Monitoramento da Atividade dos Usuários (UAM)

O monitoramento de atividade do usuário (UAM) registra o que as pessoas fazem nos sistemas da empresa: quais programas usam, quais sites visitam, quais arquivos abrem e quais dispositivos conectam. Cada evento vira um registro de atividade, e o UAM é a prática de coletar e revisar esses registros como um todo.

A prática não decide sozinha o que é aceitável. Uma política escrita define a finalidade, o escopo e as pessoas autorizadas a ver os dados. Sem ela, uma ferramenta criada para proteger a empresa pode passar a controlar indivíduos, por isso o escopo deve ser definido antes da instalação do primeiro agente.

Um agente em cada estação de trabalho envia registros para um repositório central. O que ele captura depende do perfil definido para a máquina, da política da empresa e da legislação do país onde o funcionário trabalha.

A maioria das implantações busca três objetivos. O primeiro costuma definir a forma dos demais.

• Segurança: uma linha de base do trabalho normal torna visíveis os desvios, como cópias grandes à noite. Esse é o núcleo da detecção de ameaças internas.
• Investigações: após um vazamento ou uma violação de política, os registros mostram quem fez o quê, quando e em qual sistema, o que é necessário em processos disciplinares e jurídicos.
• Tempo de trabalho: dados agregados mostram horas ativas, uso de aplicativos e tempo ocioso por equipe, o que apoia o controle de horas e o planejamento de capacidade.

A prevenção contra perda de dados (DLP) pergunta para onde os dados sensíveis podem ir e bloqueia transferências que violam as regras. O UAM pergunta o que cada pessoa fez, e a transferência de dados é apenas uma parte desse quadro.

A análise de comportamento de usuários e entidades (UEBA) aplica estatística e aprendizado de máquina a esses registros para pontuar comportamentos incomuns. Um SIEM reúne logs de segurança de muitos sistemas e os correlaciona. O UAM fornece o detalhe de atividade que as outras duas ferramentas usam, e muitos programas executam as três lado a lado.

Os dados de monitoramento são sensíveis por si só, por isso o acesso deve ser mais restrito que os próprios dados. Separe quem define a política de quem lê os registros no dia a dia e vincule cada consulta a uma finalidade definida. Isso também faz parte da gestão de riscos internos, tratada como processo, não como ferramenta.

O módulo Anexet Activity funciona com agentes nos terminais Windows, Linux e macOS. Cada perfil de agente decide quais atividades são registradas, então grupos diferentes de computadores podem operar com regras diferentes.

O console de perfis mostra essas escolhas em um só lugar: monitoramento de atividade do PC com tempo limite de inatividade, controle da área de transferência e a opção de uso de keylogger. Capturas de tela e outros tipos de captura são configurados no mesmo perfil. O segundo quadro mostra o resultado na linha do tempo do usuário.

1 / 2

• 
• 

O monitoramento de funcionários é regulado de forma diferente em cada país. Pela LGPD, a lei brasileira de proteção de dados, ele exige base legal, proporcionalidade a uma finalidade declarada, minimização de dados e transparência com os funcionários, e a ANPD é o regulador. Em outros países as regras seguem lógica semelhante. A legislação dos EUA é mais permissiva e varia por estado, e em alguns países conselhos de trabalhadores precisam aprovar o sistema antes da entrada em operação.

A boa prática é quase a mesma em toda parte: política escrita, finalidade definida, como segurança e não microgerenciamento, e controle de acesso aos dados de monitoramento. Um programa de UAM deve observar sistemas e atividades da empresa, não a vida privada da pessoa. Criar perfis de funcionários levanta suas próprias questões jurídicas.

Comece pela pergunta que o monitoramento precisa responder e, depois, colete o menor conjunto de registros de atividade que responda a ela. Um programa criado para capturar todos os sinais tende a ser desligado, enquanto um programa restrito, com dono claro, continua funcionando.

Mantenha os dados em infraestrutura sob seu controle. Com a implantação on-premise, os registros ficam dentro da empresa, o que importa quando os próprios dados de monitoramento são sensíveis.

Leitura adicional: Como um oficial de segurança identifica um insider usando o sistema DLP?.