要想在一個復雜的網(wǎng)絡環(huán)境中成功部署好DLP解決，并不是一件很容易的事情。這是因為在部署DLP解決方案的同時必需考慮它與網(wǎng)絡中已經(jīng)部署好了的安全防范方案的共存及相互協(xié)作的問題，必需確保實施的DLP解決方案不能與現(xiàn)有的安全措施相互沖突。還要解決如何將它無縫地集成到現(xiàn)有的網(wǎng)絡結構當中去，又不影響企業(yè)正常的網(wǎng)絡業(yè)務的問題。
可喜的是，通過分享一些企業(yè)在部署DLP解決方案時的成功經(jīng)驗，現(xiàn)在已經(jīng)總結出了一套成功部署DLP解決方案的最佳做法。
第一步：制定一個部署DLP解決方案的總體策略
要想成功部署某種安全解決方案，事先制定一個指導方案部署的總體策略總是一種非常明智的選擇，對于部署DLP解決方案也是如此。一個DLP解決方案的總體策略應當包括預期要達到的目標和具體的部署計劃，以及如何監(jiān)督它的實施。
在決定部署DLP解決方案需要達到的預期目標之前，我們必需先來了解企業(yè)中的哪些數(shù)據(jù)屬于機密數(shù)據(jù)。通常，企業(yè)中的機密數(shù)據(jù)應當包括：技術、方法、工作模式、處理流程、生產(chǎn)計劃等，以及各種圖表、供應商信息，新產(chǎn)品設計圖紙和營銷戰(zhàn)略，或者程序源代碼、營銷數(shù)據(jù)和客戶信息等等。這些企業(yè)機密數(shù)據(jù)中的任何一部分數(shù)據(jù)的丟失，都會給企業(yè)帶巨額的經(jīng)濟和無形資產(chǎn)的損失。因此，部署DLP解決方案后要達到的預期目標，通常就是要保證每種數(shù)據(jù)在其生命周期的各個階段的安全。數(shù)據(jù)的生命周期包括數(shù)據(jù)的收集、使用、傳輸、、歸檔和銷毀。
我們還必需制定一個評估DLP實施效果的績效指標，用來確定使用DLP后到底取得了什么樣的效果。這個績效指標可以是實施DLP解決方案后機密數(shù)據(jù)泄漏事件的月下降率，以及員工違反安全操作的發(fā)生率等來評定。
同時，我們還應當考慮部署DLP解決方案時可能對現(xiàn)有網(wǎng)絡業(yè)務和工作方式，以及員工的操作習慣帶來的影響，并以此來決定要不要對員工進行培訓，以便他們能遵從DLP解決方案的要求。而且，我們還應當考慮部署DLP解決方案是否會牽扯到員工個人隱私的法律問題。
我們還應當明確每種機密數(shù)據(jù)的屬主。這樣做是很重要的，我們應當將每個員工可以接觸到什么樣的機密數(shù)據(jù)做一個具體的了解，并以此建立一個員工與所屬機密數(shù)據(jù)的對應表。這樣做有利于明確員工對機密數(shù)據(jù)的權限范圍，以及出現(xiàn)數(shù)據(jù)丟失事件后明確責任承擔人。
另外，據(jù)一些調查機構統(tǒng)計分析得知，企業(yè)中大部分的機密數(shù)據(jù)都是在一些經(jīng)常發(fā)生違規(guī)行為的區(qū)域丟失也去的，因此，我們可以按數(shù)據(jù)丟失的嚴重程度將企業(yè)網(wǎng)絡劃分出多個保護級別，然后在部署DLP解決方案時，先重點防范數(shù)據(jù)丟失程度最嚴重的區(qū)域，再由此從高到低的方式按級分別部署。這樣能讓我們在部署DLP解決方案時有主有次，條理清晰。
對于上述這些在部署DLP解決方案時會牽扯到內容，我們都可以將它們記錄到部署DLP解決方案的總體策略當中去。通常，一個全面的DLP解決方案的總體部署策略應當包括：
1、 具體要保護的機密數(shù)據(jù);
2、 要達到的總體目標;
3、 應當遵從的隱私權和數(shù)據(jù)安全法規(guī);
4、 使用的DLP產(chǎn)品類型;
5、 部署時的具體處理流程;
6、 部署DLP解決方案的計劃進度;
7、 部署DLP解決方案時的人員安排和責任;
8、 部署當中和完成后的檢驗方法;
9、 具體需要使用到的工具和調配方法等等。
上面列出的這9條只是部署DLP解決方案總體策略中最基本的內容，我們還可以根據(jù)具體的環(huán)境要求來自行決定內容的多少，但是必需包含上述列出的所有方面。同時，在部署DLP解決方案的過程中，還要將部署的進度和部署過程中遇到的問題一一記錄在案，并確定一個問題上報處理機制，以應對部署過程中的突發(fā)事件。
第二步：為部署DLP解決方案安排人員和明確責任
DLP解決方案的總體策略制定好以后，接下來就是為實施此策略配備相關的人員、給他們分配好角色和明確人員具體承擔的責任。這些人員將是部署DLP解決方案的規(guī)劃、設計和實施的執(zhí)行主體。
部署DLP解決方案的人員應當包括企業(yè)領導、部門主管、網(wǎng)絡管理員、系統(tǒng)管理員、安全工程師，以及DLP產(chǎn)品銷后服務人員或第三方安全機構技術人員等。具體應當根據(jù)我們所處的實際環(huán)境來決定。
第三步：選擇DLP產(chǎn)品
目前，市面上存在多種DLP產(chǎn)品，有些是以軟件形式存在，有的以單獨的硬件形式存在。DLP產(chǎn)品按適用范圍來分有兩種主要的類型：基于主機的DLP和基于網(wǎng)絡的DLP。
其中，基于主機的DLP一般都是軟件產(chǎn)品，通常直接安裝在單獨的、工作站或電腦等設備當中，只提供對其運行系統(tǒng)中的機密數(shù)據(jù)進行保護。而基于網(wǎng)絡型的DLP產(chǎn)品通常是一些單獨的硬件產(chǎn)品，主要連接到企業(yè)網(wǎng)絡出口的關鍵位置，例如之后。網(wǎng)絡型DLP產(chǎn)品能夠對所有離開企業(yè)內部網(wǎng)絡的數(shù)據(jù)進行過濾，對違規(guī)行為進行報警、日志記錄和直接禁止;有些網(wǎng)絡型DLP產(chǎn)品還能夠用來發(fā)絡中的機密數(shù)據(jù)和監(jiān)控這些機密數(shù)據(jù)的使用狀況。
但是，網(wǎng)絡型DLP產(chǎn)品的控制細粒度要比主機型DLP產(chǎn)品差，例如網(wǎng)絡型DLP產(chǎn)品有時不能對U盤等可移動存儲設備的使用進行監(jiān)控和限制，而主機型DLP產(chǎn)品就能很好地控制整個系統(tǒng)上的所有接口的使用狀況。不過，主機型DLP產(chǎn)品需要在需要保護的每臺主機上安裝，這樣就會增加管理員的工作量。例如，管理員不得不在系統(tǒng)故障恢復后重新安裝和配置DLP軟件，以及還必需防止DLP軟件被終端用戶通過各種手段阻止它的運行等等。
其實，最好的DLP部署方式就是綜合使用基于主機型DLP軟件和基于網(wǎng)終的DLP產(chǎn)品，這樣才能夠對企業(yè)網(wǎng)絡中的所有需要的位置都能進行防范。不過，具體怎么選擇，還是需要根據(jù)企業(yè)自身的經(jīng)濟經(jīng)濟能力和實際數(shù)據(jù)保護需求大小來決定。
目前，市面上主流的DLP廠商有McAfee、Websense、的RSA和 Symantec等，國內著名的DLP廠商有北京億賽通等?？偟膩碚f，想要選擇一款真正適合企業(yè)自身需求的DLP產(chǎn)品，可以按下列所示的幾個選購要點來進行：
1、選擇的DLP產(chǎn)品必需具有監(jiān)控和防御功能
這兩個功能是DLP產(chǎn)品最基本的要求，而且，雖然這樣的安全產(chǎn)品目前還不能完全消除誤報和漏，但選擇誤報和漏報率最低的產(chǎn)品總是首選。有些DLP產(chǎn)品供應商一味地以復雜的名詞來說明這兩個功能如何如何好，在選擇時不要給其迷惑，應當仔細了解產(chǎn)品的這一點。
2、選擇的DLP產(chǎn)品應當具有中心化管理功能
中心化管理能能夠為我們減少大量的開銷，它包括一系列的功能，例如策略創(chuàng)建和執(zhí)行，生成報告和數(shù)據(jù)過濾等。
3、選擇的DLP產(chǎn)品應當具有保存和備份功能
如果企業(yè)需要遵從某個區(qū)域性數(shù)據(jù)保護法規(guī)，這些法規(guī)中通常要求企業(yè)必需將特定的數(shù)據(jù)保留6個月以上，那么，就要求DLP產(chǎn)品也具有這樣的數(shù)據(jù)保存功能。有些DLP產(chǎn)品本身具有這樣的保存功能，這樣就能給企業(yè)節(jié)省大量的存儲費用。而且，有時DLP產(chǎn)品備份功能也是必需的，這樣能防止設備在出現(xiàn)其它故障時造成機密數(shù)據(jù)的丟失。
4、選擇的DLP產(chǎn)品應當易于整合
我們在選擇DLP產(chǎn)品時，應當慎重考慮其與現(xiàn)有網(wǎng)絡結構或系統(tǒng)的整合性能。對于基于主機的DLP軟件，要根據(jù)目前企業(yè)需要保護的主機上運行的環(huán)境和硬件環(huán)境的影響，以及企業(yè)本身的技術能力。而對于基于網(wǎng)絡的DLP產(chǎn)品，在部署時不需要大規(guī)模改變網(wǎng)絡現(xiàn)有結構，甚至不需要停止當前業(yè)務當然最好。如果一定需要調整網(wǎng)絡結構，那么，一定要選擇一些易于管理，例如支持WEB管理方式的DLP產(chǎn)品，這樣能夠減少正常業(yè)務的停機時間。
5、 選擇的DLP產(chǎn)品應當存在一個成熟的市場
這是一個選擇任何安全產(chǎn)品時需要考慮的因素，但往往被許多企業(yè)所忽略。如果某個DLP產(chǎn)品供應商所生產(chǎn)的產(chǎn)品已經(jīng)存在一個很成熟的市場，那么其售后服務和產(chǎn)品質量一定很好，就可以解決DLP 產(chǎn)品在應用后的技術支持問題。有時，存在良好市場的DLP產(chǎn)品供應商，還可以用他們部署DLP解決方案的成功經(jīng)驗來幫助企業(yè)完成DLP部署策略的建立，以及其它方面的技術指導。畢竟，我們不確定選擇的DLP產(chǎn)品在以后的使用過程中不會出現(xiàn)一點硬件或軟件故障，這些都必需有一個強大的產(chǎn)品售后服務來迅速正確地解決。
第四步：DLP解決方案的具體部署處理流程
在部署DLP解決方案之前，我們應當已經(jīng)建立一個可以用來正確部署DLP解決方案的業(yè)務處理流程。這個流程中規(guī)范了部署時應該按什么步驟、方式來進行，什么人負責什么位置，以及事件的管理、調試、報告機制和系統(tǒng)操作等各個方面。還應當規(guī)范人員、物質和設備的管理、保管和使用及調配，以及相互之間如何協(xié)作和上下交流等各個方面。但有一條，DLP解決方案的具體部署處理流程應當盡量精簡和規(guī)范化。
根據(jù)其它企業(yè)成功部署DLP解決方案的經(jīng)驗，企業(yè)往往需要化部署DLP數(shù)據(jù)保護解決方案。這種部署方式能夠將企業(yè)所有的DLP部署面分割成幾個模塊來一步步地實現(xiàn)，能夠將部署DLP時對業(yè)務的影響降到最低，也讓DLP部署更加清晰明了，能夠讓人掌握部署的進度，發(fā)現(xiàn)問題并及時解決。
另外，在部署DLP解決方案之前，為了能夠讓方案實施人員了解企業(yè)當前的網(wǎng)絡結構及DLP產(chǎn)品應用的具體位置和對象，我們有必要為此先繪制一個企業(yè)部署DLP解決方案的網(wǎng)絡拓撲圖。這樣，在具體部署DLP解決方案時，實施人員就可以根據(jù)這張原理圖了解具體要安裝相應DLP產(chǎn)品的位置和對象了。
還有，在部署DLP解決方案之時，我們還要確保實施的DLP解決方案完全遵從當?shù)氐臄?shù)據(jù)保護法規(guī)和員工的隱私保護條例。任何違反這些法規(guī)的操作都必需嚴格禁止，以防止以后出現(xiàn)不必要的麻煩。
同時，在部署DLP解決方案時，應當根據(jù)進度，對已經(jīng)實施了DLP解決方案的區(qū)域進行相應的檢驗，以確定部署部署DLP解決方案后能達到什么樣的效果，以及還有什么需要調整和改進的。但這樣的分部檢驗不能影響總的項目完成進度。
第五步：檢驗DLP解決方案的部署效果
當完成DLP解決方案的具體部署工作后，雖然在部署的過程中可能對某個段的部署結果進行的檢測，但是，這樣的檢測并不能了解到整體的部署效果。因此，在完成DLP解決方案的部署后，還應當檢測整個DLP 解決方案的部署效果。
我們可以向企業(yè)外部發(fā)送非受權的機密數(shù)據(jù)的方式來檢驗網(wǎng)絡型DLP產(chǎn)品的監(jiān)控和控制效果，以及通過在主機上應用非授權U盤地設備復制數(shù)據(jù)來檢測主機型DLP軟件對可移動設備在主機上的控制能力等等。至于具體的檢測方式和檢測的細粒度，可以由我們自己來自行決定。當然是越細越好，越嚴格越好。
在這里，我們需要明白的是：DLP解決方案的部署是一個長期的過程，它應當與數(shù)據(jù)的整個生命周期相對應，并不是一次部署以后就不需要我們去管理和維護了。因此，我們在部署完DLP解決方案后，還應當不斷地檢驗它的執(zhí)行效果，然后根據(jù)檢測結果來調整DLP策略，以便它在數(shù)據(jù)整個生命周期中的各個階段都有能達到我們的要求。