Profilazione

Un profilo è una sintesi strutturata costruita a partire da dati su un soggetto: attributi statici, schemi dinamici e caratteristiche dedotte. La profilazione inizia quando questi dati vengono analizzati per valutare, classificare o prevedere qualcosa sul soggetto, e non semplicemente quando vengono registrati.

Il termine copre ambiti molto diversi, con connotazioni differenti:

• Marketing e pubblicità: profili di interessi e intenzione d'acquisto, costruiti da dati di navigazione e transazioni per indirizzare contenuti e offerte.
• Forze dell'ordine e intelligence: profili di sospetti costruiti da registrazioni e metadati di comunicazione, dove le preoccupazioni per la discriminazione sono più acute.
• Sicurezza informatica: profili comportamentali di utenti, account e dispositivi, usati per individuare anomalie e rischio interno. Questo articolo si concentra su quest'area.

Negli strumenti di sicurezza un profilo comportamentale si costruisce in fasi che si ripetono. I controlli lungo il percorso cercano i noti indicatori di minaccia interna.

1. 1

   Raccolta dei dati

   Attività su postazioni e applicazioni: uso dei programmi, operazioni sui file, traffico web e di messaggistica, connessioni dei dispositivi.

2. 2

   Baseline

   Un periodo di apprendimento definisce ciò che è normale per il soggetto: applicazioni abituali, fonti di dati, orari di lavoro e volumi di trasferimento.

3. 3

   Valutazione degli indicatori

   I nuovi eventi vengono confrontati con la baseline e con indicatori di comportamento rischioso, come violazioni di policy, destinazioni insolite o volumi anomali.

4. 4

   Punteggio

   Corrispondenze e scostamenti vengono ponderati in un punteggio di rischio che si aggiorna man mano che arriva nuova attività.

5. 5

   Verifica umana

   Un analista esamina per primi gli eventi sottostanti. Profili e punteggi sono solo dati in ingresso per questa verifica.

La profilazione per la sicurezza è volutamente più circoscritta. Il suo oggetto è il comportamento sui sistemi aziendali, e il suo risultato è una valutazione del rischio, non un giudizio su una persona.

Il suo valore principale è il focus. I programmi di gestione del rischio interno concentrano l'attenzione dove il profilo mostra un rischio elevato, per esempio un picco di copie di dati durante il preavviso o schemi di accesso che suggeriscono un account compromesso.

Pratiche affini danno forma a tutto questo. Il monitoraggio dell'attività degli utenti (UAM) fornisce gli eventi grezzi, e l'analisi del comportamento di utenti ed entità (UEBA) applica modelli statistici per far emergere le anomalie.

Nel modulo Anexet Activity ogni utente monitorato ha una scheda, e le categorie di rischio definite dall'amministratore trasformano gli eventi di policy in incidenti con un livello di rischio. La dashboard mostra come gli incidenti si distribuiscono tra le categorie, così l'analista può partire dal quadro generale e poi aprire gli eventi che lo compongono.

1 / 2

• 
• 

Il GDPR definisce la profilazione all'articolo 4, punto 4, come il trattamento automatizzato di dati personali per valutare aspetti personali di una persona fisica. Ciò comprende l'analisi o la previsione di rendimento professionale, situazione economica, salute, preferenze personali, interessi, affidabilità, comportamento, ubicazione o spostamenti. Lo scoring comportamentale di rischio costruito su dati di monitoraggio dei dipendenti rientra in questa definizione.

In pratica contano tre obblighi. La profilazione si basa sul legittimo interesse, da bilanciare con l'impatto sui dipendenti. I dipendenti devono essere informati che la profilazione avviene e della logica generale alla base dei punteggi di rischio. Le decisioni automatizzate con effetti giuridici o similmente significativi non possono basarsi solo sul trattamento automatizzato (articolo 22) e richiedono garanzie di intervento umano.

Il monitoraggio sistematico dei dipendenti richiede inoltre una valutazione d'impatto sulla protezione dei dati prima dell'implementazione.

Un profilo che deduce personalità, opinioni politiche o religiose, salute o appartenenza sindacale non è un controllo di sicurezza. Il trattamento di queste categorie particolari di dati è limitato dal GDPR.

La differenza tra un profilo di sicurezza legittimo e uno discriminatorio non sta nell'algoritmo. Sta in ciò che il profilo misura, in quanto è preciso e in chi decide:

La maggior parte dei fallimenti della profilazione sono fallimenti di progettazione. I programmi che funzionano stanno dentro un processo più ampio di gestione del rischio interno, e i loro limiti sono più facili da fissare prima che compaia il primo punteggio. I controlli pratici sono:

• Definire prima la domanda di sicurezza e raccogliere solo i dati che le servono.
• Spiegare ai dipendenti, in modo semplice, come vengono costruiti i punteggi di rischio.
• Verificare a mano i punteggi alti, confrontandoli con gli eventi sottostanti, prima di qualsiasi azione.
• Limitare l'accesso ai profili a ruoli di sicurezza nominativi e registrare ogni consultazione.
• Ritestare periodicamente le soglie, perché gli indicatori deboli segnalano il lavoro ordinario.

Partite dalla domanda a cui il profilo deve rispondere, per esempio quali account vengono usati in orari insoliti. Un profilo che risponde a una domanda con le prove vale più di un punteggio che classifica tutti.

I team che vogliono applicarlo nella pratica possono iniziare dal rilevamento delle minacce interne e ampliare il perimetro solo quando una domanda concreta lo richiede.

Per approfondire: Profiling.