Очень хитрое шифрование данных. Как? - Форум по вопросам информационной безопасности

Дано:

Ноутбук на Windows 8/10
Пользователь с правами локального администратора (увы, но пока так)
Конфиденциальные данные, с которыми работает пользователь внутри сети и за ее пределами в силу специфики работ, не ПДН.

Цель - обеспечить защиту данных от несанкционированного копирования или изменения,целиком или частично. Т.е. работать на ноутбуке он может хоть до посинения. Распечатывать - пожалуйста. Но любая попытка скопировать данные в файловом виде на недоверенный носитель или отправка файла вовне (почта, фтп, drag&drop и пр.) - позволит лишь скопировать файл в зашифрованном виде.
Т.е. есть доверенной средой можно считать сам ноутбук с загруженной конкретной ОС и работу в ней с любым ПО, белый список usb устройств и содержимым, тем или иным способом появляющимся на нем.

Пользователь может быть нелоялен организации

Главный вопрос: как защитить данные, не мешая работе пользователя и не давая ему работать на стороне?

Всю голову сломал.

DLP + RDP.

Работа связана с тяжелыми (порой) прогами, т.е. работать надо непосредственно на компе. А пользователь может в любой момент переустановить систему. Плюс не всегда есть доступ в инет на объектах.
Этот вариант был среди первых неработоспособных в моей ситуации.

"Пользователь с правами локального администратора"
"пользователь может в любой момент переустановить систему"
"Пользователь может быть нелоялен организации"

Премию тому, кто придумает "как защитить данные?".

*в сторону* Мандатка СЗИ НСД уровня приложений (не сессии) + доверенная загрузка уровня ФС + правильная последующая обработка напильником = спасут отца русской демократии...

oko
Я пытался копать в сторону шифрования диска одним решением (трукрипт, например) - решается проблема нсд в случае сторонней, "неверифицированной" ос - она данные не увидит. и доп.шифрованием внешних носителей другим с белым списком разрешенных к подключению. каким-нибудь девайслоком.
Вроде целостно, но сомнения гложут.

R(ight) M(anagement) S(ystem)?

"Пользователь с правами локального администратора"
"Пользователь может быть не лоялен организации"

Если есть физический доступ к жёсткому диску, то данные должны быть всегда зашифрованы...

Возможны два варианта:
1. Контейнер со специальной виртуальной машиной или клиент удалённого рабочего места (данных на ноутбуке просто нет) без возможности переноса данных на целевую машину...
2. Доверенное средство работы с данными, т.е. файлы всегда зашифрованы и есть защищенный редактор который открывает зашифрованные файлы, и сохраняет всегда в зашифрованном виде (т.е. шифрование встроено в прикладное приложение)...

Если пользователю разрешено отправлять данные на печать (в открытом виде), то вместо принтера может оказаться программа пересохраняющая данные...

Alex
Интересно, но подразумевает ряд действий/участие со стороны нелояльного пользователя.
На текущий момент это курица, несущая золотые яйца, явное вмешательство в дела которой чревато вмешивающемуся. Если б можно было формализовать ряд бизнес-процессов до состояния прозрачности - вопроса бы и не было, но пока курица диктует свои условия :)
по мне так пассивное шифрование, привязанное к конкретному железу было б идеальным. Но такого решения я не нашел.

nekto
1. там спец ПО, подключающееся к контроллерам серьезных установок и регулярно слетающее (еще выясню, по чьей вине - не дошли руки), поэтому если шифрованная виртуалка без возможности администрирования конечным пользователем решит проблему проектирования и хранения данных, останется открытым вопрос взаимодействия с контроллерами. Но идея, да. Я ее отмел, боясь потерять производительность и без того не шибко шустрых ноутов.
2. Не представляю, что за решение должно быть, чтобы интегрировалось в специализированный приклад. Спасибо за советы.

Как я понял из описания:

Исходные данные:
- есть конфиденциальная информация (КИ);
- есть ноутбук - место хранения и обработки КИ;
- есть пользователь, имеющий права админа на ноутбуке и потенциально являющийся "вражиной" (нелояльным компании);
- для КИ разрешено покидать ноутбук только через принтер, посредством вывода на бумажный носитель.

Задача:
- разработать решение, не позволяющее допустить покидания КИ в открытом (незашифрованном) виде за пределы ноутбука, кроме как вывода на печать принтера.
___________________________________________________________________

Задача не выполнима, хотя бы по той причине, что пользователь локальный админ.

Из описания непонятно, может ли информация не-КИ, беспрепятственно покидать пределы ноутбука? Что делает пользователь на ноутбуке и в какой степени, при этом задействована КИ? Как обстоит дело с Wi-Fi, с возможностью подключения Bluetooth, IR и прочих интерфейсов беспроводной передачи данных? Что вообще пользователю разрешено подключать к ноутбуку?