Jak rozpoznać insidera w firmie i powstrzymać jego działania?

Prawo oczywiście chroni Twój biznes przed kradzieżą tajemnicy przedsiębiorstwa, ale robi to post factum, gdy pieniądze są już bezpowrotnie stracone, a reputacji nie da się uratować. Eksperci z laboratorium cyberbezpieczeństwa Uniwersytetu Nowego Meksyku dzielą ataki wewnętrzne na dwa rodzaje: sytuacyjne, czyli pojedyncze wycieki informacji spowodowane zaniedbaniem lub awarią systemu, oraz zaplanowane. Te drugie tak czy inaczej są efektem złych zamiarów. ‘Kretem może być każdy: Twoja prawa ręka albo kolejny ekonomista, którego nazwiska nawet nie pamiętasz.

Jak wynika z raportu Secure Automatic Technologies, 99% europejskich organizacji co najmniej trzy razy w swojej historii poniosło straty finansowe z powodu działań insiderów. W raporcie Insider Threat 2023 amerykańskiego stowarzyszenia Insider Threat Association 74% badanych organizacji przyznaje, że ataki wewnętrzne zdarzają się coraz częściej. Tyle samo firm uważa, że jest co najmniej podatnych na zagrożenia wewnętrzne. Ponad połowa organizacji zetknęła się z zagrożeniem wewnętrznym w ciągu ostatniego roku, a 8% odnotowało ponad 20 takich incydentów. Raport zwraca też uwagę, że 61 procent dzisiejszych bankructw w USA jest powodowanych przez insiderów, a zagrożenie staje się szczególnie dotkliwe w okresie dużych kontraktów.

"Insider" to pracownik organizacji, który ma dostęp do informacji niedostępnych publicznie.

Insiderem może zostać każdy, dosłownie każdy. Psychologia behawioralna i profilowanie HR pozwalają jednak rozpoznać kreta już na etapie rozmowy kwalifikacyjnej albo zapobiec kradzieży danych w zgranym już zespole. Psychologowie personalni wyróżniają sześć typów insiderów: pracownicy niedbali, manipulowani, urażeni, nielojalni, dorabiający i podstawieni. Wiele zależy od sytuacji: kogo na tej skali uznać za najmniej groźne ogniwo?

"Niedbali" pracownicy mogą ujawnić informacje przez nieuwagę (a szkody bywają nieodwracalne), natomiast działania «podstawionych» pracowników wymierzone są wprost w Twój biznes.

• "Niedbały" insider to najczęstszy typ insidera w biznesie, nazywany także "nieostrożnym". Zwykle jest to szeregowy pracownik wykonujący strumień mechanicznej pracy. Naruszenia polityki bezpieczeństwa nie mają żadnej motywacji i sprowadzają się najczęściej do niezamierzonego wyniesienia informacji poza cyfrowy obieg organizacji. Sam incydent nie jest aż tak groźny, ale zagrożenie rośnie, gdy dane wrażliwe trafią w niepowołane ręce. Inna sprawa to nieostrożny e-mail albo karteczka z danymi logowania do konta w sieci firmowej, starannie przyklejona do monitora służbowego komputera.

• "Manipulowany" insider albo "Pinokio". Zupełnie jak w bajce Carla Collodiego, głównym problemem tego typu pracownika jest naiwność i nadmierna łatwowierność. Przeciwko manipulowanemu pracownikowi działa wszystko: od kolegów z pracy po to, co dziś nazywamy "inżynierią społeczną" (zwykłym naciąganiem). Wyobraźmy sobie: rozlega się telefon, głos po drugiej stronie przedstawia się jako dyrektor istniejącego oddziału firmy, w najdrobniejszych szczegółach opisuje problem i prosi (w imię sprawności działania, rzecz jasna) o ominięcie obowiązującej polityki bezpieczeństwa i przesłanie kluczowych dokumentów na jego prywatny adres e-mail. Nasz "Pinokio", nawet nie myśląc o możliwym zagrożeniu i zacierając ręce w oczekiwaniu na solidną premię, wysyła plik prosto na skrzynkę konkurencji. Gotowe – wyciek stał się faktem.

• "Urażony" ("sabotażysta"). Ten typ pracownika nie dąży do kradzieży informacji Twojej firmy, w ogóle nie interesuje go wartość własności intelektualnej ani praktyczne korzyści z nieuprawnionego wykorzystania baz danych. Chce zaszkodzić w każdy dostępny sposób. Uraza, która nim kieruje, może mieć dowolne źródło: za niskie wynagrodzenie, brak uznania w zespole, nieodpowiednie miejsce w hierarchii biura... Taki pracownik nie zamierza odchodzić z firmy, pozostanie ‘w cieniu’ do chwili, gdy wyrządzi maksymalne szkody. Może na przykład fałszować lub niszczyć ważne dokumenty, wynosić sprzęt biurowy albo obijać się w miejscu pracy. Kierując się własnym wyobrażeniem o wartości informacji, sam decyduje, jakie dane warto ukraść i komu je przekazać. Często trafiają one do prasy lub struktur szarej strefy.

• "Nielojalni" insiderzy. Najczęściej pokrywają się z typem "urażonym", ale są to osoby, które twardo postanowiły zmienić miejsce pracy albo otworzyć własny biznes i stać się śmiałym konkurentem. Nie wiadomo dlaczego przyjęło się, że pracownik odchodzący z działu handlowego zabiera ze sobą kopię bazy klientów, a z działu ekonomicznego – dane finansowe. To stary nawyk "zabierania pamiątek z biurka", z którym trzeba skończyć. Najczęstszym pretekstem do przywłaszczenia jest "konieczność produkcyjna". Nielojalni pracownicy różnią się od "urażonych" insiderów tym, że po kradzieży informacji nie ukrywają samego faktu, a czasem wykorzystują go jako gwarancję komfortowego zwolnienia z odprawą i dobrymi referencjami.

• "Dorabiający" insiderzy, czyli typ, o którym mówili eksperci EY. To pracownicy, którzy pilnie potrzebują pieniędzy. W praktyce jest to najbardziej pojemna kategoria insiderów. Należą do niej zarówno osoby, które postanowiły dorobić kilka tysięcy, jak i te, które stały się insiderami wbrew sobie, w wyniku szantażu, wymuszenia lub nacisku osób trzecich. W zależności od okoliczności potrafią upozorować konieczność produkcyjną, a w najcięższych przypadkach włamać się do systemu lub przekupić innych pracowników.

• "Podstawieni" insiderzy albo szpiedzy rodem z hollywoodzkich thrillerów o zimnej wojnie. Za przykład niech posłuży jedna z niedawnych spraw Anexet: firma zajmowała się produkcją wyrobów jednostkowych na obrabiarkach CNC (sterowanie numeryczne). Klient podejrzewał dział rozwoju o "wyciekanie" dokumentacji technicznej, a konkretnie rysunków, do konkurencji. Trudność polegała na tym, że nie były to zwykłe rysunki, lecz programy, według których algorytmów pracowały obrabiarki. Oprogramowanie ładowano do maszyn przez sieć lokalną bezpośrednio z biura firmy. W samej obrabiarce trafiało do folderów, z których operatorzy pobierali je i wgrywali do programu obróbki. Niuans polegał na tym, że szafy obrabiarek były zaplombowane i szczelnie zamknięte, a na zewnątrz wyprowadzono jedynie monitor, mysz i klawiaturę. Fizycznie nie dało się podłączyć czytnika bezpośrednio do komputera. Okazało się, że mysz była podłączona do maszyny przez USB. Jeden ze współpracowników znalazł identyczne urządzenie i zamontował w środku myszy zapasowy hub USB, do którego wpiął szpiegowską pamięć. Przez miesiąc urządzenie szpiegowskie wykradało informacje, które następnie trafiały do konkurenta. Anexet wykrył przyczynę wycieku już na etapie testowego wdrożenia.

Jak przeciwdziałać zagrożeniom wewnętrznym

Jeśli podzielić niedbałych pracowników na przypadki beznadziejne i tych, których jeszcze da się uratować, zespół HR Anexet radzi, aby Twój dział kadr uważnie przyjrzał się pracownikom "niedbałym" i "manipulowanym". Być może po prostu brakuje im kultury bezpieczeństwa informacji. Nie zdają sobie sprawy, jakie szkody nieprzemyślany gest może wyrządzić Twojej firmie. Z kolei z "urażonymi", "nielojalnymi" i "podstawionymi" należy rozstać się jak najszybciej. Przede wszystkim z "urażonymi", bo z ich działań już nigdy nie odniesiesz korzyści.

Wdróż system DLP. Oprogramowanie utworzy wokół sieci wewnętrznej Twojej organizacji szczelny, bezpieczny obieg cyfrowy i zasygnalizuje każdą próbę wyniesienia informacji poufnych poza perymetr przedsiębiorstwa. System filtruje i analizuje ruch pod kątem wartości statystycznej i semantycznej, dzięki czemu wyszukiwanie nielojalnych pracowników, insiderów i osób podkopujących bezpieczeństwo ekonomiczne Twojego biznesu staje się automatyczne. Działając w ramach zdefiniowanej polityki bezpieczeństwa, system ochrony informacji DLP powiadomi upoważnione osoby o naruszeniu protokołów, niezależnie od tego, czy chodzi o e-mail o wątpliwej treści, czy o wydruk poufnych dokumentów. Funkcja audytu i monitoringu w systemie DLP pozwoli Ci śledzić aktywność pracowników na stanowisku pracy i wskazać słabe punkty systemu bezpieczeństwa.

Kontroluj nieaktualne konta. Wycieki informacji często powodują pracownicy, którzy odeszli z organizacji, a ich dane logowania wciąż są aktywne. Nie muszą to być jednak sprawcy – loginy i hasła mogą trafić w ręce obecnych pracowników, którzy dopuszczają się nadużyć wewnątrz organizacji i odsuwają od siebie podejrzenia. Aby ich zidentyfikować, stosuj przynęty i zwracaj uwagę na "ślady" ich pracy. Świadomi insiderzy zwykle usuwają duże ilości plików, próbując zatrzeć swoje działania. System DLP zapisuje całą chronologię aktywności pracowników i tworzy offline kopie zapasowe wszystkich plików w sieci firmowej.

Częstą metodą wykrywania insiderów jest przynęta. Atakujący nieustannie "przeczesuje" sieć firmową w poszukiwaniu krytycznych informacji. Możesz "zostawić" w ogólnie dostępnym miejscu zbiór wyjątkowo cennych plików i sprawdzić, kto wyśle archiwum na nośnik USB, do chmury lub na drukarkę.

Jak rozpoznać insidera?

Insidera można rozpoznać nie tylko dzięki funkcjom systemów DLP, ale nawet na etapie rozmowy kwalifikacyjnej. Służą do tego uniwersalne narzędzia – wywiad i eksperyment. Wywiad oznacza ankietę opracowaną metodą socjometryczną. Te same metody można stosować w już zgranym zespole. Dział HR firmy Samsung analizuje ryzyko wśród pracowników korporacji za pomocą prostego kwestionariusza słownego: "Kogo nie zabrałbyś w podróż służbową?" albo "Z kim podzieliłbyś się nowym, kreatywnym pomysłem?". Ankiety można powtarzać, ale z innymi pytaniami, aby zapewnić wiarygodność informacji. Obserwując wybory danej osoby, można zbadać typologię jej zachowań społecznych w grupie. Technika socjometryczna zajmuje nie więcej niż 15 minut.

Eksperyment polega na celowym stworzeniu obserwowanej osobie szczególnych warunków, aby na podstawie jej działań w określonych sytuacjach ocenić, jak bardzo jest egocentryczna i czy potrafi wczuć się w sytuację innych ludzi.

Pamiętaj, że informacje wrażliwe w środowisku o szerokim dostępie są jak kostka lodu – na każdym etapie lodu jest coraz mniej, a Ty masz mokre ręce. Z tym i z innymi możliwymi zagrożeniami pomogą Ci sobie poradzić systemy DLP (zapobieganie wyciekom danych). Ich głównym zadaniem jest wykrywanie, kontrolowanie i powstrzymywanie potencjalnych zagrożeń, ochrona ważnych danych oraz monitorowanie pracowników na stanowisku pracy. Nasz system DLP to dostępne rozwiązanie w tym obszarze.