Ryzyko insider

Rozróżnienie ma znaczenie praktyczne: decyduje o tym, jak działają programy ryzyka insider.

Traktowanie osób wewnętrznych w kategoriach zerojedynkowych (zagrożenie albo brak zagrożenia) prowadzi do przesadnej reakcji, gdy podejrzewa się wszystkich, albo do zbyt słabej reakcji, gdy ignoruje się wczesne sygnały. Ujęcie ich jako nośników mierzalnego ryzyka pozwala ustalać priorytety, dobierać skalę reakcji i interweniować adekwatnie.

Ryzyko to prawdopodobieństwo, a zagrożenie wewnętrzne to aktywne lub bliskie niebezpieczeństwo. Dlatego program zarządzania ryzykiem insider działa zarówno przed incydentem, jak i w jego trakcie.

Ryzyko insider wynika z trzech szerokich grup osób z dostępem. Każda wymaga innych zabezpieczeń, dlatego warto je rozróżniać.

Ryzyko nie jest stałe. Rośnie i maleje wraz z czynnikami indywidualnymi i kontekstowymi:

• Zakres dostępu: im szerszy dostęp do danych wrażliwych i systemów, tym większe potencjalne skutki;
• Zmiany zachowania: nagłe zmiany rytmu pracy, wolumenu danych lub kanałów mogą sygnalizować wzrost ryzyka;
• Zdarzenia kadrowe: wypowiedzenia, zwolnienia, postępowania dyscyplinarne i zmiany ról podnoszą ryzyko;
• Czynniki zewnętrzne: trudności finansowe, kryzysy osobiste lub konkurencyjne oferty pracy mogą tworzyć motyw;
• Luki w kontroli: słabe monitorowanie, nadmiarowe uprawnienia lub słabe zarządzanie dostępem.

Dojrzałe programy nie opierają się na przeczuciu ani na pojedynczych sygnałach. Działają w czterech krokach, a punktację wykonuje analityka zachowań użytkowników i encji (UEBA):

1. 1

   Zbieranie zachowań

   Wzorce dostępu do danych, wzorce czasowe, używane kanały i naruszenia zasad.

2. 2

   Dodanie kontekstu

   Zdarzenia kadrowe, na przykład odejścia i zmiany ról, przeglądy uprawnień i zmiany organizacyjne.

3. 3

   Punktacja osoby

   Sygnały są ważone według wagi i korelacji. Pojedynczy słaby sygnał oznacza niskie ryzyko, a zbieżne sygnały podnoszą ocenę.

4. 4

   Analiza trendu

   Ryzyko rosnące w czasie jest istotniejsze niż stabilne lub malejące, nawet na tym samym poziomie.

W konsoli klienta Anexet kategorie ryzyka określają, ile waży każdy rodzaj zdarzenia, a reguła powiadomień uruchamia się, gdy wynik użytkownika przekroczy ustawiony próg. Szczegóły są na stronie wykrywania zagrożeń wewnętrznych.

1 / 2

• 
• 

Ograniczanie ryzyka i wykrywanie zagrożeń uzupełniają się. Dobrze zaprojektowany program robi jedno i drugie: obniża ryzyko wyjściowe, więc incydentów jest mniej, i szybko wykrywa te, które mimo to wystąpią, więc skutki są ograniczone. Wykrywanie opiera się na systemach DLP i na postępowaniu wyjaśniającym. Monitorowanie zniechęcające do okazjonalnych nadużyć też należy do ograniczania ryzyka.

Nie każde ryzyko insider wymaga tej samej reakcji. Przypadek wysokiego ryzyka, w którym administrator z uprawnieniami sięga po nietypowe dane poza godzinami pracy, wymaga natychmiastowego wyjaśnienia. Przypadek niskiego ryzyka, np. młodszy pracownik z jednym ostrzeżeniem, wymaga obserwacji, a nie interwencji.

Programy traktujące każdy sygnał jak kryzys generują bezpodstawne oskarżenia, podkopują zaufanie pracowników i marnują zasoby. Programy dopasowujące reakcję do poziomu ryzyka są skuteczniejsze i łatwiejsze do obrony.

Programy ryzyka insider działają w granicach prawa. Monitorowanie pracowników jest uregulowane w większości jurysdykcji, m.in. RODO w UE, LGPD w Brazylii, CCPA i przepisy stanowe w USA oraz prawo pracy. Program musi zapewniać:

• uzasadniony cel: bezpieczeństwo i zgodność, a nie inwigilację osób;
• poinformowanie pracowników, które w większości jurysdykcji jest obowiązkowe;
• proporcjonalność: zakres monitorowania odpowiada zarządzanemu ryzyku;
• kontrolę dostępu: dane monitoringu nie są swobodnie dostępne, a dotrzeć do nich mogą tylko uprawnione role w określonych warunkach;
• rzetelną procedurę: działania oparte na danych monitoringu następują po wyjaśnieniu sprawy, a nie po surowych alertach.

Zacznij od danych, których wyciek bolałby najbardziej, a potem od kanałów, którymi naprawdę są przesyłane. Punktacja budowana na wszystkim naraz tworzy szum, którego nikt nie czyta, a w tym szumie łatwo przeoczyć prawdziwe sygnały.

Czytaj dalej: Jak rozpoznać insidera w firmie i powstrzymać jego działania?; Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.