Monitoramento

Monitoramento é a observação contínua ou periódica de um sistema, uma pessoa, uma rede ou um processo. Serve para conhecer o estado e detectar mudanças à medida que acontecem. No TI corporativo, os dados são coletados enquanto os eventos ocorrem, para que a organização perceba, investigue e reaja enquanto isso ainda importa, em vez de reconstruir tudo depois.

O registro passivo grava eventos em arquivos. A auditoria verifica atividades depois do fato, em relação a um padrão. O monitoramento é observação ativa, com a intenção de detectar e agir.

O monitoramento de uma organização se divide em tipos reconhecidos, conforme o que é observado e por quê. As fronteiras são fluidas: um mesmo agente de endpoint pode alimentar o monitoramento de segurança, de funcionários e de ativos ao mesmo tempo. Na prática, importa o escopo e a profundidade da coleta, mais do que o rótulo. A parte voltada a funcionários dessa lista é descrita em monitoramento da atividade dos usuários.

Os dados de monitoramento vão de um nível leve a um nível profundo. No nível leve estão os metadados: qual aplicativo rodou e por quanto tempo, qual site foi acessado, quando um arquivo mudou. A coleta mais profunda acrescenta conteúdo: textos de mensagens, corpo de documentos, capturas de tela e, em ambientes de alta segurança, áudio e vídeo da estação de trabalho. Quanto mais profunda, mais útil para investigações e mais difícil de justificar pela lei de privacidade. O exemplo mais granular desse extremo profundo é o monitoramento de digitação.

As classes típicas incluem eventos de autenticação, atividade de aplicativos e web, tráfego de e-mail, operações em arquivos (copiar, imprimir, transferir para mídia removível), mensagens instantâneas, uso da área de transferência e capturas de tela. Quais podem ser coletadas, por quanto tempo e com o conhecimento de quem são definidos pela lei e pela política interna.

Os motivos declarados para o monitoramento no trabalho se agrupam em cinco objetivos. O primeiro está mais próximo da detecção de ameaças internas, em que a linha do tempo de atividades mostra o que aconteceu antes de um alerta.

• Detecção de ameaças: identifica malware, contas comprometidas e atividade interna
• Proteção de dados: torna visíveis as transferências por e-mail, web e USB
• Conformidade e evidências: cria trilha de auditoria quando um incidente é investigado ou reportado
• Produtividade e recursos: mostra como o tempo de trabalho, equipamentos e software licenciado são usados
• Investigação de incidentes: reconstrói quem fez o quê, quando e por qual canal

A visão ao vivo vem do Anexet Activity: o supervisor acompanha vários computadores ao mesmo tempo e pode iniciar uma gravação na mesma tela. Os gráficos de tráfego pertencem à parte de interceptação de rede do produto, que também cobre o monitoramento de tráfego web.

1 / 2

• 
• 

O monitoramento é o ponto em que a segurança da organização encontra o direito individual à privacidade, e cada jurisdição resolve essa tensão de forma diferente. Na UE e em regimes semelhantes, o monitoramento de funcionários exige base legal, finalidade definida, proporcionalidade, transparência com as pessoas afetadas e limites de retenção. O monitoramento secreto geralmente só é aceitável diante de suspeita concreta e documentada, por tempo limitado e para um grupo restrito de pessoas.

Os Estados Unidos partem de uma base mais permissiva: empregadores têm amplos direitos sobre atividades em sistemas da empresa, mas leis estaduais sobre biometria e interceptação de comunicações impõem limites próprios. Dois princípios funcionam em qualquer jurisdição: usar o meio menos invasivo que atinja a finalidade e definir expectativas antecipadamente, por meio de uma política de monitoramento que os funcionários realmente conheçam.

Um programa que resiste ao escrutínio jurídico e ético segue os mesmos elementos em todas as jurisdições.

1. 1

   Defina uma finalidade documentada

   O monitoramento existe para gerenciar um risco específico, como perda de dados, fraude ou falha de sistema, e não para satisfazer curiosidade.

2. 2

   Mantenha um escopo proporcional

   A profundidade da coleta, o grupo monitorado e o período de retenção correspondem ao risco. As técnicas mais invasivas ficam reservadas para investigações com um gatilho concreto.

3. 3

   Seja transparente

   Os funcionários sabem que o monitoramento existe, o que ele abrange e como exercer seus direitos sobre os dados.

4. 4

   Proteja os dados do monitoramento

   Os registros de atividade estão entre os ativos mais sensíveis da organização. O acesso a eles é restrito e registrado.

Comece pelo risco que o monitoramento precisa responder e depois escolha a coleta mais leve que responda a ele. Uma finalidade escrita, um prazo curto de retenção e uma política que os funcionários tenham lido são mais fáceis de defender do que a gravação completa de todas as telas. Os resultados podem então ser compartilhados como relatórios de conformidade de segurança com quem responde pelo risco.

Leitura adicional: SOC e Segurança da Informação.