Insider

Un insider è chiunque abbia un accesso legittimo. Ne fanno parte i dipendenti attuali, i collaboratori esterni, i consulenti, il personale temporaneo e i partner o fornitori ai quali sono stati concessi account, accesso VPN o ingresso negli edifici. Di solito rientrano anche gli ex dipendenti i cui account non sono mai stati rimossi del tutto.

A definire un insider è l'accesso autorizzato, non l'intenzione o il comportamento. La stessa persona può essere un collega di fiducia oggi e un problema di sicurezza domani, per questo il termine descrive un ruolo e non un'etichetta. La visione più ampia di questo ruolo è coperta dal rischio insider.

La pratica della sicurezza distingue gli insider in base all'intenzione e in base a chi si trova davvero dietro l'account. Le azioni sbadate causano spesso danni pari a quelli dell'abuso deliberato, quindi la sola intenzione è un cattivo criterio.

Per gli strumenti di sicurezza un account compromesso appare autorizzato, perché tecnicamente lo è.

Molte di queste abitudini ricadono nello shadow IT: strumenti che nessuno ha approvato e nessuno controlla. Queste abitudini non lasciano né un ticket né una traccia di licenza, quindi i controlli abituali non le vedono mai.

La visibilità torna grazie alla scoperta automatizzata, che mostra cosa è installato e usato, e a un registro aggiornato di chi ha quale accesso.

I casi più comuni seguono pochi schemi:

• Un account personale di condivisione file usato per i documenti dei clienti
• Un indirizzo e-mail personale usato per inviare un listino prezzi
• Una chiavetta USB copiata con il database clienti prima delle dimissioni
• Una stampa lasciata nel vassoio di una stampante condivisa

Nella console client, il gestore delle categorie di rischio definisce come vengono raggruppati gli eventi. Le categorie predefinite, come Internal Threat, hanno già un livello di rischio di base, quindi le attività ad alto rischio emergono senza dover scrivere regole di rilevamento da zero. La pagina sul rilevamento delle minacce interne mostra come questi punteggi confluiscono nelle indagini.

Gli amministratori assegnano inoltre tag di sistema agli utenti, come Suspicious, Special control e Offboarding, così la verifica può seguire la persona e non solo un singolo evento.

1 / 2

• 
• 

Un attaccante esterno deve prima superare il perimetro: firewall, autenticazione e protezione degli endpoint. Un insider parte da dietro tutte queste difese. Ha già credenziali valide, sa dove si trovano i dati preziosi e conosce il quadro dell'attività normale.

Per questo separare l'attività di un insider dal lavoro legittimo è più difficile che rilevare un attacco esterno. L'analisi del comportamento di utenti ed entità (UEBA) affronta il problema confrontando ogni persona con la propria linea di base.

«Insider» descrive un ruolo e non un'etichetta di minaccia, e la grande maggioranza degli insider non causa mai danni. Ogni insider rappresenta comunque un rischio che la sicurezza perimetrale non può vedere: abuso deliberato, errori costosi o compromissione dell'account.

Gestire questo rischio è il compito della gestione del rischio insider. Si riduce a quattro passaggi:

1. 1

   Conoscere l'accesso

   Individuate a quali sistemi, dati e locali può arrivare ogni insider.

2. 2

   Osservare l'uso

   Seguite come viene usato quell'accesso su tutti i canali.

3. 3

   Confrontare con la linea di base

   Misurate l'attività di ogni utente rispetto al suo schema normale.

4. 4

   Intervenire sulle violazioni

   Agite quando un comportamento o un contenuto supera i limiti della policy.

Partite dai dati che causerebbero il danno maggiore se uscissero, poi dai canali che le persone usano davvero per spostarli. Le policy scritte per tutti i file contemporaneamente finiscono per bloccare il lavoro quotidiano e vengono disattivate.

Per approfondire: Come riconoscere un insider in azienda e prevenirne le attività?; Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.