O que um programa de ameaças internas abrange
Um programa de ameaças internas é o plano permanente da organização para lidar com riscos vindos de pessoas que já têm acesso legítimo: funcionários, terceirizados e parceiros. O objetivo é evitar danos sempre que possível, detectá-los cedo e responder de forma consistente. O risco em si é descrito em ameaça interna.
O programa cobre pessoas, não apenas sistemas, por isso exige várias funções ao mesmo tempo. Segurança, RH, jurídico e os donos das áreas de negócio têm papéis definidos. A disciplina mais ampla que o programa coloca em prática é a gestão de riscos internos.
O que um programa maduro inclui
Apesar do nome, um programa de ameaças internas é mais amplo que a tecnologia. Programas maduros costumam combinar seis elementos:
| Elemento | O que abrange |
|---|---|
| Governança e papéis | Patrocinador sênior, gerente do programa, grupo de trabalho multifuncional |
| Política e escopo | Riscos internos definidos, ativos críticos e comportamentos monitorados |
| Treinamento e conscientização | Integração e treinamentos recorrentes, como relatar preocupações |
| Monitoramento e detecção | Visibilidade técnica sobre atividade de usuários, transferências e violações |
| Resposta e investigação | Triagem, escalonamento, tratamento de evidências, encerramento de casos |
| Métricas e revisão | Medir a eficácia e levar as lições de volta à política |
Um programa não é um produto
Um equívoco comum é achar que instalar software de monitoramento equivale a ter um programa. A ferramenta gera alertas. O programa define o que é monitorado, quem analisa os resultados, quais limites disparam ações, como as investigações avançam e quais salvaguardas de privacidade se aplicam.
A visibilidade técnica costuma vir do monitoramento de atividade de usuários e de software de detecção de ameaças internas. Sem isso, o programa depende sobretudo de autodeclarações e auditorias periódicas, que costumam identificar problemas tarde.
O ciclo de vida do programa
Uma forma prática de conduzir o trabalho é um ciclo contínuo de quatro fases:
- 1
Preparar e avaliar
Estabeleça governança, política, revisão jurídica e de privacidade, e identifique ativos e dados críticos.
- 2
Detectar e identificar
Colete dados de atividade dos usuários e correlacione-os com indicadores de risco definidos.
- 3
Avaliar
Faça a triagem dos indicadores para separar anomalias inofensivas de comportamentos realmente preocupantes. Escalone quando necessário.
- 4
Responder
Investigue, intervenha e documente os resultados. Os resultados voltam às regras de detecção e aos treinamentos.
Definindo o que conta como risco
Uma política escrita precisa de categorias de risco nomeadas para funcionar. Indicadores de ameaça interna só ajudam quando apontam para uma categoria que a organização já decidiu acompanhar. No Anexet, as categorias são gerenciadas no gerenciador de categorias de risco, onde cada uma tem um nível de risco padrão.
Erros comuns
A maioria dos programas que fracassam falha do mesmo jeito: começam pelas ferramentas em vez de uma lista do que precisa ser protegido. Os alertas se acumulam, ninguém é responsável por eles e a equipe aprende a ignorar o programa.
Controles técnicos como a prevenção contra perda de dados (DLP) bloqueiam transferências específicas, mas não substituem as etapas de revisão e resposta que fazem o programa funcionar.
Uma ferramenta sem escopo escrito e sem dono para os alertas gera dados, não um programa.
- Monitorar todos da mesma forma, sem escopo definido nem revisão de privacidade
- Alertas sem dono, e os incidentes são fechados sem decisão
- Nenhum passo de resposta por escrito, então cada caso é tratado de um jeito
Por onde começar
Comece pelos ativos e dados cujo vazamento causaria mais dano e depois defina os poucos comportamentos que importam para eles. Um programa restrito pode ser testado e ajustado. Um que começa monitorando tudo costuma ser desligado.
O monitoramento técnico é uma entrada desse trabalho. O Anexet DLP registra cada evento com usuário, data e hora, canal e ação tomada, o que dá aos revisores as evidências de que precisam.
Leitura adicional: Como reconhecer um insider em uma empresa e prevenir suas atividades?; Os 5 principais tipos de dados que os concorrentes tentam roubar.
Um vazamento raramente parece um ataque. Parece um dia de trabalho comum, uma transferência de cada vez.
Anexet TeamComo a Anexet resolve isto
Um programa de ameaças internas é um marco organizacional, não um software. Governança, política e pessoas treinadas não são substituíveis por uma ferramenta. O lugar da Anexet está nas fases de detecção e resposta do programa: é a camada de monitoramento e detecção em que tal programa pode se apoiar para obter visibilidade técnica.
A arquitetura on-premise mantém os dados de monitoramento na infraestrutura da organização, um ponto relevante para a revisão jurídica e de privacidade que os programas formais exigem.
Detecção por inspeção de conteúdo
os métodos de classificação incluem tesauros de segurança (dicionários de termos sensíveis), bancos de hashes para correspondência exata de arquivos, bibliotecas de impressões digitais para modelos de documentos e integração com rótulos de sensibilidade, as transferências de risco são identificadas pelo que contêm.
Cobertura de canais
os agentes nas estações monitoram e-mail, web, aplicações de armazenamento em nuvem, mensageiros, dispositivos removíveis, impressão e área de transferência, os canais pelos quais os dados se movem nos cenários internos.
Monitoramento da atividade dos usuários
os dados de atividade (quais usuários, quais ações, quais aplicações) fornecem a matéria-prima que os analistas do programa triam em relação aos indicadores de risco definidos.
Trilha de auditoria
cada evento é registrado com usuário, data e hora, canal, classificação de conteúdo e ação adotada, material para as apurações e para a revisão pós-incidente.
Anexet DLP
Saiba mais