Was ein Insider-Bedrohungsprogramm umfasst
Ein Insider-Bedrohungsprogramm ist der dauerhafte Plan einer Organisation für Risiken, die von Personen mit berechtigtem Zugang ausgehen: Mitarbeitende, Auftragnehmer und Partner. Ziel ist es, Schäden nach Möglichkeit zu verhindern, sie früh zu erkennen und einheitlich zu reagieren. Das Risiko selbst wird unter Insider-Bedrohung beschrieben.
Das Programm betrifft Menschen und nicht nur Systeme, deshalb braucht es mehrere Funktionen gleichzeitig. Sicherheit, Personalabteilung, Rechtsabteilung und Fachverantwortliche haben jeweils eine klare Rolle. Die breitere Disziplin, die das Programm umsetzt, ist das Management von Insider-Risiken.
Was ein ausgereiftes Programm enthält
Trotz des Namens ist ein Insider-Bedrohungsprogramm mehr als Technik. Ausgereifte Programme kombinieren in der Regel sechs Elemente:
| Element | Was es umfasst |
|---|---|
| Steuerung und Rollen | Verantwortlicher Sponsor, Programmleitung, bereichsübergreifende Arbeitsgruppe |
| Richtlinie und Umfang | Definierte Insider-Risiken, kritische Werte und überwachtes Verhalten |
| Schulung und Sensibilisierung | Einführungs- und regelmäßige Schulungen, wie Bedenken gemeldet werden |
| Überwachung und Erkennung | Technische Sicht auf Nutzeraktivität, Datenübertragungen und Verstöße |
| Reaktion und Untersuchung | Vorprüfung, Eskalation, Umgang mit Beweisen, Fallabschluss |
| Kennzahlen und Überprüfung | Wirksamkeit messen und Erkenntnisse in die Richtlinie zurückführen |
Ein Programm ist kein Produkt
Ein verbreiteter Irrtum ist, dass die Installation einer Überwachungssoftware einem Programm gleichkommt. Das Werkzeug erzeugt Warnmeldungen. Das Programm legt fest, was überwacht wird, wer die Ergebnisse prüft, welche Schwellenwerte Maßnahmen auslösen, wie Untersuchungen ablaufen und welche Datenschutzvorkehrungen gelten.
Technische Transparenz entsteht meist durch Überwachung der Nutzeraktivität und Software zur Erkennung von Insider-Bedrohungen. Ohne sie stützt sich das Programm vor allem auf Selbstauskünfte und periodische Audits, die Probleme oft spät aufdecken.
Der Lebenszyklus des Programms
Eine praktische Form, die Arbeit zu organisieren, ist ein kontinuierlicher Zyklus aus vier Phasen:
- 1
Vorbereiten und bewerten
Steuerung, Richtlinie sowie rechtliche und datenschutzrechtliche Prüfung einrichten, kritische Werte und Daten bestimmen.
- 2
Erkennen und identifizieren
Daten zur Nutzeraktivität sammeln und mit definierten Risikoindikatoren verknüpfen.
- 3
Bewerten
Indikatoren sichten, um harmlose Abweichungen von tatsächlich bedenklichem Verhalten zu trennen. Bei Bedarf eskalieren.
- 4
Reagieren
Untersuchen, eingreifen und Ergebnisse dokumentieren. Die Ergebnisse fließen zurück in Erkennungsregeln und Schulungen.
Festlegen, was als Risiko gilt
Eine schriftliche Richtlinie braucht benannte Risikokategorien, auf die sie sich stützen kann. Insider-Risikoindikatoren helfen nur, wenn sie auf eine Kategorie zeigen, die die Organisation bereits als relevant festgelegt hat. In Anexet werden die Kategorien im Risikokategorien-Manager verwaltet, wo jede Kategorie eine Standardrisikostufe hat.
Typische Fehler
Die meisten gescheiterten Programme scheitern auf dieselbe Weise: Sie beginnen mit Werkzeugen statt mit einer Liste dessen, was geschützt werden muss. Warnmeldungen häufen sich an, niemand ist zuständig, und die Belegschaft lernt, sie zu ignorieren.
Technische Kontrollen wie Data Loss Prevention (DLP) stoppen bestimmte Übertragungen, ersetzen aber nicht die Prüf- und Reaktionsschritte, die ein Programm tragen.
Ein Werkzeug ohne schriftlichen Umfang und ohne Verantwortliche für die Warnmeldungen erzeugt Daten, aber kein Programm.
- Alle gleich überwachen, ohne festgelegten Umfang und ohne Datenschutzprüfung
- Warnmeldungen ohne Verantwortliche, sodass Vorfälle ohne Entscheidung geschlossen werden
- Keine schriftlichen Reaktionsschritte, sodass jeder Fall anders behandelt wird
Wo Sie anfangen sollten
Beginnen Sie mit den Werten und Daten, deren Abfluss den größten Schaden anrichten würde, und definieren Sie dann die wenigen Verhaltensweisen, die dafür wichtig sind. Ein eng gefasstes Programm lässt sich prüfen und anpassen. Eines, das alles überwacht, wird oft wieder abgeschaltet.
Technische Überwachung ist ein Baustein dieser Arbeit. Anexet DLP protokolliert jedes Ereignis mit Nutzer, Zeitstempel, Kanal und durchgeführter Aktion, sodass Prüfende die nötigen Nachweise erhalten.
Weiterlesen: Wie man einen Insider im Unternehmen erkennt und seine Aktivitäten verhindert?; Top 5 Datentypen, die Wettbewerber zu stehlen versuchen.
Ein Datenabfluss sieht selten wie ein Angriff aus. Er sieht aus wie ein gewöhnlicher Arbeitstag, Übertragung für Übertragung.
Anexet TeamWie Anexet das löst
Ein Insider-Bedrohungsprogramm ist ein organisatorischer Rahmen und keine Software. Steuerung, Richtlinien und geschulte Menschen lassen sich nicht durch ein Werkzeug ersetzen. Anexet greift in den Phasen Erkennen und Reagieren: Es ist die Überwachungs- und Erkennungsebene, auf die sich ein solches Programm für technische Sichtbarkeit stützen kann.
Die On-Premise-Architektur hält die Überwachungsdaten in der Infrastruktur der Organisation, ein Punkt für die datenschutzrechtliche und rechtliche Prüfung, die formale Programme verlangen.
Erkennung über Inhaltsprüfung
zu den Klassifizierungsmethoden zählen Sicherheits-Thesauri (Wörterbücher sensibler Begriffe), Hash-Banken für exakte Dateiübereinstimmung, Bibliotheken digitaler Fingerabdrücke für Dokumentvorlagen und die Einbindung von Vertraulichkeitskennzeichen, riskante Übertragungen werden anhand ihres Inhalts erkannt.
Kanalabdeckung
Endpoint-Agenten überwachen E-Mail, Web, Cloud-Speicheranwendungen, Messenger, Wechselmedien, Druck und Zwischenablage, die Kanäle, über die Daten in internen Szenarien in Bewegung geraten.
Überwachung der Nutzeraktivität
Aktivitätsdaten (welche Personen, welche Handlungen, welche Anwendungen) liefern das Rohmaterial, das die Analysten des Programms gegen die definierten Risikoindikatoren einordnen.
Audit-Trail
jedes Ereignis wird mit Person, Zeitstempel, Kanal, Inhaltsklassifizierung und ergriffener Maßnahme festgehalten, Material für Untersuchungen und die Nachbetrachtung von Vorfällen.
Anexet DLP
Mehr erfahren