Monitoraggio

Il monitoraggio è l'osservazione continua o periodica di un sistema, di una persona, di una rete o di un processo. Serve a conoscerne lo stato e a rilevare i cambiamenti nel momento in cui avvengono. Nell'IT aziendale i dati vengono raccolti mentre gli eventi accadono, così l'organizzazione può accorgersene, indagare e reagire finché conta, invece di ricostruire tutto a posteriori.

La registrazione passiva salva gli eventi in file. L'audit successivo verifica le attività a posteriori rispetto a uno standard. Il monitoraggio è invece un'osservazione attiva, con l'obiettivo di rilevare e intervenire.

A seconda di cosa viene osservato e perché, il monitoraggio in un'organizzazione si divide in diversi tipi riconosciuti. I confini sono sfumati: un unico agente su un endpoint può alimentare contemporaneamente il monitoraggio della sicurezza, dei dipendenti e degli asset. Nella pratica conta quindi l'ampiezza e la profondità della raccolta, più dell'etichetta. La parte relativa ai dipendenti è descritta in monitoraggio dell'attività degli utenti.

I dati di monitoraggio vanno da un livello leggero a uno profondo. Al livello leggero ci sono i metadati: quale applicazione è stata eseguita e per quanto tempo, quale sito è stato contattato, quando un file è cambiato. Una raccolta più profonda aggiunge contenuti come i testi dei messaggi, il corpo dei documenti e gli screenshot e, in ambienti ad alta sicurezza, audio e video della postazione. Più la raccolta è profonda, più è utile alle indagini e più è difficile giustificarla secondo la normativa sulla privacy. L'esempio più granulare di questo livello profondo è il monitoraggio della digitazione.

Le categorie tipiche comprendono eventi di autenticazione, attività di applicazioni e web, traffico di posta, operazioni sui file come copia, stampa o trasferimento su supporti rimovibili, messaggistica istantanea, uso degli appunti e screenshot. Cosa si può raccogliere, per quanto tempo e con la consapevolezza di chi, lo decidono la legge e la policy interna.

Le ragioni dichiarate per il monitoraggio sul lavoro si raggruppano attorno a cinque obiettivi. Il primo è il più vicino al rilevamento delle minacce interne, dove la linea temporale delle attività mostra cosa è successo prima di un allarme.

• Rilevamento delle minacce: individua malware, account compromessi e attività interne
• Protezione dei dati: rende visibili i trasferimenti via posta, web e USB
• Conformità e prove: fornisce una traccia di audit quando un incidente viene indagato o segnalato
• Produttività e risorse: mostra come vengono usati orario di lavoro, attrezzature e software licenziato
• Indagine sugli incidenti: ricostruisce chi ha fatto cosa, quando e attraverso quale canale

La vista in tempo reale arriva da Anexet Activity: il supervisore segue più postazioni insieme e può avviare una registrazione dalla stessa schermata. I grafici di traffico appartengono alla parte di intercettazione di rete del prodotto, che copre anche il monitoraggio del traffico web.

1 / 2

• 
• 

Il monitoraggio è il punto in cui la sicurezza dell'organizzazione incontra il diritto individuale alla vita privata, e ogni giurisdizione risolve questa tensione in modo diverso. Nell'UE e in regimi simili il monitoraggio dei dipendenti richiede una base giuridica, una finalità definita, proporzionalità, trasparenza verso le persone interessate e limiti di conservazione. Il monitoraggio segreto è in genere accettabile solo di fronte a un sospetto concreto e documentato, per un tempo limitato e verso un gruppo ristretto di persone.

Gli Stati Uniti partono da una base più permissiva: i datori di lavoro hanno ampi diritti sull'attività svolta sui sistemi aziendali, anche se le leggi statali su biometria e intercettazione delle comunicazioni pongono limiti propri. Due principi valgono ovunque: usare il mezzo meno invasivo che raggiunge lo scopo e fissare le aspettative in anticipo con una policy di monitoraggio che i dipendenti conoscano davvero.

Un programma di monitoraggio che resiste al controllo legale ed etico si basa sugli stessi elementi in ogni giurisdizione.

1. 1

   Documentare la finalità

   Il monitoraggio serve a gestire un rischio preciso, come perdita di dati, frode o guasto di sistema, e non a soddisfare la curiosità.

2. 2

   Mantenere un perimetro proporzionato

   Profondità della raccolta, gruppo monitorato e periodo di conservazione corrispondono a quel rischio. Le tecniche più invasive restano riservate alle indagini con un innesco concreto.

3. 3

   Garantire la trasparenza

   I dipendenti sanno che il monitoraggio esiste, cosa copre e come esercitare i propri diritti sui dati.

4. 4

   Proteggere i dati di monitoraggio

   I registri di attività sono tra gli asset più sensibili di un'organizzazione. L'accesso è limitato e registrato.

Parti dal rischio a cui il monitoraggio deve rispondere, poi scegli la raccolta più leggera che vi risponde. Una finalità scritta, un periodo di conservazione breve e una policy che i dipendenti hanno letto sono più facili da difendere di una registrazione completa di ogni schermo. I risultati possono poi essere condivisi come report di conformità sulla sicurezza con chi risponde di quel rischio.

Per approfondire: SOC e sicurezza informativa.