Плохой день может случиться у каждого, даже у самого классного сотрудника, никогда не нарушавшего политики безопасности

Текущее настроение – играет важную роль в оценке благонадёжности специалистов, которые работают с чувствительными данными и процессами. Это не наш вывод, а группы учёных из Городского университета Гонконга, проводивших исследование влияния такого непостоянного показателя, как настроение, на кибербезопасность.

Команда социологов изучала и возможные поводы перепадов настроения на рабочем месте. По иронии судьбы иногда причиной плохого настроения сотрудников была сама политика безопасности – слишком строгая или обременительная. Исследовательская группа назвала этот эффект «дружественным огнём» политик ИБ.



Лучшим средством от чьего-то плохого настроения на работе мы считаем подсистему Мониторинг и аналитика. Как часть экосистемы СКДПУ НТ она не только собирает данные о привилегированных пользователях, но и обрабатывает в рамках поведенческого анализа — через детекторы и анализаторы.

Детекторы реагируют на события «в вакууме» и не учитывают контекст инцидента. Такими событиями могут быть любые, выходящие за рамки корпоративной политики безопасности, к примеру, удаление корневых папок и файлов.

Анализаторы действуют иначе — действия пользователя рассматриваются через призму его привычного поведения. К примеру, ваш подрядчик обычно заходит в систему в 09:00 а выходит в 18:00, но сегодня он залогинился в час ночи. Да, возможно, у сотрудника ночной прилив сил и мотивации, а быть может, в вашей системе появился незваный гость. Повод сообщить!

Поведенческий анализ не только значительно упростит работу вашего офицера безопасности, но и поможет экономить деньги на недобросовестных сотрудниках — или обратит внимание на внутренние проблемы, которые не видны человеческому глазу.

Объясним на примере конкретных подразделений:

Для CISO:

Потенциально опасные команды

Детектор проверяет отпечатки вводимого текста, команды и адреса. Он сортирует их по двум спискам: «чёрному» и «серому» — по уровню нежелательности команд, или их частей.

Нелегитимные входы

Если пользователь подключается к нужным ему системам напрямую, а не через СКДПУ НТ Шлюз доступа — создаётся инцидент. Этот детектор используется в рамках совместной работы с решениями других классов — к примеру, IDS или межсетевым экраном InfoWatch ARMA.

Для CEO:

Эффективность работы

Анализатор изучает активность пользователя — при падении эффективности сессии подсистема создаёт инцидент. Реальный кейс, когда этот анализатор выполнил бизнес-функци и сэкономил деньги, разбирали здесь.

Для HR:

Контроль привычного времени работы

Анализатор изучает историю сессий пользователя и вычисляет, выпадает ли начало сессии на типичный для сотрудника интервал. При нетипичном времени работы система создаёт инцидент. Отличная возможность засечь злоумышленника! Но ещё это — прекрасный способ замечать изменения в работе ответственных коллег. О пользе для службы кадров писали в этом посте.

Ставьте , если хотите больше подробностей о поведенческом анализе!

#подсистемный_марафон