Главная мысль
Проверяйте сведения от людей: фиксируйте источник, условия использования и степень уверенности, сопоставляйте сообщения с техническими данными и соблюдайте согласованные ограничения на передачу.
Сведения от людей дополняют технические наблюдения
Human intelligence (HUMINT) — разведывательная информация, полученная на основе сведений от людей. В кибербезопасности сообщение сотрудника о подозрительном письме или уведомление поставщика о сбое могут дать направление расследованию, но ещё не являются готовым разведывательным выводом. Интервью, опубликованное в открытом отчёте, может также служить материалом для разведки по открытым источникам (OSINT). Анализируйте такие сведения вместе с техническими записями. Они могут дать контекст, но сами по себе не доказывают, кто совершил атаку или была ли система скомпрометирована.
Фиксируйте источник, время и степень подтверждения
Для каждого сообщения укажите, кто и когда его передал, является ли оно прямым наблюдением, есть ли согласие на передачу и какие ограничения действуют. Разделяйте предположение, пересказ и подтверждённый факт; для защиты источника удаляйте идентифицирующие детали при публичном обмене. При необходимости сопоставьте сведения с независимыми техническими журналами, временной шкалой, открытым отчётом или вторым источником. При противоречиях зафиксируйте неопределённость и не делайте поспешный вывод.
Защищайте источники и соблюдайте правовые границы
Для интервью с сотрудниками и добровольных сообщений подготовьте правила: заранее объясняйте, зачем собираются сведения, как они будут использоваться и кому их передадут. Не принуждайте и не обманывайте людей ради получения паролей или секретов; не собирайте личную переписку и не входите в чужие учётные записи без разрешения. Уточните требования к сбору, хранению и передаче персональных данных у ответственных за юридические вопросы и конфиденциальность. Раскрывайте личность источника только уполномоченным лицам, которым она нужна для расследования.