Insider (pracownik wewnętrzny)

Insider to każdy, kto ma uprawniony dostęp. Należą do nich obecni pracownicy, podwykonawcy, konsultanci, pracownicy tymczasowi oraz partnerzy lub dostawcy, którym przydzielono konta, dostęp VPN albo wejście do budynku. Zwykle zalicza się do nich także byłych pracowników, których konta nigdy nie zostały w pełni usunięte.

O tym, kto jest insiderem, decyduje autoryzowany dostęp, a nie intencja ani zachowanie. Ta sama osoba może być zaufanym współpracownikiem jednego dnia, a problemem bezpieczeństwa następnego, dlatego pojęcie opisuje rolę, a nie etykietę. Szerszy obraz tej roli opisuje ryzyko związane z insiderami.

Praktyka bezpieczeństwa rozróżnia insiderów według intencji i tego, kto faktycznie stoi za kontem. Nieostrożne działania często wyrządzają tyle samo szkód co celowe nadużycie, więc sama intencja to słaby punkt odniesienia.

Dla narzędzi bezpieczeństwa przejęte konto wygląda na autoryzowane, bo technicznie nim jest.

Wiele z tych nawyków mieści się w shadow IT: narzędziach, których nikt nie zatwierdził i nikt nie śledzi. Takie nawyki nie zostawiają zgłoszenia ani wpisu o licencji, więc zwykłe mechanizmy kontroli ich nie widzą.

Widoczność wraca dzięki automatycznemu wykrywaniu, które pokazuje zainstalowane i używane oprogramowanie, oraz aktualnemu rejestrowi tego, kto ma jaki dostęp.

Typowe przypadki układają się w kilka schematów:

• Osobiste konto do udostępniania plików, używane do plików klientów
• Prywatny adres e-mail, z którego wysłano cennik
• Pendrive skopiowany z bazą klientów przed odejściem z firmy
• Wydruk zostawiony w tacy wspólnej drukarki

W konsoli klienta menedżer kategorii ryzyka określa, jak grupowane są zdarzenia. Wbudowane kategorie, na przykład Internal Threat, mają już domyślny poziom ryzyka, więc działania o wysokim ryzyku są widoczne bez pisania reguł wykrywania od zera. Strona wykrywania zagrożeń ze strony insiderów pokazuje, jak te wyniki trafiają do śledztw.

Administratorzy oznaczają też użytkowników tagami systemowymi, takimi jak Suspicious, Special control czy Offboarding, dzięki czemu przegląd może dotyczyć osoby, a nie tylko pojedynczego zdarzenia.

1 / 2

• 
• 

Zewnętrzny atakujący musi najpierw przebić się przez perymetr: zaporę, uwierzytelnianie i ochronę punktów końcowych. Insider zaczyna za tym wszystkim. Ma ważne poświadczenia, wie, gdzie leżą cenne dane, i zna obraz normalnej aktywności.

Dlatego oddzielenie aktywności insidera od zwykłej pracy jest trudniejsze niż wykrycie ataku z zewnątrz. Analiza zachowań użytkowników i podmiotów radzi sobie z tym, porównując każdą osobę z jej własnym wzorcem.

„Insider” opisuje rolę, a nie etykietę zagrożenia, i większość insiderów nigdy nie wyrządza szkody. Każdy insider nadal stanowi jednak ryzyko, którego zabezpieczenie perymetru nie widzi: celowe nadużycie, kosztowny błąd albo przejęcie konta.

Zarządzaniem tym ryzykiem zajmuje się zarządzanie ryzykiem związanym z insiderami. Sprowadza się ono do czterech kroków:

1. 1

   Poznaj dostęp

   Ustal, do jakich systemów, danych i pomieszczeń ma dostęp każdy insider.

2. 2

   Obserwuj użycie

   Patrz, jak ten dostęp jest wykorzystywany w różnych kanałach.

3. 3

   Porównaj z wzorcem

   Mierz aktywność każdej osoby względem jej normalnego schematu.

4. 4

   Reaguj na naruszenia

   Działaj, gdy zachowanie lub treść przekracza granice polityki.

Zacznij od danych, których wyciek bolałby najbardziej, a potem od kanałów, którymi ludzie faktycznie je przesyłają. Polityki pisane dla wszystkich plików naraz blokują zwykłą pracę i w końcu są wyłączane.

Czytaj dalej: Jak rozpoznać insidera w firmie i powstrzymać jego działania?; Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.