Monitoring

Monitoring to ciągła lub okresowa obserwacja systemu, osoby, sieci lub procesu. Pozwala poznać ich stan i wykryć zmiany w miarę ich zachodzenia. W korporacyjnym IT dane zbiera się w trakcie zdarzeń, dzięki czemu organizacja może je zauważyć, zbadać i zareagować, dopóki to ma znaczenie, zamiast odtwarzać wszystko po fakcie.

Pasywne logowanie zapisuje zdarzenia do plików. Audyt sprawdza działania po fakcie, względem standardu. Monitoring to aktywna obserwacja nastawiona na wykrycie i reakcję.

W zależności od tego, co jest obserwowane i dlaczego, monitoring dzieli się na kilka uznanych rodzajów. Granice są płynne: jeden agent na punkcie końcowym może zasilać monitoring bezpieczeństwa, pracowników i zasobów jednocześnie, więc liczy się zakres i głębokość zbierania danych, a nie etykieta. Część pracowniczą tej listy opisano w artykule o monitorowaniu aktywności użytkowników.

Dane monitoringu mają różną szczegółowość. Najlżejsze są metadane: jaka aplikacja działała i jak długo, z jaką stroną nawiązano kontakt, kiedy zmienił się plik. Głębsze zbieranie dodaje treść: teksty wiadomości, zawartość dokumentów, zrzuty ekranu, a w środowiskach o podwyższonym bezpieczeństwie także audio i wideo ze stanowiska. Im głębiej, tym bardziej przydatne w dochodzeniu i tym trudniej to uzasadnić na gruncie prawa o prywatności. Najbardziej szczegółowym przykładem tego głębokiego końca jest monitorowanie naciśnięć klawiszy.

Typowe kategorie to zdarzenia uwierzytelniania, aktywność aplikacji i sieci, ruch pocztowy, operacje na plikach (kopiowanie, drukowanie, przenoszenie na nośnik wymienny), komunikatory, schowek i zrzuty ekranu. To, co wolno zbierać, na jak długo i za czyją wiedzą, określają prawo i polityka wewnętrzna.

Deklarowane powody monitoringu w pracy grupują się wokół pięciu celów. Pierwszy z nich jest najbliżej wykrywania zagrożeń wewnętrznych, gdzie oś czasu aktywności pokazuje, co wydarzyło się przed alertem.

• Wykrywanie zagrożeń: wychwytuje malware, przejęte konta i działania wewnętrzne
• Ochrona danych: uwidacznia transfery pocztą, siecią i przez USB
• Zgodność i dowody: tworzy ślad audytowy przy badaniu lub zgłaszaniu incydentu
• Produktywność i zasoby: pokazuje, jak wykorzystywane są czas pracy, sprzęt i licencje
• Badanie incydentów: odtwarza, kto co zrobił, kiedy i którym kanałem

Widok na żywo pochodzi z Anexet Activity: przełożony śledzi kilka stanowisk naraz i może uruchomić nagrywanie z poziomu tego samego ekranu. Wykresy ruchu należą do części produktu odpowiedzialnej za przechwytywanie ruchu sieciowego, która obejmuje też monitoring ruchu WWW.

1 / 2

• 
• 

Monitoring to miejsce, w którym bezpieczeństwo organizacji spotyka się z prawem jednostki do prywatności. Każda jurysdykcja rozwiązuje to napięcie inaczej. W UE i podobnych systemach monitoring pracowników wymaga podstawy prawnej, określonego celu, proporcjonalności, przejrzystości wobec osób, których dotyczy, i ograniczeń przechowywania. Tajny monitoring jest zwykle dopuszczalny tylko wobec konkretnego, udokumentowanego podejrzenia, na ograniczony czas i wobec ograniczonej grupy osób.

Stany Zjednoczone wychodzą z bardziej liberalnego punktu wyjścia: pracodawcy mają szerokie prawa do działań na firmowych systemach, ale przepisy stanowe o biometrii i przechwytywaniu komunikacji nakładają własne ograniczenia. Dwie zasady sprawdzają się wszędzie: używać najmniej inwazyjnego środka, który osiąga cel, i ustalić oczekiwania z góry w polityce monitoringu, którą pracownicy naprawdę znają.

Program, który wytrzymuje kontrolę prawną i etyczną, opiera się na tych samych elementach w każdej jurysdykcji.

1. 1

   Udokumentuj cel

   Monitoring służy do zarządzania nazwanym ryzykiem, na przykład utratą danych, oszustwem lub awarią systemu, a nie do zaspokajania ciekawości.

2. 2

   Zachowaj proporcjonalny zakres

   Głębokość zbierania, monitorowana grupa i okres przechowywania odpowiadają temu ryzyku. Najbardziej inwazyjne techniki zostawia się na dochodzenia z konkretnym powodem.

3. 3

   Zapewnij przejrzystość

   Pracownicy wiedzą, że monitoring istnieje, co obejmuje i jak egzekwować swoje prawa do danych.

4. 4

   Chroń dane z monitoringu

   Zapisy aktywności należą do najbardziej wrażliwych zasobów organizacji. Dostęp jest ograniczony i rejestrowany.

Zacznij od ryzyka, na które ma odpowiedzieć monitoring, a potem wybierz najlżejsze zbieranie danych, które na nie odpowiada. Pisemny cel, krótki okres przechowywania i polityka, którą pracownicy przeczytali, są łatwiejsze do obrony niż pełne nagranie każdego ekranu. Wyniki można następnie przekazać jako raporty zgodności bezpieczeństwa osobom odpowiedzialnym za dane ryzyko.

Czytaj dalej: SOC a bezpieczeństwo informacji.