Due metà di un'unica disciplina
Nel controllo degli accessi, un soggetto è qualsiasi attore in grado di agire in un sistema: un account di dipendente, un amministratore, un collaboratore esterno, un account di servizio o un processo eseguito per conto di uno di loro. Le due parole del termine pongono domande diverse su questo soggetto.
La gestione delle capacità chiede che cosa il soggetto può tecnicamente fare. Si occupa di assegnare, verificare e revocare i privilegi: ruoli, diritti su file e sistemi, autorizzazione a usare supporti rimovibili o a installare software, ed elevazione amministrativa.
La gestione dei comportamenti chiede che cosa al soggetto è consentito fare. Si occupa delle regole di condotta: uso accettabile di canali e dati, restrizioni per gruppi definiti, condizioni in cui un'azione viene bloccata o segnalata, e conseguenze della violazione.
Le due metà si limitano a vicenda. Un soggetto può essere in grado di esportare un database clienti e pure essere vietato dal farlo, perché nessuna policy può consentire ciò che la capacità sottostante nega. I programmi maturi gestiscono la coppia insieme: la capacità fissa il tetto del danno possibile, e le regole di comportamento definiscono il corridoio di azione accettabile al suo interno.
| Dimensione | Gestione delle capacità | Gestione dei comportamenti |
|---|---|---|
| Domanda chiave | Che cosa può fare questo soggetto? | Che cosa gli è consentito fare? |
| Oggetto principale | Privilegi, ruoli, diritti, autorizzazioni | Regole di condotta e relativa applicazione |
| Strumenti tipici | Minimo privilegio, separazione dei compiti, revisione degli accessi | Policy di uso accettabile, restrizioni, sanzioni |
| Quando fallisce | Accumulo di privilegi, account orfani | Regole sulla carta, applicazione incoerente |
Perché i programmi per le minacce interne si basano su questo
La maggior parte dei modelli di minaccia interna descrive il rischio come combinazione di motivazione, opportunità e capacità. Le intenzioni non si possono leggere, e l'opportunità è intrinseca al lavoro quotidiano, perché le persone devono raggiungere i dati per usarli. Il fattore direttamente controllabile è la capacità, insieme al comportamento che circonda il suo utilizzo.
Ridurre la capacità non rende un incidente meno probabile. Rende l'incidente che avviene più piccolo, più lento e più visibile. La disciplina si colloca quindi all'estremo preventivo di un programma per le minacce interne: funziona ogni giorno, mentre il rilevamento si giudica su eventi rari.
La gestione delle capacità in pratica
In pratica il lavoro è un ciclo di vita, non un blocco una tantum. Molti team tengono i gruppi in un servizio di directory, così le verifiche partono da un unico elenco di account.
| Controllo | Che cosa significa |
|---|---|
| Minimo privilegioAccesso coerente con i compiti attuali | Ogni soggetto conserva solo l'accesso che i suoi compiti richiedono, e soltanto per la loro durata. |
| Separazione dei compitiNessun approvatore unico | Nessun soggetto singolo crea e approva da solo un'azione critica. Si verificano anche le combinazioni di privilegi, non solo i singoli diritti. |
| Assegnazione e ricertificazioneApprovatore nominato, revisione periodica | L'accesso viene concesso da un approvatore nominato, riconfermato dal responsabile e revocato al cambio di ruolo. |
| Account privilegiati e di servizioElevazione limitata nel tempo | L'elevazione amministrativa è limitata nel tempo e nel perimetro, e viene registrata. Gli account di servizio sono inventariati e le loro credenziali ruotate. |
| Soggetti non umaniProcessi e automazioni | Processi e automazioni ricevono un insieme esplicito, minimo e verificabile di capacità. |
Dove si colloca tra gli altri controlli
La gestione delle capacità e dei comportamenti è preventiva, e i controlli vicini coprono ciò che non vede. La gestione delle identità e degli accessi fornisce l'infrastruttura: directory, gruppi e flussi di approvazione. L'analisi del comportamento osserva la condotta rispetto a baseline e regole dichiarate, mentre la prevenzione della perdita di dati (DLP) applica le regole a livello di contenuto, indipendentemente da chi detiene il privilegio.
La divisione dei compiti conta in entrambe le direzioni. Il monitoraggio senza limiti di capacità produce allarmi senza contenimento, perché una violazione confermata lascia il soggetto in grado di ripeterla. I limiti senza osservazione producono un contenimento silenzioso, perché nessuno sa quando le regole vengono messe alla prova. Indagine e risposta subentrano quando emerge un segnale.
Come appare in Anexet
Nella console di Anexet i diritti si impostano per gruppo di utenti. La scheda dei privilegi mostra i moduli che i membri del gruppo possono aprire, e la vista dei diritti indica quale gruppo concede ciascun diritto, così un permesso inatteso si può ricondurre alla sua origine.
1 / 2
La gestione dei comportamenti in pratica
La gestione dei comportamenti inizia sulla carta e finisce nell'applicazione. Una regola pubblicata che nessuno applica crea un'apparenza di controllo, non il controllo:
- 1
Definire le regole di uso accettabile
Stabilite quali canali, dati e azioni sono normali al lavoro, in una policy che i soggetti conoscono e accettano.
- 2
Aggiungere restrizioni tecniche
Dove il comportamento incontra la capacità: condizioni di blocco, canali disattivati per gruppi definiti, quarantena delle azioni fuori policy.
- 3
Applicare conseguenze prevedibili
Usate sanzioni proporzionate e applicate con coerenza. La deterrenza dipende più dalla coerenza che dalla severità.
- 4
Osservare rispetto alle regole
Confrontate ciò che i soggetti fanno davvero con ciò che le regole consentono, così che le violazioni emergano come eventi.
- 5
Guidare e rafforzare
Formazione, esempi chiari e riconoscimento delle buone pratiche modellano la condotta, non si limitano a punirne l'assenza.
Limiti e compromessi
I modi di fallimento sono prevedibili. Capacità più strette di quanto il lavoro richieda bloccano le attività ordinarie e creano code di eccezioni. Se restano troppo larghe, si accumulano in un accumulo di privilegi. Le regole di condotta applicate in modo selettivo perdono significato più in fretta di regole assenti, perché insegnano che l'applicazione è arbitraria.
L'osservazione dei comportamenti si sovrappone al monitoraggio dei dipendenti ed eredita i suoi limiti giuridici: proporzionalità, trasparenza, limitazione della finalità e, in molte giurisdizioni, consultazione dei rappresentanti dei lavoratori. Riduce l'impatto senza eliminare il rischio, per questo i programmi la abbinano a rilevamento e risposta.
Un soggetto che agisce entro i diritti concessi può comunque causare danni. Abbinate questi controlli a rilevamento e risposta.
Da dove cominciare
Partite dai dati la cui fuga farebbe più danni, poi mappate le capacità e i canali che vi conducono. Le policy scritte per ogni file e ogni privilegio contemporaneamente finiscono per bloccare il lavoro e vengono disattivate.
Per approfondire: Profiling.
La capacità decide che cosa può accadere. Le regole di comportamento decidono che cosa deve accadere. Entrambe hanno bisogno di un responsabile.
Anexet Team