Ασφάλεια Εστιασμένη στον Άνθρωπο

Η προσέγγιση ξεκινά από μια παρατήρηση που οι περισσότερες ομάδες ασφάλειας κάνουν ήδη στην πράξη: οι άνθρωποι, και όχι τα συστήματα, αποφασίζουν αν ένας έλεγχος λειτουργεί. Ένας κανόνας που είναι αργός, ασαφής ή έρχεται σε σύγκρουση με τη δουλειά παρακάμπτεται, όσο στέρεος κι αν φαίνεται στο χαρτί. Γι' αυτό η ευχρηστία, το πλαίσιο και τα κίνητρα αντιμετωπίζονται ως ιδιότητες ασφάλειας, δίπλα στην κρυπτογράφηση και τον έλεγχο πρόσβασης.

Δεν σημαίνει λιγότερους ελέγχους ούτε ταυτίζεται με την εκπαίδευση ευαισθητοποίησης. Είναι μια στάση σχεδιασμού: οι έλεγχοι δοκιμάζονται σε πραγματικές ροές εργασίας, εξηγούνται τη στιγμή που ισχύουν και βελτιώνονται με βάση την ανατροφοδότηση. Φυσικό πεδίο της είναι η ανθρώπινη πλευρά των εσωτερικών απειλών, όπου ο ίδιος εργαζόμενος μπορεί να είναι απρόσεκτος, στόχος κοινωνικής μηχανικής ή, σπάνια, εσκεμμένος επιτιθέμενος.

Τα προγράμματα που ξεκινούν από την τεχνολογία υποθέτουν ότι, μόλις υπάρξει ο κανόνας, οι άνθρωποι θα τον τηρήσουν. Στην πραγματικότητα, μια αποκλεισμένη εργασία σπάνια εξαφανίζεται: μετακινείται σε διαδρομή που η ομάδα ασφάλειας δεν βλέπει, κι έτσι το Shadow IT και το Shadow AI αναπτύσσονται ακόμη και σε οργανισμούς με αυστηρές πολιτικές. Οι συνηθισμένες παρακάμψεις μοιάζουν ως εξής:

• Αποστολή αρχείου εργασίας σε προσωπικό email επειδή το εγκεκριμένο εργαλείο κοινοποίησης είναι αργό
• Επικόλληση πρόχειρου ή μηνύματος πελάτη σε δημόσιο chatbot τεχνητής νοημοσύνης για να τελειώσει η δουλειά πιο γρήγορα
• Κοινή χρήση ενός λογαριασμού για να μην περιμένει κανείς έγκριση πρόσβασης
• Αποφυγή ενός εργαλείου ασφάλειας που διακόπτει κάθε εργασία

Η προσέγγιση περιγράφεται συνήθως με λίγες αρχές. Είναι κοινές συνήθειες σχεδιασμού και όχι ένα ενιαίο επίσημο πρότυπο, και οι κατασκευαστές και οι αναλυτές τις διατυπώνουν με διαφορετικούς τρόπους.

Ένα πρόγραμμα εστιασμένο στον άνθρωπο είναι κύκλος και όχι εφάπαξ εφαρμογή. Ξεκινήστε από την ταξινόμηση δεδομένων, ώστε η προσπάθεια να ακολουθεί την αξία, και έπειτα επαναλάβετε τον ίδιο κύκλο για κάθε ομάδα ελέγχων.

1. 1

   Χαρτογράφηση πραγματικών ροών

   Παρατηρήστε πώς διαχειρίζονται πραγματικά οι ομάδες τα ευαίσθητα δεδομένα, μαζί με τις συντομεύσεις που χρησιμοποιούν.

2. 2

   Προσαρμογή ελέγχων στον κίνδυνο

   Εφαρμόστε αυστηρούς ελέγχους εκεί όπου το λάθος κοστίζει και ηπιότερους, επεξηγηματικούς αλλού.

3. 3

   Καθοδήγηση τη σωστή στιγμή

   Εμφανίστε σύντομα, απλά μηνύματα όταν μια ενέργεια αποκλείεται ή είναι επικίνδυνη, με σαφές επόμενο βήμα.

4. 4

   Έλεγχος και βελτίωση

   Δείτε πού οι άνθρωποι παρακάμπτουν ή δυσκολεύονται και αλλάξτε τον κανόνα ή το εργαλείο, όχι μόνο την εκπαίδευση.

Η φράση «ο άνθρωπος είναι ο αδύναμος κρίκος» ακούγεται συχνά στις συζητήσεις για την ασφάλεια και διαμορφώνει τον σχεδιασμό: αν το πρόβλημα είναι οι άνθρωποι, η λύση είναι να τους αφαιρεθούν οι επιλογές. Η ασφάλεια εστιασμένη στον άνθρωπο αντιστρέφει το ερώτημα και ρωτά γιατί η ασφαλής επιλογή είναι δύσκολη. Οι δύο οπτικές οδηγούν σε διαφορετικές συνήθειες.

Το Anexet δεν αντικαθιστά την εκπαίδευση ούτε την κουλτούρα, αλλά η κονσόλα του υποστηρίζει τον κύκλο με επίκεντρο τον άνθρωπο. Ένας κανόνας αποκλεισμού μπορεί να εμφανίζει σύντομη ειδοποίηση στον σταθμό εργασίας του εργαζομένου, με κείμενο που γράφει ο διαχειριστής, ενώ η πρόσβαση στα γραφικά στοιχεία του πίνακα ελέγχου και στις λίστες χρηστών ρυθμίζεται ανά ρόλο. Επειδή το Anexet Activity εγκαθίσταται τοπικά (on-premise), τα δεδομένα πίσω από αυτές τις προβολές παραμένουν εντός του οργανισμού.

1 / 2

• 
• 

Η παρατήρηση της συμπεριφοράς θέτει το δικό της ανθρώπινο ερώτημα: πόση ορατότητα είναι δίκαιη. Ένα πρόγραμμα εστιασμένο στον άνθρωπο αντιμετωπίζει την παρακολούθηση ως αναλογική και διαφανή. Το προσωπικό πρέπει να γνωρίζει τι συλλέγεται και γιατί, η πρόσβαση σε δεδομένα σε επίπεδο ατόμου πρέπει να περιορίζεται στους ρόλους που τη χρειάζονται και η βαθύτερη ανάλυση πρέπει να έπεται μιας ειδοποίησης και όχι της περιέργειας.

Εδώ ταιριάζει και η αναλυτική συμπεριφοράς χρηστών και οντοτήτων (UEBA): ως τρόπος να εντοπίζεται μια αλλαγή σε σχέση με το δικό του φυσιολογικό πρότυπο κάθε ατόμου και όχι ως ετυμηγορία για το άτομο. Οι κανόνες για την παρακολούθηση εργαζομένων και τα προσωπικά δεδομένα διαφέρουν ανά χώρα και εργοδότη, γι' αυτό ο νομικός έλεγχος προηγείται της εφαρμογής και δεν έπεται.

Ξεκινήστε μικρά και συγκεκριμένα. Επιλέξτε έναν τύπο δεδομένων υψηλής αξίας, ανακαλύψτε πώς τον μετακινούν πραγματικά οι άνθρωποι και συγκρίνετε την εγκεκριμένη διαδρομή με τις συντομεύσεις. Αφαιρέστε την τριβή που σπρώχνει προς τη συντόμευση και έπειτα προσθέστε ελέγχους πρόληψης απώλειας δεδομένων (DLP) για ό,τι απομένει, με μηνύματα που λένε τι συνέβη και τι να γίνει στη συνέχεια. Εξετάστε τα αποτελέσματα με τις ομάδες που αφορούν και επαναλάβετε.