‏إدارة خطر المطلع الداخلي

للكلمات أهميتها. يوحي تهديد المطلع الداخلي بحالة ثنائية: إما أن يكون الشخص تهديداً أو لا يكون. أما خطر المطلع الداخلي فهو طيف متدرّج. فكل من لديه صلاحية وصول يحمل قدراً من الخطر، ويتغير هذا القدر مع السلوك والظروف والسياق. وإدارة خطر المطلع الداخلي تقيس هذا الطيف وتديره، بدلاً من انتظار ظهور «تهديد» واضح.

تعمل البرامج الناضجة على هذا النحو عملياً. لا تنتظر سرقة البيانات كي تتحرك. بل ترصد المؤشرات السلوكية، وتعالج أولاً الحالات الأعلى خطورة، وتحقق قبل وقوع الضرر. وقد تكون الاستجابة تقنية، كحجب الوصول. وقد تكون حواراً مع الإدارة والموارد البشرية. وقد تعني سد ثغرة في العملية أوجدت خطراً لا داعي له.

يتكوّن البرنامج العامل من خمسة مكوّنات، من جمع البيانات إلى التحسين المستمر. وتعتمد مرحلته الأولى على إشارات مراقبة نشاط المستخدمين (UAM) ومنع فقدان البيانات (DLP).

1. 1

   المراقبة وجمع البيانات

   الأساس: مراقبة النشاط، وإشارات DLP، وسجلات الوصول، والتحليلات السلوكية (UEBA). بدون رؤية واضحة لا يوجد برنامج.

2. 2

   تسجيل درجات الخطر وتحديد الأولويات

   البيانات الخام للمراقبة ضجيج. تُدمج الإشارات في درجات خطر. ومستخدم ينزّل ملفات بكميات كبيرة خارج ساعات العمل، ويصل إلى بيانات خارج دوره، وقدّم استقالته، يمثل خطراً أعلى من شخص لديه إشارة واحدة.

3. 3

   التحقيق

   يراجع المحللون سجل النشاط ويحددون السياق: تغيير في الدور، أو مشكلة في الأداء، أو حاجة عمل مشروعة. والتصرف بناءً على تنبيهات خام دون تحقيق يقود إلى اتهامات ظالمة ويقوّض الثقة.

4. 4

   الاستجابة والتدخل

   تتراوح الاستجابات بين مراقبة أدق، وتقليص الصلاحيات، ومقابلة مع الموارد البشرية أو الأمن، وصولاً إلى إجراءات تأديبية أو قانونية. ويجب أن تكون الاستجابة متناسبة مع الخطر ومبنية على أدلة.

5. 5

   الحوكمة والمراجعة

   لا يستطيع أمن تقنية المعلومات إدارة البرنامج وحده، إذ تقدم الموارد البشرية السياق المتعلق بالموظفين، ويغطي القسم القانوني الخصوصية والأدلة، وتحدد الإدارة العتبات. وبعد كل حالة يراجع الفريق ما إذا كان الرصد والاستجابة قد نجحا.

البرنامج الذي يتجاوز الحد يخلق مخاطر خاصة به. فالمراقبة دون إشعار، أو جمع بيانات تتجاوز الغرض الأمني، أو التصرف بناءً على أدلة ضعيفة، قد تؤدي إلى مسؤولية قانونية، وانعدام ثقة الموظفين، وضرر بالسمعة. وتتطلب الممارسات السليمة، وفي كثير من الولايات القضائية القانون، هذه المبادئ:

• الشفافية: يعرف الموظفون ما الذي يُراقَب ولماذا.
• الغرض المشروع: يخدم البرنامج الأمن والامتثال، لا التحكم الدقيق أو المراقبة الشاملة.
• التناسب: يتناسب النطاق مع الخطر، ولا يُراقَب الجميع بالتفصيل الكامل.
• ضوابط الوصول: لا يطّلع على بيانات المراقبة إلا الأدوار المصرّح لها وفق شروط محددة.
• الإجراء القانوني الواجب: يتحقق التحقيق من السياق قبل أي إجراء، ويمكن للشخص أن يرد.

إدارة خطر المطلع الداخلي مقابل رصد تهديدات المطلع الداخلي. يُعد الرصد مكوّناً واحداً، إذ يحدد الإشارات. أما الإدارة فهي البرنامج الأوسع الذي يقرر ما يُفعل بها. والرصد دون إدارة يعني تنبيهات لا يتصرف فيها أحد. والإدارة دون رصد غير ممكنة.

إدارة خطر المطلع الداخلي مقابل DLP. فـ DLP ضابط وقائي يمنع خروج البيانات الحساسة. أما إدارة خطر المطلع الداخلي فأوسع، إذ تأخذ في الاعتبار السياق السلوكي والنية واستجابة المؤسسة، لا حدث النقل وحده. ويغذي DLP البرنامج بالإشارات.

إدارة خطر المطلع الداخلي مقابل مراقبة الموظفين. فالمراقبة بلا توجيه رصد عشوائي. أما إدارة خطر المطلع الداخلي فهي مراقبة مرتبة حسب الخطر ومرتبطة بغرض، مع حوكمة وتناسب والتزام قانوني. والفرق أخلاقي وقانوني في آن واحد. وتقصر كثير من الولايات القضائية مراقبة الموظفين على أغراض محددة ومشروعة، وتشترط إبلاغهم بها.

تكشف أربعة مقاييس ما إذا كان البرنامج يعمل. فارتفاع نسبة الإنذارات الكاذبة يهدر وقت المحللين ويقوّض الثقة. أما توزيع النتائج فيبيّن ما إذا كان البرنامج معايَراً بشكل صحيح.

• متوسط زمن الاكتشاف: مدى سرعة تحديد السلوك الخطر منذ بدايته.
• معدل الإنذارات الكاذبة: نسبة الحالات المُعلَّمة التي تبيّن أنها نشاط مشروع.
• نتائج إغلاق الحالات: عدد الحالات التي أدت إلى تدخل، أو إلى عدم اتخاذ إجراء، أو إلى حوادث مؤكدة.
• التغطية: نسبة الموظفين وقنوات النشاط ذات الصلة الخاضعة للمراقبة.

تجمع ميزة رصد تهديدات المطلع الداخلي الحوادث حسب مستوى الخطر، فيرى المحلل أين تتركز الأحداث الأعلى خطورة. ولكل فئة خطر مستوى خطر افتراضي يظهر في مدير الفئات.

1 / 2

• 
• 

ابدأ بالبيانات التي يسبب تسريبها أكبر ضرر، ثم حدّد القنوات التي يمكن أن تخرج عبرها فعلاً. وحدّد الغرض والعتبات قبل أول تنبيه، لأن البرنامج الذي يفتقر إليها ينحرف نحو المراقبة الشاملة.

وكل حالة مغلقة تعود إلى العتبات، فيتعلم البرنامج أي الإشارات تهم فعلاً في الممارسة.

للمزيد من القراءة: كيف تتعرف على مطلع داخل الشركة وتمنع أنشطته؟; كيف يحدد مسؤول الأمن شخصًا داخليًا باستخدام نظام DLP؟.