Data Leakage Prevention (DLP) Specialist

En DLP-specialist sørger for, at virksomhedens data bliver, hvor de hører hjemme. DLP står for data leakage prevention, altså forebyggelse af datalæk. De fleste sager handler ikke om hackere. De handler om en kollega, der sender en fil til sin private mail før en ferie.

Arbejdet starter med at finde ud af, hvad der overhovedet er fortroligt. Det kan være kundelister, CPR-numre, kildekode, kontrakter, tegninger eller kliniske forsøgsdata. Derefter bygges de regler, der genkender netop de data, når de er på vej ud af huset.

Typiske opgaver

• Klassificere data og sætte følsomhedsmærkater på filer, mails og SharePoint-sites
• Skrive og teste regler, der fanger fx CPR-numre, kontonumre eller projektkoder
• Køre nye regler i ren overvågning først, så forretningen ikke går i stå
• Undersøge alarmer og vurdere, om der var tale om et reelt læk
• Justere regler ned, når de fanger for meget uskyldigt
• Styre USB-porte, uploads til private cloud-drev og videresendelse til privat mail
• Kortlægge shadow IT: de tjenester, medarbejderne bruger uden om it-afdelingen
• Lave rapporter til ledelse, revision og til kunder i udbudsrunder
• Bistå HR og jura i sager om medarbejdere, der tager data med til en konkurrent

En almindelig arbejdsdag
Dagen begynder tit i en kø af alarmer fra natten. De fleste er falske. En sælger har sendt et regneark til sin egen Gmail. En udvikler har lagt kode i et privat repository. Specialisten kigger på hver sag og vurderer hensigten bag den. Så følger en snak med lederen eller med HR. Om eftermiddagen finpudses reglerne, så den samme falske alarm ikke kommer igen i morgen. En del af ugen går med møder med dataejere ude i forretningen. De ved, hvad der er værdifuldt. Specialisten ved, hvordan man beskytter det.

Hvor sidder de?
DLP fylder mest, hvor data er dyre eller følsomme. Banker, pensionsselskaber og forsikring. Medicinal- og biotekvirksomheder. Advokatkontorer og revisionshuse. Forsvarsindustri, energiselskaber og forsyning. Kommuner, regioner og statslige styrelser. Og hos it-outsourcingfirmaer, der driver alt det her for andre. I mindre virksomheder er DLP sjældent et helt job. Der ligger opgaven hos en it-sikkerhedskonsulent eller en systemadministrator.

Det svære ved jobbet
Rollen kan let blive opfattet som overvågning af kolleger. Dygtige DLP-folk bruger derfor meget tid på at forklare, hvorfor reglerne findes. Man skal kunne sige nej til en direktør, der har travlt. Og man skal kunne holde til rutinen i at tune de samme regler måned efter måned.

Hvilken lovgivning dækker denne rolle?
Faget kræver ingen autorisation, men det findes i høj grad, fordi lovgivningen kræver beskyttelsen. EU's databeskyttelsesforordning (GDPR) stiller krav om passende tekniske og organisatoriske sikkerhedsforanstaltninger. Ved brud på persondatasikkerheden skal Datatilsynet efter samme forordning underrettes inden 72 timer. EU's NIS2-direktiv, som i Danmark er gennemført med cybersikkerhedsloven, kræver risikostyring og hændelseshåndtering i vigtige sektorer. For banker og forsikring gælder desuden EU's DORA-forordning, hvor Finanstilsynet fører tilsyn. Selve kontrollen af medarbejdere er samtidig begrænset af databeskyttelsesloven, og Datatilsynet har udgivet vejledning om kontrol af ansatte.

Der findes ingen dansk uddannelse, der hedder DLP-specialist. Man kommer typisk ind i faget fra it-driften eller fra compliance.

Den klassiske vej

• Datamatiker på et erhvervsakademi, 2 år og 3 måneder. Adgangskravet er typisk en gymnasial eksamen med matematik C og engelsk C, eller en relevant erhvervsuddannelse.
• Derefter nogle år som supporter, systemadministrator eller analytiker i et SOC.
• Så et spring til en sikkerhedsrolle, ofte i det firma man allerede kender indefra.

Den akademiske vej

• Bachelor og kandidat i software, datalogi eller cybersikkerhed, fem år i alt. Aalborg Universitet, DTU, IT-Universitetet og Aarhus Universitet udbyder relevante retninger.
• En kandidatgrad er ikke et krav i faget. Mange erfarne DLP-folk har den ikke.

Vejen fra jura og compliance
Nogle kommer ind den anden vej rundt. De har arbejdet med GDPR som databeskyttelsesrådgiver, jurist eller compliance-medarbejder. De kender reglerne og dataflowet, men mangler teknikken. Den vej kræver, at man selv lærer at læse logs og skrive regler.

Efteruddannelse ved siden af arbejdet

• Akademiuddannelse eller diplomuddannelse i it-sikkerhed, fx på Erhvervsakademi Aarhus eller KEA. Tages over et par år.
• Microsofts SC-certificeringer i informationsbeskyttelse og compliance. De er mest efterspurgte, fordi mange danske virksomheder kører Microsoft 365.
• Leverandørkurser hos Forcepoint, Netskope, Zscaler eller Broadcom.
• CIPP/E fra IAPP, hvis man vil styrke den juridiske side.
• CISSP fra ISC2 eller CISM fra ISACA senere i karrieren. CISSP kræver fem års dokumenteret erfaring.

Sikkerhedsgodkendelse
Stillinger i forsvar, politi og dele af staten kræver sikkerhedsgodkendelse. Den søges af arbejdsgiveren gennem Politiets Efterretningstjeneste eller Forsvarets Efterretningstjeneste. Det kan tage måneder, og det er ikke noget, du selv kan ordne på forhånd.

Karriereveje videre

• Insider risk manager eller data protection engineer, hvis man vil dybere ind i faget.
• It-sikkerhedskonsulent hos et konsulenthus eller en outsourcingleverandør.
• GRC-konsulent, informationssikkerhedschef eller CISO, hvis man vil styring frem for drift.
• Security architect, hvis man vil den tekniske vej.

Hvis du skal hyre en
Spørg ikke først til certifikater. Spørg, hvordan kandidaten har fået antallet af falske alarmer ned. Bed om et eksempel på en regel, der blokerede noget, den ikke burde. Svaret afslører hurtigt, om personen har stået med det i drift eller kun læst om det.

Platforme

• Microsoft Purview er standarden i danske virksomheder på Microsoft 365. Den dækker mail, Teams, SharePoint, OneDrive og selve maskinen.
• Forcepoint DLP, Symantec DLP fra Broadcom og Trellix bruges i større og ældre miljøer.
• Netskope og Zscaler, når trafikken til cloud skal ses og styres.
• Google Workspace DLP i de huse, der kører Google.
• Proofpoint og Mimecast på mail-laget.

Det daglige håndværk

• Regulære udtryk (regex) til at genkende mønstre i tekst. CPR-numre er det klassiske danske eksempel.
• Exact data match, hvor kundelisten lægges ind som hashværdier. Så reagerer systemet kun på de rigtige numre.
• Følsomhedsmærkater og kryptering, så filen er beskyttet, også efter den er sendt.
• OCR, der læser tekst i billeder og skærmbilleder.

Omkring platformen

• SIEM som Microsoft Sentinel eller Splunk, hvor DLP-alarmer samles med andre hændelser.
• KQL til at søge i logs i Microsofts værktøjer.
• PowerShell til at udrulle politikker og trække rapporter i stor skala.
• ServiceNow eller Jira, fordi hver alarm skal blive til en sag med et spor.
• Excel og Power BI til den rapport, ledelsen rent faktisk læser.

Et råd fra praksis: værktøjet er den lette del. Det svære er at få forretningen til at fortælle, hvilke data der er værdifulde.