Κίνδυνος Insider

Η διάκριση είναι κάτι περισσότερο από σημασιολογική: καθορίζει τον τρόπο λειτουργίας των προγραμμάτων κινδύνου insider.

Η αντιμετώπιση των εσωτερικών χρηστών ως δυαδικής κατηγορίας (απειλή ή όχι) οδηγεί είτε σε υπερβολική αντίδραση, με καχυποψία προς όλους, είτε σε ανεπαρκή αντίδραση, με αγνόηση των πρώιμων σημάτων. Η θεώρησή τους ως φορέων μετρήσιμου κινδύνου επιτρέπει να ιεραρχούνται οι περιπτώσεις, να δοσολογείται η αντίδραση και να γίνεται η κατάλληλη παρέμβαση.

Ο κίνδυνος είναι πιθανότητα, ενώ μια εσωτερική απειλή είναι ενεργός ή επικείμενος κίνδυνος. Γι' αυτό ένα πρόγραμμα διαχείρισης κινδύνου insider δρα πριν από το περιστατικό και όχι μόνο κατά τη διάρκειά του.

Ο κίνδυνος insider προέρχεται από τρεις ευρείες κατηγορίες ανθρώπων με πρόσβαση. Κάθε μία απαιτεί διαφορετικούς ελέγχους, γι' αυτό αξίζει να τις ξεχωρίζουμε.

Ο κίνδυνος δεν είναι στατικός: ανεβαίνει και πέφτει ανάλογα με ατομικούς και συγκυριακούς παράγοντες:

• Επίπεδο πρόσβασης: όσο μεγαλύτερη η πρόσβαση σε ευαίσθητα δεδομένα και συστήματα, τόσο μεγαλύτερη η πιθανή επίπτωση;
• Αλλαγές συμπεριφοράς: απότομες αλλαγές σε ρυθμούς, όγκους δεδομένων ή κανάλια μπορεί να δείχνουν αυξανόμενο κίνδυνο;
• Εργασιακά συμβάντα: παραιτήσεις, απολύσεις, πειθαρχικά μέτρα και αλλαγές ρόλων αυξάνουν τον κίνδυνο;
• Εξωτερικές πιέσεις: οικονομικές δυσκολίες, προσωπικές κρίσεις ή ανταγωνιστικές προσφορές μπορούν να δημιουργήσουν κίνητρο;
• Κενά ελέγχου: ανεπαρκής παρακολούθηση, υπερβολικά προνόμια ή αδύναμη διακυβέρνηση πρόσβασης.

Τα ώριμα προγράμματα δεν βασίζονται στο ένστικτο ούτε σε μεμονωμένα σήματα. Λειτουργούν σε τέσσερα βήματα, και η ανάλυση συμπεριφοράς χρηστών και οντοτήτων (UEBA) κάνει τη βαθμολόγηση:

1. 1

   Συλλογή συμπεριφοράς

   Μοτίβα πρόσβασης σε δεδομένα, χρονικά μοτίβα, χρήση καναλιών και παραβάσεις πολιτικής.

2. 2

   Προσθήκη πλαισίου

   Συμβάντα ανθρώπινου δυναμικού, όπως αποχωρήσεις και αλλαγές ρόλων, επισκοπήσεις προσβάσεων και οργανωτικές αλλαγές.

3. 3

   Βαθμολόγηση χρήστη

   Τα σήματα σταθμίζονται κατά σοβαρότητα και συσχέτιση. Ένα μόνο ασθενές σήμα σημαίνει χαμηλό κίνδυνο, ενώ συγκλίνοντα σήματα ανεβάζουν τη βαθμολογία.

4. 4

   Παρακολούθηση τάσης

   Ο κίνδυνος που αυξάνεται με τον χρόνο μετράει περισσότερο από τον σταθερό ή τον φθίνοντα, ακόμη και στο ίδιο επίπεδο.

Στην κονσόλα πελάτη της Anexet, οι κατηγορίες κινδύνου καθορίζουν πόσο μετράει κάθε είδος συμβάντος, και ένας κανόνας ειδοποίησης ενεργοποιείται όταν η βαθμολογία ενός χρήστη ξεπεράσει ένα ορισμένο όριο. Λεπτομέρειες υπάρχουν στη σελίδα για τον εντοπισμό εσωτερικών απειλών.

1 / 2

• 
• 

Ο μετριασμός του κινδύνου και ο εντοπισμός απειλών αλληλοσυμπληρώνονται. Ένα καλά σχεδιασμένο πρόγραμμα κάνει και τα δύο: μειώνει τον βασικό κίνδυνο, ώστε να συμβαίνουν λιγότερα περιστατικά, και εντοπίζει γρήγορα όσα συμβαίνουν, ώστε να περιορίζεται η επίπτωση. Ο εντοπισμός βασίζεται σε συστήματα DLP και σε έρευνες. Η παρακολούθηση που αποτρέπει την ευκαιριακή κατάχρηση εντάσσεται επίσης στον μετριασμό.

Δεν δικαιολογεί κάθε κίνδυνος insider την ίδια αντίδραση. Μια περίπτωση υψηλού κινδύνου, όπως ένας προνομιούχος διαχειριστής που προσπελαύνει ασυνήθιστα δεδομένα εκτός ωραρίου, απαιτεί άμεση διερεύνηση. Μια περίπτωση χαμηλού κινδύνου, όπως ένας νεότερος εργαζόμενος με μία προειδοποίηση, απαιτεί παρακολούθηση και όχι παρέμβαση.

Τα προγράμματα που αντιμετωπίζουν κάθε σήμα ως κρίση δημιουργούν αβάσιμες κατηγορίες, διαβρώνουν την εμπιστοσύνη των εργαζομένων και σπαταλούν πόρους. Όσα προσαρμόζουν την αντίδραση στο επίπεδο κινδύνου είναι αποτελεσματικότερα και ευκολότερα να υπερασπιστούν.

Τα προγράμματα κινδύνου insider λειτουργούν εντός νομικών ορίων. Η παρακολούθηση εργαζομένων ρυθμίζεται στις περισσότερες δικαιοδοσίες, μεταξύ άλλων από τον GDPR στην Ευρωπαϊκή Ένωση, το LGPD στη Βραζιλία, το CCPA και τους πολιτειακούς νόμους των ΗΠΑ, αλλά και από την εργατική νομοθεσία. Ένα πρόγραμμα πρέπει να διαθέτει:

• θεμιτό σκοπό: ασφάλεια και συμμόρφωση, όχι παρακολούθηση προσώπων;
• ενημέρωση των εργαζομένων, που στις περισσότερες δικαιοδοσίες είναι υποχρεωτική;
• αναλογικότητα: η έκταση της παρακολούθησης αντιστοιχεί στον διαχειριζόμενο κίνδυνο;
• ελέγχους πρόσβασης: τα δεδομένα παρακολούθησης δεν είναι ελεύθερα προσπελάσιμα, και μόνο εξουσιοδοτημένοι ρόλοι έχουν πρόσβαση υπό καθορισμένους όρους;
• δίκαιη διαδικασία: τα μέτρα βάσει αυτών των δεδομένων ακολουθούν έρευνα και όχι ωμές ειδοποιήσεις.

Ξεκινήστε από τα δεδομένα των οποίων η διαρροή θα έβλαπτε περισσότερο και μετά από τα κανάλια που πραγματικά χρησιμοποιούν. Βαθμολογίες που χτίζονται πάνω σε όλα ταυτόχρονα παράγουν θόρυβο που κανείς δεν διαβάζει, και μέσα σε αυτόν τον θόρυβο χάνονται τα πραγματικά σήματα.

Περισσότερα: Πώς να αναγνωρίσετε έναν insider σε μια εταιρεία και να αποτρέψετε τη δραστηριότητά του;; Πώς εντοπίζει ένας υπεύθυνος ασφαλείας έναν insider με το σύστημα DLP;.