Почему ручной разбор запароленных архивов путь к катастрофе и что с этим делать

Ручная проверка запароленных архивов создает критическую «слепую зону» в DLP-системах, увеличивая риск утечек данных и перегружая службы ИБ. IT-World разбирался, как интеграция архиватора ARZip с DLP позволяет автоматизировать контроль, закрыть уязвимость и одновременно сократить затраты ресурсов.

Мир признал инсайдеров одной из серьезных угроз современности: согласно IBM, средний ущерб от инцидента с ними,в 2025 году оценивался в $5 млн. Россия не отстает: до 40% работников при увольнении пытаются унести с собой базы данных. Госсектор и финансы — в зоне особого риска. Согласно исследованию ГК InfoWatch, в России в 2025 году каждый десятый случай компрометации был связан с действиями сотрудников, больше всего таких инцидентов выявлено в государственных организациях (43,6%), секторе телекоммуникаций (32,1%) и финансах (9%).

При этом инсайдер не всегда злодей, им может оказаться просто невнимательный менеджер, а потому защита от их действий должна быть по умолчанию автоматической.

В этой статье покажу, как доступный инструмент — архиватор ARZip — при интеграции с DLP позволяет последней преодолеть «слепую зону» системы и эффективно предупреждать нежелательные действия инсайдеров.

Решение задачи со звездочкой: уйти от ручной проверки и потери времени

Идея разработки архиватора ARZip родилась из общения с клиентами, которым важно было «научить» DLP-систему автоматически проверять запароленные архивы. На одной из встреч нас прямо спросили: «А что делать с архивами? У меня два человека заняты только этим».

Проблема заключалась в том, что DLP-система не могла открыть запароленные архивы, чтобы убедиться в том, а не содержат ли они конфиденциальную информацию. Проверять такие файлы сотрудникам ИБ приходилось вручную.

Компания оказывалась перед незавидным выбором:

Ставить DLP «в разрыв»? Тогда письма с такими архивами будут ждать результатов проверки, а сотрудники станут жаловаться, что письма не уходят (они попадают на ручную проверку к сотрудникам ИБ). Такое письмо обычно зависало на один-два дня, что вызывало недовольство отправителей. Эта «слепая зона» съедала ресурсы и не закрывала полностью риски.
Ставить DLP «в параллель»? Это когда запароленный архив поступает в DLP-систему, а она не знает, что с ним делать, соответственно, она его пропускает и складывает в карантин, чтобы со временем вручную его разобрал сотрудник службы ИБ. Но тогда конфиденциальные данные утекают из компании, пока архив с ними лежит в карантине на проверке.

Задача оказалась непростой, поскольку, по словам экспертов, «вероятность того, что сами DLP-системы начнут со временем подбирать пароли к архивам, расшифровывать их на лету и анализировать содержимое, стремится к нулю, это связано со слишком высокими требованиями к вычислительным мощностям и скорости обработки данных в потоке».

Раньше компании пытались решить эту проблему, прибегая к базе наиболее часто встречающихся паролей, но тогда DLP могло контролировать примерно пятую часть всех таких архивов, тогда как архиватор ARZip закрыл этот вопрос на 100%. ARZip по API интегрируется с DLP и позволяет автоматизировать проверку запароленных архивов, предупреждая тем самым утечки данных через них.

Архитектура взаимодействия: бесшовная интеграция по API

Сотрудник создает архив с паролем в корпоративном архиваторе ARZip, тот передает идентификатор архива и используемый пароль на сервер паролей: если заказчику по политике безопасности нельзя выпускать данные наружу, такой сервер паролей поднимается внутри компании.

DLP при отправке архива из компании его перехватывает и направляет ARZip для распаковки. Получив обратно для контроля, проверяет в соответствии с политиками безопасности. Если конфиденциальных данных в архиве нет — письмо отправляется адресату, в противном случае DLP-система блокирует его отправку.

Важный момент: для того чтобы 100% запароленных архивов DLP проверяла автоматически, ARZip должен стать в компании единственным корпоративным архиватором. Об этом издается соответствующий приказ, также дополнительно могут применяться доменные политики, запрещающие запуск других архиваторов.

С архиватором ARZip DLP устанавливается «в разрыв», что позволяет компании сразу блокировать передачу любой конфиденциальной информации, которая не должна уйти за пределы организации.

Совместное использование решений обеспечивает безопасные сценарии работы с корпоративными данными:

Экономия ресурсов ИБ-службы

Интеграция решений не оставляет белых пятен в корпоративных коммуникациях, исключает ручную проверку запароленных архивов и высвобождает ресурсы службы ИБ.

Архиватор ARZip доступен даже небольшим компаниям и довольно быстро окупается: в зависимости от того, какой объем запароленных архивов уходит из компании и сколько времени требовал их ручной разбор.

Стоимость годовой подписки на ARZip сопоставима с месячной зарплатой ИБ-специалиста. Примеры цен на пакеты лицензий можно посмотреть на сайте ARinteg.

Так, у нашего клиента, которому мы помогли решить проблему контроля запароленных архивов, архиватор ARZip окупился за три месяца. С внедрением ARZip там разбором проблемных файлов стал заниматься только один сотрудник, другой смог переключиться на решение более важных задач.

Как результат:

компания усилила свою кибербезопасность,
исключила риски, свойственные человеческому фактору,
минимизировала риски крупных штрафов, предусмотренных за утечки персональных данных.

Какие интеграции уже работают

На сегодня архиватор ARZip интегрирован с двумя DLP-системами: InfoWatch Traffic Monitor и «СерчИнформ КИБ», проводятся интеграции с DLP других вендоров. Для успешной совместной работы решений при интеграции достаточно один раз задать настройки подключения DLP к серверу паролей ARZip.

За счет бесшовной интеграции перехват таких архивов происходит по всем каналам передачи информации, которые отслеживает DLP: от электронной почты до загрузки в облака и не только. Никаких дополнительных установок на DLP-сервер не требуется.

Пилотное внедрение успешной коллаборации российских решений ARZip с DLP-системой InfoWatch было проведено в частном учреждении «Цифрум».

Почему пора менять архиватор уже сейчас

Инсайдерские угрозы — наша реальность. Автоматизация контроля (особенно таких узких мест, как запароленные архивы) — реальный способ себя обезопасить. На сегодня ARZip — единственное в Реестре отечественного ПО решение, которое совмещает в себе возможности для работы с файловыми архивами с функциональностью противодействия утечкам данных.

Архиватор ARZip позволяет российским компаниям успешно решать задачу по импортозамещению офисного ПО. Это полностью отечественная разработка, переход на которую позволяет компаниям (в том числе субъектам КИИ, органам власти, госкомпаниям) выполнить требования Указа Президента РФ от 1 мая 2022 г. № 250.

Архиватор совместим со всеми популярными операционными системами: Windows, Astra Linux, РЕД ОС, Alt Linux, РОСА Хром, AlterOS, ОСнова и другими.