Cosa copre l'UAM
Il monitoraggio delle attività degli utenti (UAM) registra ciò che le persone fanno sui sistemi aziendali: quali programmi usano, quali siti visitano, quali file aprono e quali dispositivi collegano. Ogni evento diventa un record di attività, e l'UAM è la pratica che raccoglie e analizza questi record nel loro insieme.
La pratica da sola non stabilisce ciò che è accettabile. Una politica scritta definisce la finalità, l'ambito e le persone autorizzate a vedere i dati. Senza di essa, uno strumento costruito per proteggere l'azienda può trasformarsi nel controllo di singole persone, per questo l'ambito va definito prima di installare il primo agente.
Cosa registra un agente UAM
Un agente su ogni postazione invia i record a un archivio centrale. Ciò che acquisisce dipende dal profilo impostato per la macchina, dalla politica aziendale e dal quadro normativo del paese in cui lavora la persona.
| Ambito | Cosa registra | Perché è importante |
|---|---|---|
| Tempo attivo e inattivo | Quando la postazione è in uso e quando resta incustodita | Separa il tempo di lavoro dall'assenza e supporta i fogli ore |
| Uso delle applicazioni | Programmi in esecuzione e tempo in primo piano | Mostra quali strumenti si usano davvero e quali nessuno apre |
| Attività web | Siti visitati, ricerche e tempo su ogni sito | Rivela il lavoro svolto fuori dagli strumenti approvati |
| Operazioni sui file | File aperti, modificati, copiati, rinominati o eliminati, con i percorsi | Ricostruisce dove è finito un documento e chi lo ha spostato |
| Comunicazione | E-mail, messaggi e trasferimenti di file nelle app di messaggistica | Copre i canali da cui spesso escono dati sensibili |
| Dispositivi e stampa | Uso degli appunti, stampe e collegamenti USB | Mostra i percorsi di copia che aggirano la rete |
| Screenshot | Acquisizioni periodiche dello schermo, se il profilo le attiva | Fornisce prova visiva ed è il tipo di dato più sensibile |
Perché le organizzazioni usano l'UAM
La maggior parte delle implementazioni persegue tre obiettivi. Il primo di solito determina la struttura degli altri.
- Sicurezza: un riferimento del lavoro normale rende visibili gli scostamenti, come copie di grandi dimensioni di notte. È il nucleo del rilevamento delle minacce interne.
- Indagini: dopo una fuga di dati o una violazione della politica, i record mostrano chi ha fatto cosa, quando e su quale sistema, ciò che serve nelle verifiche disciplinari e legali.
- Tempo di lavoro: i dati aggregati mostrano le ore attive, il mix di applicazioni e il tempo di inattività per team, a supporto dei fogli ore e della pianificazione delle capacità.
UAM, DLP, UEBA e SIEM
Questi termini si sovrappongono, ma ognuno risponde a una domanda diversa. La prevenzione della perdita di dati (DLP) stabilisce dove possono andare i dati sensibili e blocca i trasferimenti che violano le regole. L'UAM chiede cosa ha fatto ciascuna persona, e il trasferimento dei dati è solo una parte di quel quadro.
L'analisi del comportamento di utenti ed entità (UEBA) applica statistica e apprendimento automatico a questi record per valutare comportamenti anomali. Un SIEM raccoglie i log di sicurezza di molti sistemi e li correla. L'UAM fornisce il dettaglio delle attività che gli altri due possono usare, e molti programmi fanno funzionare tutti e tre insieme.
Chi può consultare i dati
I dati di monitoraggio sono sensibili di per sé, quindi l'accesso deve essere più ristretto dei dati stessi. Separate chi definisce la politica da chi legge i record ogni giorno, e legate ogni consultazione a una finalità definita. Questo rientra anche nella gestione del rischio interno, gestita come processo e non come semplice strumento.
| Ruolo | Cosa esamina | Condizione |
|---|---|---|
| Analista di sicurezzaRisposta agli incidenti | Cronologie intorno a un avviso o a un caso specifico | Accesso legato a un caso aperto e registrato |
| Responsabile HRRelazioni con il personale | Report di sintesi sul tempo di lavoro | Solo dopo richiesta documentata e verifica legale |
| Amministratore ITGestione degli agenti | Stato degli agenti e impostazioni dei profili | Senza lettura del contenuto delle attività |
| DipendentePersona monitorata | La politica scritta e l'ambito che lo riguarda | Informato in anticipo, prima dell'avvio del monitoraggio |
Come Anexet registra le attività
Il modulo Anexet Activity funziona con agenti sugli endpoint Windows, Linux e macOS. Ogni profilo di agente decide quali attività vengono registrate, quindi gruppi diversi di postazioni possono operare con regole diverse.
La console dei profili raccoglie queste scelte in un unico punto: monitoraggio dell'attività del PC con tempo limite di inattività, controllo degli appunti e un interruttore per l'uso del keylogger. Gli screenshot e gli altri tipi di acquisizione si impostano nello stesso profilo. Il secondo fotogramma mostra il risultato sulla timeline dell'utente.
1 / 2
Limiti legali ed etici
Il monitoraggio dei dipendenti è regolato in modo diverso in ogni paese. Ai sensi del GDPR richiede una base giuridica, proporzionalità rispetto a una finalità dichiarata, minimizzazione dei dati e trasparenza verso i dipendenti. La normativa statunitense è più permissiva ma varia da stato a stato, e in alcuni paesi i comitati aziendali devono approvare il sistema prima della messa in funzione.
La buona pratica è quasi ovunque la stessa: una politica scritta, una finalità definita come la sicurezza e non il controllo minuzioso, e controlli di accesso sui dati di monitoraggio. Un programma UAM deve osservare i sistemi e le attività aziendali, non la vita privata della persona. Costruire profili dei dipendenti solleva questioni giuridiche proprie.
| Requisito | Si applica a | Stato |
|---|---|---|
| Trasparenza verso i dipendenti | Personale nell'UE e nel Regno Unito ai sensi del GDPR | Obbligatorio |
| Valutazione d'impatto | Monitoraggio sistematico dei dipendenti | Di solito richiesta |
| Approvazione del comitato aziendale | Germania e Paesi Bassi | Richiesta |
| Avviso scritto | Alcuni stati USA | Dipende dallo stato |
Da dove iniziare
Partite dalla domanda a cui il monitoraggio deve rispondere, poi raccogliete il minimo insieme di record di attività che vi risponde. Un programma costruito per catturare ogni segnale tende a essere disattivato, mentre uno mirato, con un responsabile chiaro, continua a funzionare.
Tenete i dati su un'infrastruttura che controllate. Con il deployment on-premise, i record di attività restano in azienda, cosa che conta quando i dati di monitoraggio sono a loro volta sensibili.
Per approfondire: Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.
Un monitoraggio che le persone capiscono è più facile da difendere di uno che nessuno sa spiegare.
Anexet TeamCome Anexet affronta questo
Il modulo Anexet Activity è un'implementazione completa di UAM, distribuita tramite agenti endpoint on-premise su postazioni Windows, Linux e macOS:
Tutti i dati di attività restano sull'infrastruttura on-premise del cliente. Il fornitore non ha accesso ai contenuti monitorati. È una scelta progettuale deliberata per le organizzazioni i cui dati di monitoraggio sono essi stessi sensibili (istituti finanziari, pubblica amministrazione, difesa).
Acquisizione delle attività
rilevazione del tempo attivo e inattivo, durata delle applicazioni in primo piano, attività web e di ricerca, operazioni sui file, attività di messaggistica e posta, eventi degli appunti e di stampa, collegamenti di dispositivi USB e schermate periodiche (configurabili).
Analitica della produttività
report aggregati su ore attive, mix di applicazioni e tempo di inattività per utente, gruppo o funzione, comprese restituzioni in forma di foglio ore.
Grafo delle relazioni tra utenti
visualizzazione degli schemi di comunicazione tra utenti, che aiuta a individuare collaborazioni o rapporti di condivisione dati fuori dall'ordinario.
Motore di analisi del rischio
assegna a ciascun utente un punteggio su otto categorie di rischio predefinite, con cruscotti di tendenza e avvisi a soglia configurabili tramite il gestore delle notifiche (e-mail, syslog, Telegram).
Modulo Anexet Activity
Scopri di più