Minaccia Interna (Insider)

Gli attacchi esterni attivano le difese perimetrali, come firewall, rilevamento delle intrusioni e antivirus, progettate per fermare attori sconosciuti. Le minacce interne le aggirano del tutto: l'attore è già dentro, possiede credenziali valide e la sua presenza sulla rete è attesa.

I perimetri tradizionali tengono fuori gli esterni, ma non osservano che cosa fanno gli interni una volta entrati. Un trasferimento discreto di file fuori dall'azienda, cioè una esfiltrazione di dati, può superare tutti i controlli perimetrali, perché chi lo compie ha accesso autorizzato ai dati.

Per questo i programmi sulle minacce interne combinano controlli tecnici, come monitoraggio, prevenzione della perdita di dati e analisi comportamentale, con misure organizzative, come governance degli accessi, formazione e procedure di risposta agli incidenti. Nessuno strumento da solo risolve il problema.

Non tutti gli insider sono uguali, e il rischio insider di ciascun gruppo richiede controlli diversi. I team di sicurezza di solito distinguono tre tipi.

L'insider malintenzionato abusa intenzionalmente del proprio accesso, per esempio per sottrarre dati a un concorrente, commettere frodi o sabotare sistemi dopo una comunicazione di licenziamento. L'insider negligente causa danni per errore o per scarsa attenzione alle policy, come inviare dati dei clienti al proprio account personale per lavorare da casa.

L'insider compromesso è un dipendente le cui credenziali sono state rubate o il cui dispositivo è stato preso in controllo da un attaccante esterno. L'attività appare autorizzata, ma parte da un account interno, quindi rientra nel monitoraggio delle minacce interne.

I programmi sulle minacce interne osservano i segnali comportamentali che distinguono l'attività dannosa dal lavoro ordinario. Tra gli indicatori tipici figurano:

• Anomalie nell'accesso ai dati: download di molti più dati di quanti il ruolo ne richieda, o apertura di file fuori dal proprio ambito.
• Schemi di orario e luogo: attività in orari o luoghi insoliti, oppure poco prima di dimettersi.
• Uso improprio dei canali: caricamenti consistenti su cloud personali, stampe massive o copie su USB.
• Violazioni delle policy: tentativi ripetuti di aggirare i controlli, monitoraggio disattivato o shadow IT.
• Cambiamenti di comportamento: variazioni improvvise nel ritmo di lavoro, calo di produttività o crescente malcontento.

I quattro approcci si completano. Il monitoraggio dell'attività degli utenti registra che cosa fanno le persone, e l'analisi comportamentale di utenti ed entità individua gli scostamenti dagli schemi abituali. Il DLP mostra quali dati si muovono e il SIEM collega i segnali tra loro.

Nessun indicatore isolato conferma una minaccia. I programmi usano un punteggio di rischio, che combina più segnali nel tempo, per stabilire quali casi richiedono un'indagine umana.

1. 1

   Registrare l'attività

   Il monitoraggio registra programmi avviati, file aperti, siti visitati e dati trasferiti su ogni postazione.

2. 2

   Confrontare con la norma

   L'analisi comportamentale verifica ogni azione rispetto al profilo abituale della persona e alle norme del suo gruppo.

3. 3

   Seguire i dati

   Il DLP mantiene i dati sensibili dentro canali controllati, qualunque sia l'intenzione del trasferimento.

4. 4

   Collegare i segnali

   Il SIEM aggrega i log di molti sistemi, così gli eventi correlati vengono messi in relazione e generano avvisi.

Il motore di analisi del rischio del modulo Activity valuta gli utenti in otto categorie predefinite, tra cui Internal threat e Data leak. La categoria Internal threat copre sia le azioni intenzionali sia quelle non intenzionali dei dipendenti.

1 / 2

• 
• 

Un programma maturo, come descritto in gestione del rischio insider, è un processo definito e non solo un insieme di strumenti. Coinvolge la sicurezza IT (monitoraggio e rilevamento), le risorse umane (eventi del personale e contesto comportamentale), l'ufficio legale (limiti di riservatezza e di diritto del lavoro) e la direzione (soglie di escalation).

Regole chiare su che cosa viene monitorato, perché e su quale base sono indispensabili per efficacia e conformità. In molte giurisdizioni il monitoraggio dei lavoratori è regolato e richiede informativa, finalità legittima e proporzionalità. In Italia rileva in particolare l'articolo 4 dello Statuto dei lavoratori, con l'accordo sindacale o l'autorizzazione dell'Ispettorato.

Parta dagli account e dai dati il cui uso improprio causerebbe il danno maggiore, poi mappi i canali che usano davvero. Policy scritte per ogni file contemporaneamente bloccano il lavoro quotidiano e finiscono per essere disattivate.

Un programma sulle minacce interne mirato può ampliare il proprio perimetro quando i primi risultati mostrano quali segnali contano davvero.

Per approfondire: Come riconoscere un insider in azienda e prevenirne le attività?; Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.