Profilowanie

Profil to ustrukturyzowane zestawienie danych o osobie lub podmiocie: cechy stałe, wzorce zachowań i wnioski wyprowadzone z danych. Profilowanie zaczyna się wtedy, gdy dane są analizowane, aby ocenić, zakwalifikować lub przewidzieć coś o podmiocie, a nie już w chwili samego zbierania danych.

Termin obejmuje bardzo różne dziedziny, z odmiennymi konotacjami:

• Marketing i reklama: profile zainteresowań i intencji zakupowych, budowane na podstawie danych z przeglądania stron i transakcji, aby dobierać treści i oferty.
• Organy ścigania i wywiad: profile podejrzanych tworzone na podstawie rejestrów i metadanych komunikacji, gdzie obawy o dyskryminację są najpoważniejsze.
• Bezpieczeństwo informacji: profile behawioralne użytkowników, kont i urządzeń, służące do wykrywania anomalii i ryzyka wewnętrznego. Ten artykuł dotyczy właśnie tego obszaru.

W narzędziach bezpieczeństwa profil behawioralny powstaje w powtarzalnych etapach. Sprawdzenia po drodze szukają znanych wskaźników zagrożenia wewnętrznego.

1. 1

   Zbieranie danych

   Aktywność na stacjach roboczych i w aplikacjach: korzystanie z programów, operacje na plikach, ruch w sieci i komunikatorach oraz podłączenia urządzeń.

2. 2

   Wzorzec bazowy

   Okres uczenia się określa, co jest normalne dla danej osoby: typowe aplikacje, źródła danych, godziny pracy i wielkość transferów.

3. 3

   Ocena wskaźników

   Nowe zdarzenia porównuje się ze wzorcem bazowym oraz ze wskaźnikami ryzykownych zachowań, takich jak naruszenia polityki, nietypowe miejsca docelowe czy nienormalne wolumeny.

4. 4

   Punktacja

   Trafienia i odchylenia są ważone w wynik ryzyka, który aktualizuje się wraz z napływem nowej aktywności.

5. 5

   Przegląd przez człowieka

   Analityk najpierw sprawdza zdarzenia, na których oparto wynik. Profile i wyniki są tylko danymi wejściowymi do tego przeglądu.

Profilowanie na potrzeby bezpieczeństwa jest celowo węższe. Jego przedmiotem jest zachowanie w systemach firmowych, a wynikiem ocena ryzyka, a nie sąd o człowieku.

Jego główną wartością jest koncentracja uwagi. Programy zarządzania ryzykiem wewnętrznym kierują uwagę tam, gdzie profil pokazuje podwyższone ryzyko, na przykład gdy w okresie wypowiedzenia rośnie liczba kopiowanych danych albo wzorce dostępu wskazują na przejęte konto.

Pokrewne praktyki nadają temu formę. Monitorowanie aktywności użytkowników (UAM) dostarcza surowe zdarzenia, a analityka zachowań użytkowników i podmiotów (UEBA) stosuje modele statystyczne do wykrywania anomalii.

W module Anexet Activity każdy monitorowany użytkownik ma kartę, a kategorie ryzyka ustawiane przez administratora zamieniają zdarzenia z polityki w incydenty z poziomem ryzyka. Pulpit pokazuje, jak incydenty rozkładają się między kategoriami, dzięki czemu analityk może zacząć od wzorca, a następnie otworzyć zdarzenia, które za nim stoją.

1 / 2

• 
• 

RODO definiuje profilowanie w art. 4 pkt 4 jako zautomatyzowane przetwarzanie danych osobowych polegające na wykorzystaniu ich do oceny czynników osobowych osoby fizycznej. Obejmuje to analizowanie lub przewidywanie efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się. Ocena ryzyka behawioralnego oparta na danych z monitoringu pracowników mieści się w tej definicji.

W praktyce istotne są trzy obowiązki. Profilowanie opiera się na prawnie uzasadnionym interesie, który trzeba zrównoważyć z wpływem na pracowników. Pracownicy muszą zostać poinformowani, że profilowanie ma miejsce, oraz o ogólnej logice stojącej za wynikami ryzyka. Decyzje zautomatyzowane, wywołujące skutki prawne lub podobnie istotne, nie mogą opierać się wyłącznie na zautomatyzowanym przetwarzaniu (art. 22) i wymagają zabezpieczeń w postaci udziału człowieka.

Systematyczny monitoring pracowników wymaga też oceny skutków dla ochrony danych przed wdrożeniem.

Profil, który wnioskuje o osobowości, poglądach politycznych lub religijnych, stanie zdrowotnym albo przynależności związkowej, nie jest środkiem bezpieczeństwa. Przetwarzanie takich szczególnych kategorii danych jest w RODO ograniczone.

Różnica między uprawnionym profilem bezpieczeństwa a dyskryminującym nie leży w algorytmie. Tkwi w tym, co profil mierzy, jak jest dokładny i kto podejmuje decyzję:

Większość błędów w profilowaniu to błędy projektowe. Programy, które działają, są częścią szerszego procesu zarządzania ryzykiem wewnętrznym, a ich granice łatwiej ustalić przed pojawieniem się pierwszego wyniku. Praktyczne kontrole to:

• Najpierw określ pytanie bezpieczeństwa i zbieraj tylko dane, których ono wymaga.
• Przedstaw pracownikom zrozumiały opis tego, jak powstają wyniki ryzyka.
• Przed jakimkolwiek działaniem sprawdź wysokie wyniki ręcznie, na podstawie zdarzeń, które za nimi stoją.
• Ogranicz dostęp do profili do wskazanych ról bezpieczeństwa i rejestruj każde otwarcie.
• Regularnie testuj progi, bo słabe wskaźniki oznaczają zwykłą pracę.

Zacznij od pytania, na które profil ma odpowiedzieć, na przykład które konta są używane o nietypowych porach. Profil, który odpowiada na jedno pytanie dowodami, jest wart więcej niż wynik, który szereguje wszystkich.

Zespoły, które chcą wdrożyć to w praktyce, mogą zacząć od wykrywania zagrożeń wewnętrznych i poszerzać zakres dopiero wtedy, gdy wymaga tego konkretne pytanie.

Czytaj dalej: Profilowanie.