Profiling (Perfilamento)

Um perfil é um resumo estruturado construído a partir de dados sobre um sujeito: atributos estáticos, padrões dinâmicos e características inferidas. O profiling começa quando esses dados são analisados para avaliar, categorizar ou prever algo sobre o sujeito, e não apenas quando são registrados.

O termo abrange domínios muito diferentes, com conotações distintas:

• Marketing e publicidade: perfis de interesses e intenção de compra, montados a partir de dados de navegação e transações para direcionar conteúdos e ofertas.
• Aplicação da lei e inteligência: perfis de suspeitos montados a partir de registros e metadados de comunicação, onde as preocupações com discriminação são mais agudas.
• Segurança da informação: perfis comportamentais de usuários, contas e dispositivos, usados para detectar anomalias e risco interno. Este artigo trata desta área.

Em ferramentas de segurança, um perfil comportamental é construído em etapas que se repetem. As verificações ao longo do caminho buscam os conhecidos indicadores de ameaça interna.

1. 1

   Coleta de dados

   Atividade em estações e aplicativos: uso de programas, operações com arquivos, tráfego web e de mensagens, e conexões de dispositivos.

2. 2

   Linha de base

   Um período de aprendizado define o que é normal para o sujeito: aplicativos habituais, fontes de dados, horários de trabalho e volumes de transferência.

3. 3

   Avaliação de indicadores

   Novos eventos são comparados com a linha de base e com indicadores de comportamento arriscado, como violações de política, destinos incomuns ou volumes anormais.

4. 4

   Pontuação

   Correspondências e desvios são ponderados em um escore de risco que se atualiza conforme chega nova atividade.

5. 5

   Revisão humana

   Um analista examina primeiro os eventos subjacentes. Perfis e escores servem como insumos para essa revisão.

O profiling de segurança é deliberadamente mais restrito. Seu objeto é o comportamento em sistemas corporativos, e seu resultado é uma avaliação de risco, não um julgamento sobre uma pessoa.

Seu principal valor é o foco. Programas de risco interno concentram a atenção onde o perfil mostra risco elevado, como um pico de cópia de dados durante o aviso prévio ou padrões de acesso que sugerem uma conta comprometida.

Práticas vizinhas dão forma a isso. O monitoramento de atividade de usuários (UAM) fornece os eventos brutos, e a análise de comportamento de usuários e entidades (UEBA) aplica modelos estatísticos para revelar anomalias.

No módulo Anexet Activity, cada usuário monitorado tem um cartão, e as categorias de risco definidas pelo administrador transformam eventos de política em incidentes com um nível de risco. O painel mostra como os incidentes se distribuem entre as categorias, de modo que o analista pode partir do padrão e depois abrir os eventos por trás dele.

1 / 2

• 
• 

O GDPR define o profiling no Artigo 4(4) como o tratamento automatizado de dados pessoais para avaliar aspectos pessoais de uma pessoa natural. Isso abrange analisar ou prever desempenho no trabalho, situação econômica, saúde, preferências pessoais, interesses, confiabilidade, comportamento, localização ou deslocamentos. A pontuação de risco comportamental construída com dados de monitoramento de funcionários se enquadra nessa definição.

Três obrigações importam na prática. O profiling depende de legítimo interesse, equilibrado com o impacto sobre os funcionários. Os funcionários devem ser informados de que o profiling ocorre e sobre a lógica geral por trás dos escores de risco. Decisões automatizadas com efeitos jurídicos ou igualmente significativos não podem se apoiar somente no tratamento automatizado (Artigo 22) e exigem salvaguardas de intervenção humana.

O monitoramento sistemático de funcionários também exige uma avaliação de impacto sobre a proteção de dados antes da implantação.

Um perfil que infere personalidade, convicções políticas ou religiosas, saúde ou filiação sindical não é um controle de segurança. O tratamento dessas categorias especiais de dados é restrito pelo GDPR.

A diferença entre um perfil de segurança legítimo e um discriminatório não está no algoritmo. Está no que o perfil mede, em quão preciso ele é e em quem decide:

A maioria das falhas de profiling é falha de desenho. Os programas que funcionam ficam dentro de um processo mais amplo de gestão de risco interno, e seus limites são mais fáceis de definir antes que o primeiro escore apareça. As verificações práticas são:

• Defina primeiro a pergunta de segurança e colete apenas os dados de que ela precisa.
• Dê aos funcionários uma descrição simples de como os escores de risco são construídos.
• Revise manualmente os escores altos, comparando-os com os eventos subjacentes, antes de qualquer ação.
• Restrinja o acesso aos perfis a papéis de segurança nomeados e registre cada visualização.
• Teste os limites regularmente, porque indicadores fracos marcam trabalho comum.

Comece pela pergunta que o perfil precisa responder, por exemplo, quais contas são acessadas em horários incomuns. Um perfil que responde a uma pergunta com evidências vale mais do que um escore que classifica todo mundo.

Equipes que querem colocar isso em prática podem começar pela detecção de ameaças internas e ampliar o escopo somente quando uma pergunta concreta exigir.

Leitura adicional: Profiling.