• Есть документ, описывающий политику фирмы в отношении исходящей информации. Если сотрудник не знает правил, регламентирующих, что можно высылать, а что - нельзя, как он сможет их соблюдать?
• Есть люди ответственные за контроль над соблюдением этих правил, и у них есть возможность исполнять свою обязанности, а качество их работы можно проконтролировать.
• Если Вы можете увидеть как идет работа. Нарушения или спорные ситуации - достаточно регулярное событие. Если за последние полгода Вы не знаете ни о каком подобном происшествии, случившемся в Вашей организации (и не можете получить эту информацию, захотев это прямо сейчас), скорее всего, происшествия были, просто Вы про это не знаете и, увы, не узнаете.

Контролируемые каналы утечек

• Контролируются ли исходящие почтовые сообщения, идущие через корпоративный почтовый сервер (как правило - да)
• Контролируются ли сообщения, идущие через внешние почтовые сервера?
  Если нет блокировки на файрволе, то для того, чтобы отослать сообщение в обход корпоративного сервера, достаточно лишь поменять адрес почтового сервера в своей почтовой программе. Требуется меньше минуты.

  Если блокировка на файрволе вроде бы есть, точно ли системный администратор не оставил даже для себя лазейку? Точно ли пользуется этой лазейкой только он? Администратор не сотрудник службы безопасности. Он гораздо более мягкосердечен.

• Контролируется ли то, что пользователи отправляют через браузер? Завести почтовый ящик на mail.ru занимает две минуты. Запретить доступ к этому серверу можно, но есть еще сотни подобных сервисов.
• Контролируется ли возможность унести информацию на внешних носителях?
  Самое простое "дешевое и сердитое" решение - отключить USB порты, записывающие CD/DVD приводы и дисководы. Требуется отвертка и 10 минут на компьютер. Часто ли сотруднику нужно по служебной необходимости уносить информацию? В таком случае пусть запишет ее на компьютере сотрудника, ответственного за контроль над информацией. Тот проверит информацию и на всякий случай снимет копию. Или пусть просто перешлет по контролируемому каналу.
• Есть ли у системы контроля ограничение на количество пользователей (почтовых ящиков)?
  Как правило, ограничение на количество ящиков - очень удобная возможность для продавца взять с клиента денег пропорционально размеру его организации. Но при этом, от клиента требуется определить количество почтовых ящиков. Контролируются ли при этом внешние почтовые сервисы (работающий как через почтовые протоколы, так и через веб)? Ведь Вы не можете знать, сколько у Вашего сотрудника ящиков на mail.ru и ngs.ru . И не можете знать, сколько их он еще заведет.

Автоматическая обработка информации

• Автоматическое определение нарушений и конфиденциальных писем. Либо операторы контроля должны вручную читать и анализировать всю информацию (включая письма директора), либо есть возможность автоматически помечать часть сообщений, как подозрительные, требующие оперативного детального разбора, а часть, как конфиденциальные, которые оператор не может прочитать.
• Глубина анализа. Если автоматическая обработка информации есть, то обрабатывается ли только текст письма (который может быть вообще пустым), или же выполняется разбор вложений? Анализируются ли .doc файлы? Распаковываются ли архивы? Как система поступает с запароленными архивами, которые она не может распаковать? Корректно ли обрабатываются тексты на русском языке, которые могут быть в различной кодировке?
• Работа с архивом. Ведется ли архив исходящей информации? Сможете ли Вы посмотреть сообщения, написанные сотрудником три месяца назад, если этот сотрудник уже уволился? Можете ли Вы найти автоматически найти все сообщения на определенные темы (ставшие актуальными только сегодня), написанные в прошлый период?
• Есть ли возможность настроить систему под Ваши требования к контролируемым форматам данных?

Контроль над расследованием инцидентов

• Есть ли возможность того, что данные пройдут "мимо" операторов контроля по их оплошности?
• Есть ли возможность у оператора безнаказанно "спустить с рук" нарушение?