ag NIS2:

Liostaigh gach seirbhís néalríomhaireachta atá in úsáid faoi láthair (5.23), lena n-áirítear TF scátha nuair atá sé ar eolas. Sainaithin cé a d’fhaomh iad agus cibé acu a rinneadh dícheall cuí. Forbair seicliosta éadrom meastóireachta a chlúdaíonn suíomh sonraí, samhail rochtana, logáil agus criptiú. I gcás seirbhísí amach anseo, cinntigh go bhfuil an seicliosta comhtháite sa phróiseas soláthair nó ionduchtaithe TF.

Teipeann ar go leor eagraíochtaí anseo. Tá raon feidhme ISMS agus clár soláthraithe acu, ach níl liosta fíor acu d’uirlisí SaaS ina mbogann fostaithe sonraí rialáilte nó sonraí custaiméirí. Tá DLP gan fhionnachtain néalríomhaireachta dall.

Riosca TFC DORA: DLP d’eintitis airgeadais agus do sholáthraithe

I gcás eintitis airgeadais, ní mór do DLP luí isteach i gcreat bainistíochta riosca TFC DORA.

Éilíonn DORA Article 5 creat inmheánach rialachais agus rialaithe do bhainistíocht riosca TFC. Fanann an comhlacht bainistíochta freagrach as riosca TFC, beartais a chaomhnaíonn infhaighteacht, barántúlacht, sláine agus rúndacht sonraí, róil shoiléire TFC, straitéis athléimneachta oibríochtúla digití, lamháltas riosca TFC, pleananna leanúnachais agus freagartha/téarnaimh, pleananna iniúchta, acmhainní, beartas tríú páirtí agus bealaí tuairiscithe.

Éilíonn Article 6 creat doiciméadaithe bainistíochta riosca TFC a chlúdaíonn straitéisí, beartais, nósanna imeachta, prótacail TFC agus uirlisí chun faisnéis agus sócmhainní TFC a chosaint. Tugann Article 9 aghaidh ar chosaint agus cosc. Cuireann Articles 11 go 14 leanúnachas, freagairt, téarnamh, cúltaca, athshlánú, seiceálacha sláine sonraí, ceachtanna foghlamtha, oiliúint feasachta agus cumarsáidí géarchéime leis.

Luíonn DLP isteach sa chreat sin mar chumas cosanta, braite, freagartha agus tástála.

Déanann DORA riosca tríú páirtí dosheachanta freisin. Éilíonn Articles 28 go 30 bainistíocht riosca tríú páirtí TFC, cláir conarthaí seirbhíse TFC, dícheall cuí réamhchonartha, ceanglais chonarthacha, cearta iniúchta agus cigireachta, cearta foirceanta, straitéisí scoir, tuairiscí seirbhíse, suíomhanna próiseála agus stórála sonraí, rochtain ar shonraí, téarnamh agus filleadh, cúnamh teagmhais, comhar leis na húdaráis, bearta slándála agus coinníollacha fochonraitheoireachta.

I gcás fintech nó bainc, ní féidir le DLP stopadh ag teorainn Microsoft 365 nó Google Workspace. Ní mór dó próiseálaithe íocaíochta, soláthraithe fíoraithe aitheantais, ardáin CRM, stórais sonraí, bonneagar néalríomhaireachta, deasca tacaíochta seachfhoinsithe, soláthraithe seirbhísí bainistithe agus comhtháthuithe criticiúla SaaS a chlúdach.

Tá sé seo thar a bheith tábhachtach nuair a fheidhmíonn DORA mar ghníomh dlíthiúil earnáilsonrach an Aontais d’oibleagáidí forluiteacha NIS2. Ní mór na rialuithe a bheith ann fós. D’fhéadfadh an bealach tuairiscithe agus maoirseachta a bheith éagsúil.

Sprint rialaithe DLP 90 nóiméad

Úsáideann Clarysec sprint praiticiúil le cliaint a dteastaíonn dul chun cinn tapa uathu gan ligean orthu gur féidir clár DLP iomlán a thógáil in aon chruinniú amháin. Is é an cuspóir rialú DLP ardluacha amháin a chur chun feidhme ón mbeartas go dtí an fhianaise.

Céim 1: roghnaigh cineál sonraí amháin agus bealach aistrithe amháin

Roghnaigh “sonraí pearsanta custaiméirí easpórtáilte ó CRM agus seolta go seachtrach trí ríomhphost.” Ná tosaigh le gach stór, tír agus cineál sonraí.

Céim 2: deimhnigh an t-aicmiú agus an lipéad

Úsáid an beartas aicmithe chun a dheimhniú go bhfuil an t-easpórtáil seo Rúnda. I FGBM, éilíonn clásal 6.3.3 criptiú, rochtain shrianta, formheas follasach le haghaidh comhroinnte agus scriosadh slán. I bhfiontar, tacaíonn an Beartas Aicmithe agus Lipéadaithe Sonraí le tarchur a bhlocáil i gcás sonraí íogaire atá lipéadaithe go míchuí agus le bailíochtú uathoibrithe trí DLP agus uirlisí aimsithe.

Céim 3: sainigh an patrún aistrithe ceadaithe

Ceadaithe: easpórtáil CRM a sheoladh chuig fearann custaiméara ceadaithe trí ríomhphost criptithe nó ardán comhroinnte comhad slán ceadaithe, le húdar gnó.

Neamhcheadaithe: ríomhphost pearsanta, naisc phoiblí chomhroinnte comhad, uirlisí intleachta saorga neamhcheadaithe agus tiomántáin néalríomhaireachta neamhbhainistithe.

Tá sé seo ailínithe le Zenith Blueprint, Céim 22, a deir:

Mura gceadaítear d’fhaisnéis “Rúnda” an chuideachta a fhágáil gan criptiú, ní mór do chórais ríomhphoist beartais chriptithe a chur chun feidhme nó tarchur seachtrach a bhlocáil.

Céim 4: cumraigh an riail íosta DLP

Cumraigh an t-ardán ríomhphoist nó comhoibrithe chun an lipéad rúnda, patrún sonraí pearsanta nó coinbhinsiún ainmniúcháin comhaid easpórtála a bhrath. Tosaigh le faireachán má táthar ag súil le dearfacha bréagacha, ansin bog go blocáil d’fhearainn phearsanta agus d’fhaighteoirí neamhcheadaithe.

Céim 5: cumasaigh logáil agus ródú foláirimh

Cinntigh go ngabhann logaí rochtain ar chomhaid, athruithe ceadanna agus úsáid acmhainní comhroinnte, mar a éilíonn an Beartas Logála agus Faireacháin - SME. Ródaigh foláirimh chuig an scuaine ticéadaithe le déine, cineál sonraí, seoltóir, faighteoir, ainm comhaid, gníomh déanta agus athbhreithneoir.

Céim 6: tástáil trí chás

Tástáil aistriú criptithe ceadaithe chuig custaiméir, aistriú ríomhphoist phearsanta blocáilte agus iarracht uaslódála foláireamh-amháin chuig fearann néalríomhaireachta neamhcheadaithe.

Céim 7: coinnigh an fhianaise

Sábháil tagairt clásail beartais, gabháil scáileáin den riail DLP, torthaí tástála, ticéad foláirimh, cinneadh athbhreithneora agus formheas bainistíochta. Cuir an rialú leis an bplean cóireála riosca agus leis an Ráiteas Infheidhmeachta.

I dtéarmaí ISO/IEC 27001:2022, nascann an cleachtadh seo Clause 6.1.2 measúnú riosca, Clause 6.1.3 cóireáil riosca, Clause 8 pleanáil agus rialú oibríochtúil, Annex A aistriú faisnéise, cosc ar sceitheadh sonraí, logáil, faireachán, rialuithe soláthraithe agus néalríomhaireachta, agus Clause 9 meastóireacht feidhmíochta.

Mapáil traschomhlíonta: clár DLP amháin, oibleagáidí iolracha

Is é láidreacht chur chuige Clarysec ná go seachnaíonn sé cruacha rialaithe ar leith a thógáil do GDPR, NIS2, DORA, NIST agus COBIT. Is féidir le clár DLP atá deartha go maith ionchais iolracha a chomhlíonadh má struchtúraítear fianaise i gceart.

Tá NIST CSF 2.0 úsáideach mar chiseal cumarsáide. Tacaíonn a fheidhm GOVERN le rianú ceanglas dlíthiúil, rialála agus conarthach, goile riosca, cur chun feidhme beartais, róil agus maoirseacht. Cuidíonn a mhodh Próifílí le heagraíochtaí staid reatha agus sprioc-staid a raonú, bearnaí a dhoiciméadú agus plean gníomhaíochta a chur chun feidhme. Tacaíonn a fheidhmeanna RESPOND agus RECOVER le srianadh teagmhas DLP, anailís bunchúise, caomhnú fianaise agus athshlánú.

Cuireann COBIT 2019 lionsa rialachais leis. Fiafróidh iniúchóir atá dírithe ar COBIT cibé acu atá cuspóirí DLP ailínithe le spriocanna fiontair, cibé acu atá úinéireacht soiléir, cibé acu atá táscairí feidhmíochta ann, cibé acu atá goile riosca sainithe agus cibé acu a fhaigheann an bhainistíocht tuairisciú bríoch.

Conas a dhéanfaidh iniúchóirí do chlár DLP a thástáil

Is annamh a bhaineann iniúchtaí DLP le gabháil scáileáin amháin. Cruthaíonn cúlraí éagsúla iniúchta ionchais éagsúla fianaise.

Áirítear i bpacáiste iniúchta DLP láidir ráiteas raoin feidhme agus riosca, scéim aicmithe, modhanna aistrithe ceadaithe, rialacha DLP, formheasanna eisceachta, dearadh logála, nós imeachta triáise foláirimh, crann cinntí tuairiscithe teagmhais, fardal soláthraithe agus néalríomhaireachta, torthaí tástála agus taifid leigheas.

Teipeanna coitianta DLP in 2026

Is teipeanna oibríochtúla iad na teipeanna DLP is coitianta, ní cinn choimhthíocha.

Ar dtús, tá aicmiú roghnach nó neamh-chomhsheasmhach. Tá lipéid ann sa bheartas, ach ní chuireann úsáideoirí i bhfeidhm iad, ní chuireann córais i bhfeidhm iad agus tá blianta de chomhaid íogaire gan lipéad i stórtha.

Ar an dara dul síos, imscartar DLP i mód foláireamh-amháin go deo. Tá foláireamh-amháin úsáideach le linn tiúnadh, ach ba cheart aistriú ardriosca sonraí rúnda custaiméirí chuig ríomhphost pearsanta a bhlocáil faoi dheireadh mura bhfuil eisceacht formheasta ann.

Ar an tríú dul síos, láimhseáiltear TF scátha mar núis TF seachas mar riosca cosanta sonraí. Tá an Beartas maidir le hÚsáid Néalríomhaireachta agus an Beartas maidir le hÚsáid Néalríomhaireachta do FGBManna deartha chun uirlisí néalríomhaireachta neamhcheadaithe a dhéanamh infheicthe, in-athbhreithnithe agus inleigheasta.

Ar an gceathrú dul síos, ní leor na logaí don imscrúdú. Mura féidir leis an bhfoireann slándála a athchruthú cé a rochtain, a chomhroinn, a d’íoslódáil, a d’uaslódáil nó a d’athraigh ceadanna, ní féidir leis an eagraíocht oibleagáidí tuairiscithe GDPR, NIS2 nó DORA a mheas go muiníneach.

Ar an gcúigiú dul síos, tá soláthraithe lasmuigh den tsamhail DLP. Déanann DORA Articles 28 go 30 é seo thar a bheith contúirteach d’eintitis airgeadais, ach baineann an fhadhb le gach earnáil. Ba cheart do chonarthaí suíomhanna sonraí, rochtain, téarnamh, filleadh, cúnamh teagmhais, bearta slándála, fochonraitheoireacht agus cearta iniúchta a shainiú.

Ar an séú dul síos, ní áirítear cásanna DLP sa fhreagairt do theagmhais. Ba cheart playbook, critéir dhéine agus conair cinnidh fógra a bheith ag ríomhphost míthreoraithe, uaslódáil SaaS neamhúdaraithe nó easpórtáil CRM ar scála mór.

Ar deireadh, déanann eagraíochtaí dearmad ar chainéil fhisiciúla agus dhaonna. Meabhraíonn Zenith Blueprint dúinn go n-áirítear le DLP iompar deisce glana, stialladh slán, scuainí priontála faoi ghlas, logaí iniúchta printéara agus feasacht fostaithe. Tá clár DLP a dhéanann neamhaird de pháipéar, gabhálacha scáileáin agus comhráite neamhiomlán.

Tóg clár DLP ar féidir le hiniúchóirí muinín a bheith acu as

Má tá do chlár DLP ina chumraíocht uirlise faoi láthair, is é 2026 an bhliain chun é a athrú ina chóras rialaithe faoi rialachas agus tacaithe le fianaise.

Tosaigh le trí ghníomh phraiticiúla:

1. Roghnaigh do thrí phríomhchineál sonraí íogaire, amhail sonraí pearsanta custaiméirí, sonraí íocaíochta agus cód foinse.
2. Mapáil cá mbogann siad, lena n-áirítear ríomhphost, SaaS, néalstóráil, críochphointí, APIanna, soláthraithe agus timpeallachtaí forbartha.
3. Tóg riail DLP inchurtha i bhfeidhm amháin in aghaidh an chineáil sonraí, nasctha le beartas, logáil, freagairt do theagmhais agus coinneáil fianaise.

Is féidir le Clarysec cabhrú leat é seo a luathú trí Zenith Blueprint: Treochlár 30 Céim an Iniúchóra Zenith Blueprint, Zenith Controls: An Treoir Thraschomhlíonta Zenith Controls, agus beartais atá réidh le hoiriúnú amhail an Beartas Aicmithe agus Lipéadaithe Sonraí Beartas Aicmithe agus Lipéadaithe Sonraí, Beartas Cianoibre Beartas Cianoibre, Beartas maidir le hÚsáid Néalríomhaireachta Beartas maidir le hÚsáid Néalríomhaireachta, Beartas Logála agus Faireacháin do FGBManna Beartas Logála agus Faireacháin - SME, agus Beartas maidir le Gléasanna Soghluaiste agus BYOD Beartas maidir le Gléasanna Soghluaiste agus BYOD.

Ní hé an sprioc gach comhad a stopadh ó bhogadh. Is é an sprioc gluaiseacht shlán a dhéanamh mar réamhshocrú, gluaiseacht riosca a dhéanamh infheicthe, gluaiseacht thoirmiscthe a bhlocáil agus gach eisceacht a dhéanamh cuntasach.

Íoslódáil uirlisí Clarysec, déan athbhreithniú ar do phacáiste fianaise DLP agus cuir measúnú ullmhachta in áirithe chun a fheiceáil an féidir le do rialuithe reatha seasamh le grinnscrúdú GDPR Article 32, ionchais sláinteachais cibear NIS2 agus athbhreithniú riosca TFC DORA.