Zarządzanie ryzykiem insider

Słowa mają znaczenie. Zagrożenie insider sugeruje stan binarny: osoba albo jest zagrożeniem, albo nim nie jest. Ryzyko insider to spektrum. Każdy, kto ma dostęp, niesie pewien poziom ryzyka, który zmienia się wraz z zachowaniem, okolicznościami i kontekstem. Zarządzanie ryzykiem insider mierzy to spektrum i nim zarządza, zamiast czekać, aż pojawi się wyraźne „zagrożenie”.

Dojrzałe programy działają w praktyce tak: nie czekają na kradzież danych, zanim zareagują. Obserwują wskaźniki zachowań, zajmują się najwyżej ocenionymi przypadkami w pierwszej kolejności i prowadzą postępowanie, zanim dojdzie do szkody. Czasem reakcja jest techniczna, na przykład blokada dostępu. Czasem jest rozmową z kierownictwem i działem HR. Czasem oznacza zamknięcie luki w procesie, która tworzyła zbędne ryzyko.

Działający program ma pięć elementów, od zbierania danych po ciągłe doskonalenie. Jego pierwszy etap opiera się na sygnałach z monitorowania aktywności użytkowników (UAM) i zapobiegania utracie danych (DLP).

1. 1

   Monitorowanie i zbieranie danych

   Podstawa: monitorowanie aktywności, sygnały DLP, logi dostępu i analityka behawioralna (UEBA). Bez widoczności nie ma programu.

2. 2

   Ocena ryzyka i ustalanie priorytetów

   Surowe dane z monitorowania są szumem. Sygnały łączy się w oceny ryzyka. Użytkownik, który po godzinach masowo pobiera pliki, sięga po dane spoza swojej roli i złożył wypowiedzenie, stanowi większe ryzyko niż ktoś z jednym sygnałem.

3. 3

   Postępowanie wyjaśniające

   Analitycy przeglądają historię aktywności i ustalają kontekst: zmianę roli, problem z wynikami albo uzasadnioną potrzebę biznesową. Działanie na surowych alertach bez postępowania prowadzi do fałszywych oskarżeń i podważa zaufanie.

4. 4

   Reakcja i interwencja

   Reakcje obejmują zwiększony nadzór, ograniczenie uprawnień, rozmowę z HR lub działem bezpieczeństwa, a także postępowanie dyscyplinarne lub prawne. Reakcja musi być proporcjonalna do ryzyka i oparta na dowodach.

5. 5

   Nadzór i przegląd

   Dział bezpieczeństwa IT nie poradzi sobie z programem sam: HR dostarcza kontekst dotyczący pracowników, dział prawny zajmuje się prywatnością i dowodami, a kierownictwo ustala progi. Po każdej sprawie zespół sprawdza, czy wykrywanie i reakcja zadziałały.

Program, który idzie za daleko, sam tworzy ryzyko. Monitorowanie bez powiadomienia, zbieranie danych wykraczających poza cel bezpieczeństwa czy działanie na słabych dowodach mogą prowadzić do odpowiedzialności prawnej, nieufności pracowników i szkody wizerunkowej. Dobre praktyki, a w wielu jurysdykcjach także prawo, wymagają następujących zasad:

• Przejrzystość: pracownicy wiedzą, co jest monitorowane i dlaczego.
• Uzasadniony cel: program służy bezpieczeństwu i zgodności, a nie kontroli każdego kroku ani inwigilacji.
• Proporcjonalność: zakres odpowiada ryzyku. Nie każda osoba jest monitorowana w pełnym zakresie.
• Kontrola dostępu: dane z monitorowania widzą tylko upoważnione role, na określonych warunkach.
• Rzetelna procedura: postępowanie potwierdza kontekst przed podjęciem działania, a osoba może się odnieść do zarzutów.

Zarządzanie ryzykiem insider a wykrywanie zagrożeń insider. Wykrywanie to jeden z elementów: identyfikuje sygnały. Zarządzanie to szerszy program, który decyduje, co z nimi zrobić. Wykrywanie bez zarządzania oznacza alerty, na które nikt nie reaguje. Zarządzanie bez wykrywania nie jest możliwe.

Zarządzanie ryzykiem insider a DLP. DLP to kontrola prewencyjna: powstrzymuje wyciek wrażliwych danych. Zarządzanie ryzykiem insider jest szersze. Bierze pod uwagę kontekst zachowania, zamiary i reakcję organizacji, a nie tylko sam transfer. DLP dostarcza sygnały do programu.

Zarządzanie ryzykiem insider a inwigilacja pracowników. Inwigilacja to nieukierunkowane obserwowanie. Zarządzanie ryzykiem insider to monitorowanie priorytetyzowane według ryzyka i powiązane z celem, z nadzorem, proporcjonalnością i zgodnością z prawem. Różnica jest zarówno etyczna, jak i prawna. Wiele jurysdykcji ogranicza monitorowanie pracowników do określonych, uprawnionych celów i wymaga poinformowania pracowników.

Cztery miary pokazują, czy program działa. Wysoki odsetek fałszywych alarmów marnuje czas analityków i podważa zaufanie. Podział wyników pokazuje, czy program jest dobrze skalibrowany.

• Średni czas wykrycia: jak szybko ryzykowne zachowanie zostaje zidentyfikowane od chwili jego rozpoczęcia.
• Odsetek fałszywie pozytywnych: udział oflagowanych przypadków, które okazują się uprawnioną aktywnością.
• Wyniki zamknięcia spraw: ile spraw zakończyło się interwencją, brakiem działań lub potwierdzonym incydentem.
• Pokrycie: udział odpowiednich pracowników i kanałów aktywności objętych monitorowaniem.

Funkcja wykrywania zagrożeń insider grupuje incydenty według poziomu ryzyka, więc analityk widzi, gdzie koncentrują się zdarzenia o najwyższym ryzyku. Każda kategoria ryzyka ma też domyślny poziom ryzyka, widoczny w menedżerze kategorii.

1 / 2

• 
• 

Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem zmapuj kanały, którymi mogłyby faktycznie wyciec. Ustal cel i progi przed pierwszym alertem, bo program bez nich dryfuje w stronę inwigilacji.

Każda zamknięta sprawa wraca potem do progów, dzięki czemu program uczy się, które sygnały naprawdę mają znaczenie.

Czytaj dalej: Jak rozpoznać insidera w firmie i powstrzymać jego działania?; Jak oficer bezpieczeństwa wykrywa insidera za pomocą systemu DLP?.