Əsas fikir
Anomal fəaliyyət şübhə yarada bilər, lakin niyyətin sübutu deyil. Müstəqil qeydləri və konteksti yoxlayın, yalnız zəruri məlumatı toplayın.
Daxili risk niyyətli və təsadüfi ola bilər
Daxili riskə hazırkı və keçmiş işçilər, podratçılar və etibarlı tərəfdaşlar daxil ola bilər. Zərər qəsdən məlumat oğurlamaq və ya sabotaj etməkdən, ehtiyatsız paylaşmadan, səhvən silmədən və ya hesabın ələ keçirilməsindən yarana bilər. Niyyət, giriş səviyyəsi, məlumat növü və davranış konteksti təhlükənin necə araşdırılacağını müəyyən edir.
Siqnalları davranışla və sistem qeydləri ilə müqayisə edin
Qısa müddətdə çoxlu fayla giriş, qeyri-adi yükləmə və ya e-poçt ötürülməsi, iş rolu ilə əlaqəsi olmayan sistemlərə baxış, səlahiyyət artımı, qeydlərin silinməsi və ya ayrılma zamanı hesab istifadəsi araşdırma siqnalı ola bilər. Narazılıq, maliyyə çətinliyi və ya davranış dəyişikliyi təkbaşına texniki sübut deyil və şəxs barədə nəticə çıxarmağa əsas vermir. İdentiklik və son nöqtə jurnallarını, məlumatın həssaslığını, təsdiqlənmiş tapşırığı və iş cədvəlini tutuşdurun.
Araşdırmanı mütənasib və sübut əsaslı aparın
Hadisənin vaxt xəttini qurun; mənbə, vaxt sinxronizasiyası və qeydin bütövlüyünü yoxlayın; müstəqil sistemlərdən təsdiq axtarın. Şübhə varsa, səlahiyyətli təhlükəsizlik və HR/hüquq məsulları ilə məhdudlaşdırılmış araşdırma aparın. Şəxsi yazışma və cihaz məlumatına çıxış üçün qanun, siyasət və razılaşdırılmış prosesə əməl edin. Ehtimalı təsdiq kimi təqdim etməyin, faktı şərhdən ayırın və sübutu qoruyun.
Girişi məhdudlaşdırın və işdən ayrılmanı idarə edin
Rol əsaslı hüquqları minimumda saxlayın, həssas məlumatlara girişə müntəzəm yenidən baxın və idarəçi hesablarını ayrıca qoruyun. İşdən ayrılma və rol dəyişikliyində hesabları, tokenləri, API açarlarını və cihaz etibarını vaxtında yeniləyin; aktiv sessiyaları ləğv edin və məlumat ötürülməsini səlahiyyətli qaydada təhvil verin. Məzuniyyət, iş yükü və dəstək problemləri də əməliyyat səhvlərinə səbəb ola bilər, ona görə bildiriş və təlim kanallarını açıq saxlayın.