Bezpieczeństwo zorientowane na człowieka

Podejście wychodzi od spostrzeżenia, które większość zespołów bezpieczeństwa zna z praktyki: o skuteczności zabezpieczenia decydują ludzie, a nie same systemy. Zasada, która jest wolna, niejasna lub kłóci się z zadaniami pracownika, będzie obchodzona, choćby na papierze wyglądała bez zarzutu. Dlatego użyteczność, kontekst i motywacja traktowane są tu jak cechy bezpieczeństwa, obok szyfrowania i kontroli dostępu.

Nie oznacza to mniejszej liczby zabezpieczeń ani nie jest tym samym co szkolenia uświadamiające. To postawa projektowa: zabezpieczenia sprawdza się na rzeczywistych procesach pracy, wyjaśnia w chwili, gdy zaczynają działać, i dostraja na podstawie opinii. Naturalnym polem jest tu ludzka strona zagrożeń wewnętrznych, gdzie ten sam pracownik bywa nieuważnym wykonawcą, celem inżynierii społecznej lub, rzadko, świadomym sprawcą.

Programy skupione na technologii zakładają, że skoro reguła istnieje, ludzie jej przestrzegają. W praktyce zablokowane zadanie rzadko znika: przenosi się na ścieżkę, której zespół bezpieczeństwa nie widzi. Tak rosną Shadow IT i Shadow AI nawet w organizacjach o rygorystycznych politykach. Typowe obejścia wyglądają tak:

• Wysłanie pliku służbowego na prywatny adres e-mail, bo zatwierdzone narzędzie do udostępniania jest wolne
• Wklejenie szkicu lub wiadomości klienta do publicznego chatbota AI, by szybciej skończyć pracę
• Współdzielenie jednego konta, aby nie czekać na zatwierdzenie dostępu
• Omijanie narzędzia bezpieczeństwa, które przerywa każde zadanie

Podejście opisuje się zwykle kilkoma zasadami. To wspólne nawyki projektowe, a nie jeden formalny standard, a dostawcy i analitycy formułują je różnie.

Program zorientowany na człowieka to pętla, a nie jednorazowe wdrożenie. Zacznij od klasyfikacji danych, aby wysiłek podążał za wartością, a potem powtarzaj ten sam cykl dla kolejnych grup zabezpieczeń.

1. 1

   Poznaj realne procesy

   Sprawdź, jak zespoły naprawdę obchodzą się z wrażliwymi danymi, w tym jakich skrótów używają.

2. 2

   Dopasuj zabezpieczenia do ryzyka

   Stosuj twarde zabezpieczenia tam, gdzie błąd jest kosztowny, a lżejsze i wyjaśniające w pozostałych miejscach.

3. 3

   Prowadź w odpowiedniej chwili

   Pokazuj krótkie, proste komunikaty przy blokadzie lub ryzykownym działaniu, z jasnym następnym krokiem.

4. 4

   Sprawdzaj i dostrajaj

   Zobacz, gdzie ludzie omijają zasady lub mają trudności, i zmień regułę albo narzędzie, a nie tylko szkolenie.

Hasło «człowiek to najsłabsze ogniwo» jest popularne w rozmowach o bezpieczeństwie i wpływa na projektowanie: skoro problemem są ludzie, trzeba odebrać im wybór. Podejście zorientowane na człowieka odwraca pytanie i pyta, dlaczego bezpieczny wybór jest trudny. Oba spojrzenia prowadzą do innych nawyków.

Anexet nie zastępuje szkoleń ani kultury organizacyjnej, ale jego konsola wspiera pętlę zorientowaną na człowieka. Reguła blokady może wyświetlić krótkie powiadomienie na stacji roboczej pracownika, z tekstem napisanym przez administratora, a dostęp do widżetów pulpitu i list użytkowników konfiguruje się według roli. Ponieważ Anexet Activity działa w instalacji lokalnej (on-premise), dane stojące za tymi widokami zostają w organizacji.

1 / 2

• 
• 

Patrzenie na zachowanie rodzi własne pytanie o człowieka: ile wglądu jest uczciwe. Podejście zorientowane na człowieka traktuje monitorowanie jako proporcjonalne i przejrzyste. Pracownicy powinni wiedzieć, co jest zbierane i po co, dostęp do danych na poziomie osoby powinny mieć tylko role, które go potrzebują, a głębszy wgląd powinien wynikać z alertu, a nie z ciekawości.

Tu mieści się także analityka zachowań użytkowników i encji (UEBA): jako sposób na zauważenie zmiany względem własnego wzorca danej osoby, a nie wyrok o niej. Przepisy o monitorowaniu pracowników i danych osobowych różnią się w zależności od kraju i pracodawcy, dlatego ocena prawna poprzedza wdrożenie, a nie następuje po nim.

Zacznij od małego, konkretnego kroku. Wybierz jeden cenny rodzaj danych, sprawdź, jak ludzie naprawdę go przekazują, i porównaj zatwierdzoną drogę ze skrótami. Usuń tarcie, które popycha ich ku skrótowi, a potem dodaj kontrole zapobiegania utracie danych (DLP) dla tego, co zostanie, z komunikatami mówiącymi, co się stało i co zrobić dalej. Omów wyniki z dotkniętymi zespołami i powtórz cykl.