Analisi Comportamentale

Nella sicurezza, l'analisi comportamentale è la pratica di esaminare l'attività digitale osservabile delle persone dentro un'organizzazione, dipendenti, collaboratori, amministratori, per capire cosa è normale e notare cosa non lo è. L'unità di analisi non è un singolo file o messaggio, ma pattern di attività nel tempo: quando le persone lavorano, quali applicazioni e siti usano, con chi comunicano, quali dati toccano, con quale intensità.

La premessa: la maggior parte degli incidenti interni è preceduta da cambiamenti osservabili del comportamento. Un dipendente che prepara l'uscita, un account preso da un esterno, un utente che si spinge ben oltre il proprio ambito abituale, ciascuno appare prima come una deviazione da un pattern consolidato. L'analisi comportamentale è un modo strutturato di notare questi cambiamenti in anticipo, invece di ricostruirli dopo un incidente.

La conduca un analista o un motore automatizzato, l'analisi comportamentale segue un ciclo che si ripete:

L'output non è un verdetto, ma una priorità: una lista ordinata di persone la cui attività recente merita uno sguardo più attento, con ogni deviazione legata agli eventi che la sottendono.

1. 1

   Raccolta

   I dati di attività vengono registrati da endpoint e canali: uso di applicazioni e web, posta e messaggistica, operazioni sui file, connessioni di dispositivi, stampa.

2. 2

   Baseline

   Per ogni utente, ruolo o gruppo si costruisce un profilo di attività normale, su un periodo abbastanza lungo da catturare il ritmo di lavoro.

3. 3

   Confronto

   L'attività in corso è messa a confronto con la baseline e con le soglie di policy, conteggi e volumi che segnano un allontanamento dalla norma.

4. 4

   Valutazione

   Le deviazioni sono classificate per categoria, potenziale perdita di dati, violazione di policy, segnali di slealtà, e ricevono un livello di rischio che riflette gravità e recidività.

5. 5

   Risposta

   Il rischio confermato porta ad avvisi, indagini o azioni preventive; i reperti scartati aggiustano baseline e soglie.

Una baseline è il profilo dell'attività normale di un utente, di un ruolo o di un gruppo, costruito in un periodo abbastanza lungo da cogliere il ritmo di lavoro. Uno scostamento è un allontanamento misurabile da quel profilo. La stessa azione può essere routine per una persona e un segnale per un'altra, quindi una regola fissa per tutti manca casi reali oppure sommerge il team di falsi allarmi. Confrontare ogni persona con la propria storia e con i colleghi dello stesso ruolo mantiene il segnale utile. Le baseline si basano sui dati già raccolti del monitoraggio delle attività degli utenti, e gli scostamenti vengono letti alla luce di schemi noti di minacce interne.

Esaminare uno scostamento conta quanto rilevarlo. Gli analisti verificano gli eventi dietro ogni cambiamento segnalato, e le loro decisioni tornano nella baseline: così uno schema innocuo, come il report di chiusura mensile, smette di generare avvisi.

• Orario di lavoro confrontato con l'orario abituale della persona e con il ritmo del team
• Volume di messaggi, file e download per ora, giorno o settimana
• Applicazioni, siti e destinatari che la persona usa di solito
• Repository, cartelle condivise e sistemi che la persona apre di solito

Nella sicurezza, l'analisi comportamentale tratta esclusivamente azioni osservabili sui sistemi aziendali: quali risorse sono state accedute, cosa è stato inviato dove, quando e in che volume. Non inferisce tratti della personalità, atteggiamenti o intenzioni, né prevede cosa una persona potrebbe fare fuori dai sistemi di lavoro. Il profiling psicologico è un'attività diversa, con limiti legali molto più rigidi, e non è ciò che fa l'analisi del rischio insider.

La distinzione conta giuridicamente: i regolatori accettano il monitoraggio dell'attività lavorativa quando è proporzionato, trasparente e limitato a una finalità, mentre valutare personalità o vite private è un trattamento sensibile che la maggior parte dei quadri limita o vieta. Un programma difendibile nomina gli indicatori che traccia; non caratterizza la persona che c'è dietro.

Un ultimo confine: l'analisi comportamentale di utenti ed entità (UEBA) è la categoria tecnologica che automatizza l'analisi comportamentale con modelli statistici; l'analisi comportamentale in sé è la pratica più ampia, esercitata dagli analisti come dai motori.

La maggior parte di questi schemi emerge prima come uno scostamento dalla baseline della persona stessa. Gli strumenti UEBA automatizzati li segnalano, e spetta agli analisti stabilire cosa significa ciascuno.

Nel modulo Insider Threat Detection ogni incidente ha un livello di rischio e una categoria, così il responsabile della sicurezza vede dove si concentra il rischio prima di aprire un singolo evento.

1 / 2

• 
• 

Costruita sul monitoraggio dei dipendenti, l'analisi comportamentale è disciplinata dal diritto del lavoro e dalla protezione dei dati. Nell'UE e nel Regno Unito il GDPR richiede base legittima, finalità definita, proporzionalità e trasparenza, i dipendenti devono sapere che il monitoraggio esiste e cosa copre; in Italia l'art. 4 dello Statuto dei lavoratori subordina gli strumenti di controllo a esigenze organizzative, all'accordo sindacale o all'autorizzazione dell'Ispettorato. Altre giurisdizioni fissano proprie regole di notifica; la minimizzazione dei dati vale ovunque: raccogliere ciò che la finalità richiede, e niente di più.

Tutele pratiche: una policy di monitoraggio scritta e comunicata al personale, registri comportamentali riservati a ruoli definiti, limiti di conservazione e una netta separazione tra analisi di sicurezza e valutazione delle prestazioni. La linea legale corre tra l'osservazione dell'attività sugli asset aziendali e la sorveglianza occulta degli individui.

Inizia dai dati la cui fuga farebbe più danni, poi dai canali che questi dati usano davvero. Un programma chiaro di gestione del rischio interno richiede un elenco breve di indicatori che l'organizzazione sappia spiegare al proprio personale.

Prima che uno scostamento diventi una conclusione, controlla gli eventi che lo sostengono e il contesto del lavoro. Uno scostamento è una domanda a cui rispondere, non un giudizio sulla persona.

Per approfondire: Profiling.