Главная мысль
Аномальная активность может вызвать подозрение, но не доказывает умысел. Проверяйте независимые журналы и контекст, собирая только необходимую информацию.
Внутренний риск бывает умышленным и случайным
Внутренний риск могут создавать нынешние и бывшие сотрудники, подрядчики и доверенные партнёры. Вред может быть умышленным — кража данных или саботаж — либо возникнуть из-за неосторожной отправки, случайного удаления или захвата учётной записи. Цель, уровень доступа, тип данных и контекст поведения определяют ход расследования.
Сопоставляйте сигналы с поведением и журналами
Сигналом для проверки могут быть массовый доступ к файлам, необычная загрузка или пересылка почты, доступ к системам, не связанным с рабочими обязанностями, повышение привилегий, удаление журналов или использование аккаунта при увольнении. Недовольство, финансовые трудности или изменение поведения сами по себе не являются техническим доказательством и не позволяют делать выводы о человеке. Сопоставьте журналы входов, управления доступом и устройств, чувствительность данных, утверждённые задачи и график работы.
Проводите соразмерное расследование на основе доказательств
Восстановите хронологию событий; проверьте источник, синхронизацию времени и целостность журналов; ищите подтверждение в независимых системах. При подозрении проводите ограниченное расследование с уполномоченными сотрудниками безопасности и кадровой службой или юристами. Доступ к личной переписке и данным устройства должен соответствовать закону, политике и согласованному процессу. Не выдавайте предположение за подтверждённый факт, отделяйте факты от интерпретаций и сохраняйте доказательства.
Ограничивайте доступ и отзывайте его при уходе сотрудника
Ограничивайте ролевые права необходимым минимумом, регулярно пересматривайте доступ к чувствительным данным и отдельно защищайте привилегированные аккаунты. При увольнении или смене роли своевременно отзывайте или изменяйте доступ учётных записей, токенов, API-ключей и доверенных устройств; завершайте активные сессии и передавайте данные по утверждённой процедуре. Отпуск, нагрузка и нехватка поддержки тоже могут приводить к ошибкам, поэтому обеспечивайте доступ к обучению и понятный способ сообщить о проблеме.