Rischio da Insider

La distinzione non è solo terminologica: definisce il modo in cui operano i programmi sul rischio da insider.

Trattare gli insider come una classificazione binaria (minaccia o non minaccia) porta a una reazione eccessiva, con sospetto verso tutti, oppure a una reazione insufficiente, con i segnali precoci ignorati. Considerarli portatori di un rischio misurabile consente di stabilire priorità, calibrare la risposta e intervenire in modo appropriato.

Il rischio è una probabilità, mentre una minaccia interna è un pericolo attivo o imminente. Per questo un programma di gestione del rischio insider agisce prima dell'incidente, non solo durante.

Il rischio da insider deriva da tre grandi categorie di persone con accesso. Ciascuna richiede controlli diversi, quindi conviene distinguerle.

Il rischio non è statico: sale e scende in base a fattori individuali e di contesto:

• Livello di accesso: più ampio è l'accesso a dati e sistemi sensibili, maggiore è l'impatto potenziale;
• Cambiamenti di comportamento: variazioni brusche di ritmi, volumi di dati o canali possono segnalare un rischio crescente;
• Eventi del personale: dimissioni, licenziamenti, provvedimenti disciplinari e cambi di ruolo alzano il rischio;
• Pressioni esterne: difficoltà economiche, crisi personali o offerte concorrenti possono creare un movente;
• Lacune nei controlli: monitoraggio insufficiente, privilegi eccessivi o governance degli accessi debole.

I programmi maturi non si affidano all'intuito né a singoli segnali. Procedono in quattro fasi, con l'analisi del comportamento di utenti ed entità (UEBA) che calcola il punteggio:

1. 1

   Raccogliere i comportamenti

   Schemi di accesso ai dati, orari, uso dei canali e violazioni delle policy.

2. 2

   Aggiungere il contesto

   Eventi del personale come uscite e cambi di ruolo, revisioni degli accessi e cambiamenti organizzativi.

3. 3

   Assegnare il punteggio

   I segnali sono ponderati per gravità e correlazione. Un segnale debole isolato indica rischio basso, mentre segnali convergenti alzano il punteggio.

4. 4

   Seguire il trend

   Un rischio in crescita nel tempo conta più di uno stabile o in calo, anche allo stesso livello.

Nella console client di Anexet, le categorie di rischio stabiliscono il peso di ogni tipo di evento, e una regola di notifica scatta quando il punteggio di un utente supera una soglia definita. I dettagli sono nella pagina sul rilevamento delle minacce interne.

1 / 2

• 
• 

Mitigazione del rischio e rilevamento delle minacce sono complementari. Un programma ben progettato fa entrambe le cose: abbassa il rischio di fondo, così accadono meno incidenti, e rileva rapidamente quelli che accadono, così l'impatto resta contenuto. Il rilevamento si basa su sistemi DLP e su indagini. Anche il monitoraggio che scoraggia l'abuso occasionale fa parte della mitigazione.

Non ogni rischio da insider richiede la stessa risposta. Un caso ad alto rischio, come un amministratore privilegiato che accede a dati insoliti fuori orario, richiede un'indagine immediata. Un caso a basso rischio, come un dipendente junior con un solo richiamo, richiede monitoraggio, non intervento.

I programmi che trattano ogni segnale come una crisi generano accuse infondate, erodono la fiducia dei dipendenti e sprecano risorse. Quelli che calibrano la risposta sul livello di rischio sono più efficaci e più difendibili.

I programmi sul rischio da insider operano entro vincoli giuridici. Il monitoraggio dei lavoratori è regolato nella maggior parte delle giurisdizioni, tra cui il GDPR nell'Unione Europea, la LGPD in Brasile, il CCPA e le leggi statali negli Stati Uniti, oltre al diritto del lavoro. Un programma deve prevedere:

• una finalità legittima: sicurezza e conformità, non sorveglianza delle persone;
• l'informativa ai dipendenti, dovuta nella maggior parte delle giurisdizioni; in Italia rileva l'articolo 4 dello Statuto dei lavoratori, con accordo sindacale o autorizzazione dell'ispettorato;
• la proporzionalità: l'ampiezza del monitoraggio corrisponde al rischio gestito;
• controlli di accesso: i dati di monitoraggio non sono liberamente consultabili, e vi accedono solo ruoli autorizzati a condizioni definite;
• un procedimento corretto: le misure fondate su questi dati seguono un'indagine, non semplici avvisi grezzi.

Inizia dai dati la cui fuga farebbe più danni, poi dai canali che usano davvero. Punteggi costruiti su tutto insieme producono rumore che nessuno legge, e nel rumore i segnali veri passano inosservati.

Per approfondire: Come riconoscere un insider in azienda e prevenirne le attività?; Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.