Cyberbezpieczeństwo Twojej organizacji jest zagrożone, i to nie tylko z powodu zagrożeń zewnętrznych. Incydenty związane z zagrożeniami wewnętrznymi stanowią poważny problem dla organizacji ze względu na potencjalne szkody, jakie mogą wyrządzić. Zjawisko to nasila się, a 74% organizacji twierdzi, że ataki wewnętrzne stały się częstsze. Zrozumienie tych podatności i ograniczanie zagrożeń wewnętrznych ma kluczowe znaczenie dla ochrony zasobów i reputacji Twojej organizacji.
Ten artykuł przedstawia dziesięć strategii ograniczania ryzyka, które liderzy biznesowi mogą wdrożyć w celu ograniczania i wykrywania zagrożeń wewnętrznych.
Zrozumienie zagrożeń wewnętrznych
Zagrożenia wewnętrzne podkreślają kluczowe znaczenie cyberbezpieczeństwa w ochronie poufnych informacji i systemów przed tego rodzaju wewnętrznymi podatnościami.
Zagrożenia wewnętrzne pochodzą od osób należących do organizacji, takich jak pracownicy (lub byli pracownicy), wykonawcy czy partnerzy biznesowi, którzy posiadają informacje wewnętrzne dotyczące praktyk organizacji w zakresie zarządzania informacjami i zdarzeniami związanymi z bezpieczeństwem, danych oraz systemów komputerowych.
Według CISA zagrożenie wewnętrzne występuje, gdy osoba posiadająca uprawniony dostęp, świadomie lub nieświadomie, podejmuje działania szkodliwe dla kluczowych zasobów departamentu: misji, zasobów, personelu, obiektów, informacji, sprzętu, sieci lub systemów. Zagrożenia te mogą przybierać różne formy, w tym przemocy, szpiegostwa, sabotażu, kradzieży i działań związanych z cyberprzestępczością.
Rodzaje zagrożeń wewnętrznych
Zagrożenia wewnętrzne są często ogólnie dzielone na dwa rodzaje: działania złośliwe i zaniedbania. Jednak bardziej szczegółowa ocena ryzyka ujawnia całe spektrum tych zagrożeń, z których każde może przejawiać się w organizacji na inny sposób.
Wdrożenie solidnego programu przeciwdziałania zagrożeniom wewnętrznym, edukowanie pracowników oraz wykorzystywanie zaawansowanych narzędzi do wykrywania zagrożeń to kluczowe strategie skutecznego rozwiązywania tych problemów.
Rozważ sześć odrębnych kategorii potencjalnych zagrożeń wewnętrznych i poznaj rodzaje ryzykownych działań związanych z danymi, na które zespoły ds. bezpieczeństwa powinny zwracać szczególną uwagę:
- Odchodzący pracownicy: Osoby opuszczające firmę, niezależnie od tego, czy odchodzą z własnej woli, czy w wyniku rozwiązania stosunku pracy, stanowią poważne zagrożenie wewnętrzne. Odchodzący pracownicy mogą zabrać ze sobą cenne materiały lub własność intelektualną, aby ułatwić sobie znalezienie nowego zatrudnienia, a w bardziej złośliwych przypadkach mogą ujawnić poufne dane w ramach zemsty.
- Niezadowoleni pracownicy wewnętrzni: Do tej grupy należą obecni pracownicy żywiący urazę do firmy. Kierując się swoimi pretensjami, mogą podejmować działania takie jak modyfikowanie lub usuwanie kluczowych danych, ujawnianie poufnych lub wrażliwych informacji bądź dokonywanie różnego rodzaju aktów sabotażu.
- Niedbali pracownicy: Chociaż wiele strategii zapobiegania zagrożeniom wewnętrznym koncentruje się przede wszystkim na złośliwych osobach wewnątrz organizacji, pracownicy zaniedbujący swoje obowiązki często stanowią większe ryzyko. Proste przeoczenia, takie jak zaniechanie korzystania z zabezpieczeń punktów końcowych lub brak automatyzacji protokołów bezpieczeństwa, mogą narazić organizację na niebezpieczeństwo.
- Osoby obchodzące zasady bezpieczeństwa: Próbując ominąć protokoły bezpieczeństwa wdrożone przez nowoczesne firmy, które postrzegają jako uciążliwe, niektórzy pracownicy opracowują obejścia. Niestety działania te osłabiają istniejące środki bezpieczeństwa, zwiększając ryzyko naruszeń danych.
- Nieświadomi wspólnicy: Te osoby wewnątrz organizacji, świadomie lub nieświadomie, działają na zlecenie podmiotów zewnętrznych. Mogą zostać zmuszone do ujawnienia informacji za pomocą gróźb lub łapówek albo nakłonione do udostępnienia danych logowania za pomocą taktyk inżynierii społecznej w mediach społecznościowych.
- Podmioty zewnętrzne: Osoby wewnątrz organizacji nie zawsze są pracownikami. Osoby powiązane z partnerami zewnętrznymi, takimi jak dostawcy, wykonawcy i usługodawcy, mogą stanowić poważne zagrożenie. Mimo że nie znajdują się na liście płac firmy, podmioty zewnętrzne – którym przyznano pewien poziom dostępu – mogą być równie niebezpieczne jak pracownicy wewnętrzni posiadający podobne uprawnienia. Wykrywaj potencjalne zagrożenia, uważnie obserwując podejrzane zachowania w swojej sieci. Upewnij się, że systemy bezpieczeństwa pozostają czujne, a wszelkie nietypowe lub zakłócające działania wywołują natychmiastową reakcję zgodną ze strategią reagowania na incydenty. Utrzymuj ścisły nadzór nad zdalnym dostępem do infrastruktury swojej organizacji.
Typowe zachowania osób wewnątrz organizacji, na które należy zwracać uwagę, obejmują nieautoryzowane udostępnianie danych, lekceważenie procedur ochrony danych, błędne konfiguracje systemów oraz podatność na ataki phishingowe lub złośliwe oprogramowanie przeprowadzane przez cyberprzestępców. Wykorzystanie analityki zachowań użytkowników (UBA) oraz narzędzi SIEM zwiększy Twoją zdolność do skutecznego identyfikowania złośliwych sprawców.
Have an account? Log In
Wpływ zagrożeń
Zagrożenia wewnętrzne mogą prowadzić do strat finansowych, konsekwencji prawnych i uszczerbku na reputacji. Wyrządzone szkody są często poważne ze względu na dostęp i wiedzę, którymi dysponują te osoby.
Rozważmy ten niedawny przykład: jeden z naszych pracowników złożył zespołowi kierowniczemu dwutygodniowe wypowiedzenie. Podczas gdy zespół przygotowywał się do przekazania obowiązków, zespół operacji bezpieczeństwa (SOC) firmy Cyber Guards zauważył nietypowe zachowanie. Odchodzący pracownik zaczął uzyskiwać dostęp do plików programu SharePoint, z którymi zazwyczaj nie miał do czynienia, i pobierać ich zawartość na urządzenie niebędące własnością firmy.
Jeszcze bardziej nietypowe było to, że pracownik zaczął pobierać ogromne ilości danych, do których miał uprawniony dostęp. Następnie zaczął wysyłać pliki i podręczniki operacyjne na swoje prywatne konta e-mail, a także przesyłać dane firmy na osobisty Dysk Google. Firma Cyber Guards powiadomiła zespół klienta i współpracowała z działami IT, prawnym oraz HR, aby szybko podjąć działania. Obejmowały one odebranie użytkownikowi dostępu, wyczyszczenie jego służbowego komputera, wysłanie powiadomień prawnych oraz rozwiązanie umowy z pracownikiem przed upływem okresu wypowiedzenia.
Pięć strategii ograniczania i wykrywania zagrożeń wewnętrznych
Ograniczanie zagrożeń wewnętrznych wymaga wieloaspektowego podejścia, łączącego technologię, procesy i ludzi.
Wdrożenie programu zapobiegania utracie danych
Program zapobiegania utracie danych to zestaw procesów, zasad i mechanizmów kontroli bezpieczeństwa, które pomagają zapobiegać ujawnianiu, udostępnianiu lub uzyskiwaniu dostępu do poufnych danych przez nieupoważnionych użytkowników. Program ten powinien być dostosowany do konkretnych potrzeb organizacji i obejmować dane przechowywane zarówno lokalnie, jak i w chmurze. Pomoże on chronić najcenniejsze zasoby danych organizacji.
Stosowanie mechanizmów kontroli bezpieczeństwa
Wdrażanie mechanizmów kontroli bezpieczeństwa, które zapobiegają popełnianiu błędów przez użytkowników, to kolejna kluczowa strategia ograniczania zagrożeń wewnętrznych. Obejmuje ona zarządzanie tożsamością i uprzywilejowanym dostępem, mechanizmy kontroli dostępu do danych, takie jak kontrola dostępu oparta na rolach, zapobieganie błędnej konfiguracji oraz narzędzia cyberbezpieczeństwa. Wdrażaj zasady bezpieczeństwa ograniczające dostęp do danych zgodnie z obowiązkami pracownika oraz ograniczające dostęp do określonych witryn internetowych.
Priorytetowo traktuj bezpieczeństwo fizyczne w miejscu pracy. Zaangażuj kompetentny zespół ds. bezpieczeństwa, którego zadaniem będzie przestrzeganie protokołów bezpieczeństwa. Jego rola powinna obejmować monitorowanie dostępu do kluczowych stref IT, takich jak serwerownie lub obszary szaf przełącznikowych, i zapewnienie, że wchodzą tam wyłącznie upoważnione osoby. Przy wejściach zespół powinien sprawdzać urządzenia IT i rejestrować wszelkie odstępstwa od ustalonego poziomu bazowego bezpieczeństwa. Przypominaj wszystkim osobom o wyłączaniu aparatów w telefonach komórkowych podczas pobytu na terenie firmy. Zawsze upewniaj się, że serwerownie pozostają bezpiecznie zamknięte.
Monitorowanie środowiska cyfrowego pod kątem utraty danych
Kolejną kluczową strategią wykrywania zagrożeń wewnętrznych jest monitorowanie środowiska cyfrowego pod kątem utraty danych, co obejmuje wdrożenie kompleksowego systemu narzędzi monitorujących, które analizują działania pracowników i identyfikują podejrzaną aktywność. Podejście to może obejmować monitorowanie dostępu do danych, pobierania i przesyłania danych, a także komunikacji internetowej. Monitorowanie aktywności pomoże organizacji identyfikować pracowników, którzy przypadkowo upubliczniają dane lub mogą planować zabrać dane organizacji ze sobą przy odejściu z firmy.
Edukowanie i szkolenie pracowników
Zagrożenie wewnętrzne nie zawsze jest celowo złośliwe. Użytkownicy końcowi mogą nieumyślnie udostępniać lub wyciekać informacje, ponieważ nie zostali przeszkoleni w zakresie prawidłowego uzyskiwania dostępu do danych i ich udostępniania. Użytkownicy zazwyczaj nie są również przeszkoleni w zakresie prawidłowego wykrywania i zgłaszania potencjalnych zagrożeń. Zapewniając regularne szkolenia pracownikom, interesariuszom, partnerom, dostawcom, stażystom, podwykonawcom lub kontrahentom, dajesz użytkownikom końcowym zasoby potrzebne do zapobiegania zagrożeniom cybernetycznym. Szkolenie powinno obejmować zagrożenia związane z bezpieczeństwem danych i ich ochronę, uwierzytelnianie, rozpoznawanie prób wyłudzenia informacji oraz zasady postępowania z danymi, aby każda osoba w organizacji znała zagrożenia i środki, które może podjąć, aby im zapobiegać.
Podczas niedawnego incydentu z pracownikiem skontaktowała się znana mu osoba z listy kontaktów. W wiadomości e-mail napisano, że jej firma aktualizuje dane i potrzebuje, aby nasz pracownik zaktualizował swoje informacje. W wiadomości znajdował się link do witryny SharePoint, która wyglądała dokładnie tak jak typowa strona logowania pracownika. Użytkownik wprowadził swoje dane uwierzytelniające, ale rozsądnie zatrzymał się przed wpisaniem kodu uwierzytelniania wieloskładnikowego.
Przerwał, poświęcił czas na sprawdzenie adresu URL i wysłał go do działu IT w celu weryfikacji. Okazało się, że szkolenie pracownika przyniosło efekty! Prawidłowo rozpoznał adres URL jako złośliwy i zgłosił wiadomość e-mail zespołowi IT. Pracownik skontaktował się również telefonicznie z osobą, która wysłała mu wiadomość e-mail, i miał rację: ta osoba nie wysłała do niego żadnych wiadomości. Okazało się, że jej konto e-mail zostało przejęte.
Utworzenie planu reagowania na incydenty
Rzeczywistość związana z cyberbezpieczeństwem jest taka, że nawet przy zastosowaniu najlepszych środków zapobiegawczych i detekcyjnych nadal może dojść do cyberincydentu. Dlatego niezbędne jest posiadanie planu, który pomoże zminimalizować szkody wynikające z incydentu i jak najszybciej wznowić działalność. Plan reagowania na incydenty to kompleksowy zestaw wytycznych i procedur, których organizacja może przestrzegać podczas cyberincydentu. Firmy zazwyczaj przygotowują się na scenariusze „najgorszego przypadku”, takie jak ransomware, ale często pomijają ryzyko zagrożeń wewnętrznych. Plan powinien obejmować konkretne kroki umożliwiające wykrywanie, powstrzymywanie i ograniczanie szkód spowodowanych przez zagrożenie wewnętrzne, niezależnie od tego, czy jest ono celowe, czy przypadkowe. Plany te należy regularnie przeglądać, testować i aktualizować, aby zachowały aktualność i praktyczną użyteczność.
More Articles
Studium przypadku: wrażliwe dane klientów
W tym studium przypadku z życia wziętym wiodąca firma z branży cyberbezpieczeństwa dostrzegła potencjalne zagrożenia wewnętrzne wynikające z wysokiego poziomu dostępu jej pracowników do wrażliwych danych klientów. Ustanowiła punkt odniesienia dla normalnej aktywności sieciowej oraz wdrożyła ścisłą kontrolę dostępu, monitorowanie w czasie rzeczywistym i środki zapewniające bezpieczeństwo psychologiczne w celu wykrywania zagrożeń wewnętrznych i zapobiegania im.
Punktem zwrotnym był moment, gdy starszy analityk zaczął eksportować dane do nieautoryzowanego zewnętrznego nośnika. System wykrył anomalię i wygenerował alert. Natychmiast podjęto działania, obejmujące dyskretne monitorowanie aktywności analityka oraz cichy audyt jego ostatnich działań.
Ustalono, że analityk nieumyślnie doprowadzał do naruszenia bezpieczeństwa, korzystając w pracy z osobistego urządzenia, co było sprzeczne z polityką firmy. Organizacja rozwiązała problem przy minimalnych zakłóceniach i wykorzystała incydent jako studium przypadku służące wzmocnieniu wewnętrznych protokołów bezpieczeństwa oraz szkoleń, przekształcając tym samym potencjalne zagrożenie wewnętrzne w szansę na poprawę poziomu bezpieczeństwa.
Integracja strategii ograniczania zagrożeń wewnętrznych
Wskaźniki zagrożeń wewnętrznych mają kluczowe znaczenie dla organizacji, które chcą chronić swoje zasoby i reputację. Powinny być priorytetem w każdej strategii cyberbezpieczeństwa. Osiągnięcie optymalnego poziomu ochrony przed cyberzagrożeniami wymaga od firm stałego monitorowania pojawiających się zagrożeń w organizacji oraz tworzenia strategii mających na celu ich ograniczanie. Aby pogłębić wiedzę na temat przeciwdziałania tym zagrożeniom, warto zapoznać się z różnorodnymi książkami o cyberbezpieczeństwie , które mogą dostarczyć podstawowej wiedzy i zaawansowanych strategii niezbędnych w arsenale każdego lidera technologicznego.
Wyprzedzanie tych zagrożeń wymaga nie tylko aktualnej wiedzy, lecz także społeczności świadomych liderów, którzy dzielą się spostrzeżeniami i strategiami. Dostępnych jest wiele wartościowych zasobów dotyczących cyberbezpieczeństwa , dzięki którym można poszerzyć swoją wiedzę. CTO i liderzy technologiczni stojący na czele cyberobrony mogą dołączyć do naszego biuletynu, aby otrzymywać porady ekspertów oraz informacje o najnowocześniejszych rozwiązaniach w dziedzinie cyberbezpieczeństwa.
