Che cosa comprende un programma per le minacce interne
Un programma per le minacce interne è il piano permanente di un'organizzazione per gestire i rischi che provengono da persone che già hanno un accesso legittimo: dipendenti, collaboratori e partner. Il suo obiettivo è prevenire i danni dove possibile, individuarli per tempo e rispondere in modo coerente. Il rischio in sé è descritto in minaccia interna.
Il programma riguarda le persone, non solo i sistemi, quindi richiede più funzioni insieme. Sicurezza, risorse umane, ufficio legale e responsabili di business hanno ciascuno un ruolo definito. La disciplina più ampia che il programma mette in pratica è la gestione dei rischi interni.
Che cosa include un programma maturo
Nonostante il nome, un programma per le minacce interne va oltre la tecnologia. I programmi maturi combinano di solito sei elementi:
| Elemento | Che cosa copre |
|---|---|
| Governance e ruoli | Sponsor di alto livello, responsabile del programma, gruppo di lavoro interfunzionale |
| Politica e ambito | Rischi interni definiti, asset critici e comportamenti monitorati |
| Formazione e consapevolezza | Formazione all'ingresso e periodica, come segnalare le preoccupazioni |
| Monitoraggio e rilevamento | Visibilità tecnica sull'attività degli utenti, sui trasferimenti di dati e sulle violazioni |
| Risposta e indagine | Triage, escalation, gestione delle prove, chiusura dei casi |
| Metriche e revisione | Misurare l'efficacia e riportare le lezioni apprese nella politica |
Un programma non è un prodotto
Un equivoco comune è credere che installare un software di monitoraggio equivalga ad avere un programma. Lo strumento genera avvisi. Il programma definisce che cosa viene monitorato, chi esamina i risultati, quali soglie fanno scattare un'azione, come procedono le indagini e quali tutele della privacy si applicano.
La visibilità tecnica deriva di solito dal monitoraggio dell'attività degli utenti e da uno strumento di rilevamento delle minacce interne. Senza di essi, il programma si basa soprattutto su autodichiarazioni e audit periodici, che spesso individuano i problemi in ritardo.
Il ciclo di vita del programma
Un modo pratico per organizzare il lavoro è un ciclo continuo in quattro fasi:
- 1
Preparare e valutare
Definire governance, politica, revisione legale e della privacy, e individuare asset e dati critici.
- 2
Rilevare e identificare
Raccogliere i dati sull'attività degli utenti e correlarli con indicatori di rischio definiti.
- 3
Valutare
Fare il triage degli indicatori per separare anomalie innocue da comportamenti davvero preoccupanti. Scalare dove necessario.
- 4
Rispondere
Indagare, intervenire e documentare gli esiti. I risultati tornano alle regole di rilevamento e alla formazione.
Definire che cosa conta come rischio
Una politica scritta ha bisogno di categorie di rischio con un nome. Gli indicatori di minaccia interna sono utili solo se puntano a una categoria che l'organizzazione ha già deciso di seguire. In Anexet le categorie si gestiscono nel gestore delle categorie di rischio, dove ognuna ha un livello di rischio predefinito.
Errori comuni
La maggior parte dei programmi che falliscono fallisce nello stesso modo: partono dagli strumenti invece che da un elenco di ciò che va protetto. Gli avvisi si accumulano, nessuno ne è responsabile e il personale impara a ignorarli.
I controlli tecnici come la prevenzione della perdita di dati (DLP) bloccano trasferimenti specifici, ma non sostituiscono i passaggi di revisione e risposta che fanno funzionare il programma.
Uno strumento senza ambito scritto e senza un responsabile degli avvisi produce dati, non un programma.
- Monitorare tutti allo stesso modo, senza un ambito definito né una revisione della privacy
- Avvisi senza responsabile, quindi gli incidenti si chiudono senza una decisione
- Nessun passaggio di risposta scritto, quindi ogni caso viene gestito in modo diverso
Da dove iniziare
Partite dagli asset e dai dati la cui fuga causerebbe il danno maggiore, poi definite i pochi comportamenti che contano per loro. Un programma circoscritto si può testare e correggere. Uno che parte monitorando tutto viene spesso disattivato.
Il monitoraggio tecnico è un contributo a questo lavoro. Anexet DLP registra ogni evento con utente, data e ora, canale e azione eseguita, dando ai revisori le prove di cui hanno bisogno.
Per approfondire: Come riconoscere un insider in azienda e prevenirne le attività?; Le prime 5 tipologie di dati che i concorrenti cercano di rubare.
Una fuga raramente sembra un attacco. Sembra una normale giornata di lavoro, un trasferimento alla volta.
Anexet TeamCome Anexet affronta questo
Un programma per le minacce interne è un quadro organizzativo, non un software. Governo, politica e persone formate non sono sostituibili da uno strumento. Il posto di Anexet è nelle fasi di rilevamento e risposta del programma: è il livello di monitoraggio e rilevamento su cui un programma di questo tipo può appoggiarsi per la visibilità tecnica.
L'architettura on-premise mantiene i dati di monitoraggio nell'infrastruttura dell'organizzazione, un elemento che conta per l'esame legale e sulla riservatezza richiesto dai programmi formali.
Rilevamento tramite ispezione dei contenuti
i metodi di classificazione comprendono tesauri di sicurezza (dizionari di termini sensibili), banche di hash per la corrispondenza esatta dei file, librerie di impronte digitali per i modelli di documento e l'integrazione con le etichette di riservatezza: i trasferimenti a rischio si riconoscono da ciò che contengono.
Copertura dei canali
gli agenti endpoint monitorano posta elettronica, web, applicazioni di archiviazione cloud, messaggistica, dispositivi rimovibili, stampa e appunti: i canali attraverso cui i dati si spostano negli scenari interni.
Monitoraggio dell'attività degli utenti
i dati di attività (quali utenti, quali azioni, quali applicazioni) forniscono la materia prima che gli analisti del programma vagliano rispetto agli indicatori di rischio definiti.
Traccia di audit
ogni evento è registrato con utente, marca temporale, canale, classificazione del contenuto e azione adottata: materiale per le indagini e per la revisione successiva all'incidente.
Anexet DLP
Scopri di più