Co obejmuje program przeciwdziałania zagrożeniom wewnętrznym
Program przeciwdziałania zagrożeniom wewnętrznym to stały plan organizacji dotyczący ryzyk, które wynikają z osób mających już uprawniony dostęp: pracowników, wykonawców i partnerów. Jego celem jest zapobieganie szkodom tam, gdzie to możliwe, wczesne wykrywanie incydentów i spójne reagowanie. Samo zagrożenie opisuje zagrożenie wewnętrzne.
Program obejmuje ludzi, a nie tylko systemy, dlatego wymaga współpracy kilku funkcji. Bezpieczeństwo, dział kadr, prawnicy i właściciele procesów biznesowych mają każdy określoną rolę. Szerszą dyscypliną, którą program wdraża w praktyce, jest zarządzanie ryzykiem wewnętrznym.
Co zawiera dojrzały program
Mimo nazwy program przeciwdziałania zagrożeniom wewnętrznym jest szerszy niż technologia. Dojrzałe programy zwykle łączą sześć elementów:
| Element | Co obejmuje |
|---|---|
| Nadzór i role | Starszy sponsor, kierownik programu, zespół roboczy z różnych działów |
| Polityka i zakres | Zdefiniowane ryzyka wewnętrzne, krytyczne zasoby i monitorowane zachowania |
| Szkolenia i świadomość | Szkolenia wstępne i cykliczne, zasady zgłaszania obaw |
| Monitoring i wykrywanie | Techniczny wgląd w aktywność użytkowników, transfery danych i naruszenia |
| Reakcja i dochodzenie | Wstępna ocena, eskalacja, postępowanie z dowodami, zamykanie spraw |
| Metryki i przegląd | Pomiar skuteczności i przenoszenie wniosków do polityki |
Program to nie produkt
Częsty błąd polega na przekonaniu, że wdrożenie oprogramowania monitorującego oznacza posiadanie programu. Narzędzie generuje alerty. Program określa, co jest monitorowane, kto przegląda wyniki, jakie progi uruchamiają działanie, jak przebiegają dochodzenia i jakie zabezpieczenia prywatności obowiązują.
Techniczny wgląd zwykle zapewniają monitorowanie aktywności użytkowników oraz oprogramowanie do wykrywania zagrożeń wewnętrznych. Bez nich program opiera się głównie na samozgłoszeniach i okresowych audytach, które zwykle wykrywają problemy z opóźnieniem.
Cykl życia programu
Jednym z praktycznych sposobów prowadzenia tych prac jest ciągły cykl z czterech faz:
- 1
Przygotowanie i ocena
Ustanów nadzór, politykę, przegląd prawny i prywatności, zidentyfikuj krytyczne zasoby i dane.
- 2
Wykrywanie i identyfikacja
Zbieraj dane o aktywności użytkowników i koreluj je z określonymi wskaźnikami ryzyka.
- 3
Ocena
Wstępnie oceń wskaźniki, by oddzielić nieszkodliwe anomalie od naprawdę niepokojących zachowań. Eskaluj tam, gdzie to uzasadnione.
- 4
Reakcja
Zbadaj sprawę, podejmij interwencję i udokumentuj wynik. Wyniki wracają do reguł wykrywania i szkoleń.
Określanie kategorii ryzyka
Spisana polityka potrzebuje nazwanych kategorii ryzyka, na których może się oprzeć. Wskaźniki zagrożeń wewnętrznych są użyteczne tylko wtedy, gdy wskazują na kategorię, którą organizacja uznała za istotną. W Anexet kategorie zarządza się w menedżerze kategorii ryzyka, gdzie każda ma domyślny poziom ryzyka.
Typowe błędy
Większość nieudanych programów zawodzi w ten sam sposób: zaczyna się od narzędzi zamiast od listy tego, co trzeba chronić. Alerty się piętrzą, nikt za nie nie odpowiada, a pracownicy uczą się je ignorować.
Kontrole techniczne, takie jak zapobieganie utracie danych (DLP), blokują konkretne transfery, ale nie zastępują etapów przeglądu i reakcji, dzięki którym program działa.
Narzędzie bez spisanego zakresu i właściciela alertów wytwarza dane, a nie program.
- Monitorowanie wszystkich jednakowo, bez określonego zakresu i przeglądu prywatności
- Alerty bez właściciela, przez co incydenty są zamykane bez decyzji
- Brak spisanych kroków reagowania, więc każda sprawa jest prowadzona inaczej
Od czego zacząć
Zacznij od zasobów i danych, których wyciek najbardziej by zaszkodził, a potem określ kilka zachowań, które mają dla nich znaczenie. Wąski program da się sprawdzić i korygować. Program obejmujący wszystko często zostaje wyłączony.
Monitoring techniczny to jedno z wejść do tej pracy. Anexet DLP zapisuje każde zdarzenie z użytkownikiem, czasem, kanałem i podjętą akcją, co daje recenzentom potrzebne dowody.
Czytaj dalej: Jak rozpoznać insidera w firmie i powstrzymać jego działania?; Top 5 rodzajów danych, które próbują wykraść konkurenci.
Wyciek rzadko wygląda jak atak. Wygląda jak zwykły dzień pracy, jeden transfer po drugim.
Anexet TeamJak rozwiązuje to Anexet
Program przeciwdziałania zagrożeniom wewnętrznym jest ramą organizacyjną, a nie oprogramowaniem. Nadzoru, polityk i przeszkolonych ludzi nie zastąpi narzędzie. Anexet znajduje swoje miejsce w fazach wykrywania i reagowania: jest warstwą monitorowania i detekcji, na której taki program może oprzeć techniczną widoczność.
Architektura on-premise utrzymuje dane monitoringu w infrastrukturze organizacji, co ma znaczenie dla przeglądu prywatności i przeglądu prawnego, których wymagają formalne programy.
Wykrywanie przez analizę treści
metody klasyfikacji obejmują tezaurusy bezpieczeństwa (słowniki terminów wrażliwych), banki skrótów do dokładnego dopasowania plików, biblioteki cyfrowych odcisków dla wzorców dokumentów oraz integrację z etykietami poufności, ryzykowne transfery rozpoznaje się po tym, co zawierają.
Pokrycie kanałów
agenty na stacjach roboczych monitorują pocztę, sieć, aplikacje chmurowe, komunikatory, nośniki wymienne, drukowanie i schowek, czyli kanały, przez które przemieszczają się dane w scenariuszach wewnętrznych.
Monitorowanie aktywności użytkowników
dane o aktywności (którzy użytkownicy, jakie działania, jakie aplikacje) dostarczają materiału, który analitycy programu poddają wstępnej selekcji względem określonych wskaźników ryzyka.
Ślad audytowy
każde zdarzenie jest zapisywane z użytkownikiem, znacznikiem czasu, kanałem, klasyfikacją treści i podjętym działaniem, to materiał do wyjaśniania spraw i przeglądu po incydencie.
Anexet DLP
Dowiedz się więcej