Sió-Informatika Rendszerház

Az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség, vagyis a CISA átfogó útmutatója szerint a szervezeteknek össze kell kapcsolniuk a kiberbiztonsági megfigyelést, a fizikai biztonságot, a humánerőforrás-gazdálkodást, a jogi felügyeletet és a munkavállalók támogatását. Így még azelőtt azonosíthatják és kezelhetik a bennfentes fenyegetéseket, hogy azok adatlopássá, szabotázzsá, csalássá vagy erőszakos cselekménnyé súlyosbodnának.

A CISA Insider Threat Mitigation Guide című útmutatója olyan kormányzati szervek, kritikusinfrastruktúra-üzemeltetők, vállalatok és nonprofit szervezetek számára határoz meg keretrendszert, amelyek bennfentes fenyegetések kezelésére szolgáló programot kívánnak létrehozni vagy megerősíteni. Bár az útmutatót eredetileg 2020 novemberében tették közzé, legfontosabb ajánlásai továbbra is időszerűek, mivel a szervezeteknek felhőszolgáltatásokkal, hibrid munkavégzéssel, kiterjedt külső hozzáférésekkel, valamint egyre szorosabban összekapcsolódó digitális és fizikai műveletekkel kell számolniuk.

Az ügynökség a bennfentes fenyegetéseket nem pusztán kiberbiztonsági problémaként, hanem olyan vállalati kockázatként kezeli, amely hatással lehet a munkavállalókra, létesítményekre, információkra, berendezésekre, hálózatokra, szellemi tulajdonra és a szervezet küldetésének teljesítésére is.

Az útmutató a szándékos visszaélések mellett a nem szándékos cselekményekre, valamint azokra az esetekre is kiterjed, amelyekben valaki más használja ki egy jogosult személy hitelesítő adatait vagy hozzáférését. Ez a tágabb meghatározás azért fontos, mert nem minden káros bennfentes incidens kezdődik azzal, hogy egy elégedetlen alkalmazott szándékosan információkat lop.

Egy munkavállaló véletlenül hozzáférhetővé tehet érzékeny fájlokat, jóváhagyhat egy csalárd kérést, hibásan konfigurálhat egy felhőalapú erőforrást vagy social engineering támadás áldozatává válhat. Egy alvállalkozó eszközét információlopó kártevő fertőzheti meg, így egy külső támadó legitim fiókon keresztül tevékenykedhet. Egy távozó adminisztrátor pedig olyan jogosultságokat tarthat meg, amelyeket már vissza kellett volna vonni. Az így létrejövő tevékenység minden esetben úgy tűnhet, mintha megbízható felhasználótól származna.

Az engedélyezett hozzáférés sajátos biztonsági kihívást teremt

A CISA a bennfentes fenyegetést annak lehetőségeként határozza meg, hogy egy személy a szervezethez biztosított hozzáférését vagy a szervezetről szerzett speciális ismereteit károkozásra használja fel. Bennfentes lehet jelenlegi vagy korábbi alkalmazott, alvállalkozó, tanácsadó, beszállító, üzleti partner, illetve bármely más személy, aki jelenleg engedélyezett hozzáféréssel rendelkezik – vagy korábban rendelkezett – a szervezet erőforrásaihoz.

Éppen ez a legitim hozzáférés teszi különösen nehézzé a bennfentes tevékenység felderítését. A külső támadóknak általában át kell törniük a szervezet védelmét, mielőtt értékes rendszereket érhetnének el. A bennfentesek ezzel szemben már eleve tudhatják, hol találhatók a kritikus erőforrások, hogyan működnek a belső jóváhagyási folyamatok, és mely biztonsági ellenőrzéseket alkalmazzák következetlenül.

A szokásos munkavégzési mintákat is elég jól ismerhetik ahhoz, hogy a rendellenes tevékenységet legitim üzleti műveletek közé rejtsék.

A probléma nem korlátozódik a minősített hálózatokra vagy kormányzati szervekre. Kórházakat, bankokat, technológiai vállalatokat, egyetemeket, közlekedési szolgáltatókat, gyártóvállalatokat, választási hatóságokat és más, érzékeny információkért vagy alapvető szolgáltatásokért felelős szervezeteket egyaránt érinthet.

Az amerikai Nemzeti Szabványügyi és Technológiai Intézet, vagyis a NIST hasonlóan határozza meg a bennfentes fenyegetést: annak lehetőségeként, hogy az engedélyezett hozzáférést tudatosan vagy akaratlanul a működés, az erőforrások, személyek, más szervezetek vagy az egész ország károsítására használják. A lehetséges következmények közé tartozik a jogosulatlan információközlés, a kémkedés, valamint a szervezeti erőforrások és képességek elvesztése vagy leromlása.

A bennfentes fenyegetések kezelésének négy szakasza

A CISA négy átfogó szakasz köré szervezi megközelítését:

1. A fenyegetés meghatározása
2. A lehetséges fenyegetések észlelése és azonosítása
3. A rendelkezésre álló információk értékelése
4. A kockázat kezelése

Az első szakaszban a szervezetnek meg kell határoznia, kit tekint bennfentesnek saját működési környezetében, és milyen kárt okozhat az ilyen személy. Ez nem végezhető el hatékonyan a legfontosabb eszközök és funkciók azonosítása nélkül.

A szervezetnek tisztában kell lennie azzal, mely rendszerek, létesítmények, adathalmazok, működési folyamatok és munkakörök kritikus fontosságúak küldetése szempontjából. Ezután meg kell határoznia, kik férhetnek hozzá ezekhez az erőforrásokhoz, milyen szintű hozzáférés szükséges az egyes személyek feladatainak ellátásához, valamint hogyan hathat egy esetleges visszaélés a biztonságra, a pénzügyekre, a jogszabályi megfelelésre vagy az üzletmenet folytonosságára.

Az észlelés és azonosítás olyan információk összegyűjtését jelenti, amelyek egy kialakuló problémára utalhatnak. Ezek az adatok kiberbiztonsági eszközökből, fizikai hozzáférést kezelő rendszerekből, vezetői jelentésekből, HR-folyamatokból, pénzügyi ellenőrzésekből vagy munkavállalói bejelentésekből származhatnak.

Egyetlen szokatlan esemény ritkán elegendő a rosszindulatú szándék bizonyításához. A megszokott munkaidőn kívüli munkavégzésre, nagy méretű fájlok letöltésére vagy egy vezetővel szembeni elégedetlenség kifejezésére egyaránt lehet ártatlan magyarázat.

A kockázat akkor válik jelentősebbé, ha több indikátor együtt jelenik meg. Ilyen lehet például, ha egy távozó alkalmazott a feladatköréhez nem tartozó információkat ér el, szokatlanul nagy mennyiségű adatot másol le, és közben megpróbálja megkerülni a biztonsági ellenőrzéseket.

Az értékelés célja ezért az egyes események megfelelő összefüggésbe helyezése. A CISA modellje szerint képzett személyzetnek kell értékelnie egy lehetséges fenyegetés hitelességét, súlyosságát és közvetlenségét. Eközben figyelembe kell venni az alternatív magyarázatokat, valamint tiszteletben kell tartani a jogi, adatvédelmi és polgári szabadságjogi követelményeket.

A kezelés a kockázat csökkentésére használt intézkedéseket foglalja magában. A körülményektől függően a szervezet támogatást nyújthat egy válsághelyzetben lévő alkalmazottnak, korlátozhatja a különösen érzékeny erőforrásokhoz való hozzáférést, fokozhatja a felügyeletet, hivatalos vizsgálatot indíthat, bizonyítékokat őrizhet meg, bevonhatja a bűnüldöző szerveket vagy fegyelmi intézkedést alkalmazhat.

A válaszlépésnek arányosnak kell lennie a rendelkezésre álló bizonyítékokkal és a lehetséges következményekkel. Ha a szervezet automatikusan rosszindulatúnak minősít minden rendellenességet, az károsíthatja a bizalmat, túlterhelheti a nyomozókat, és jogi vagy munkajogi kockázatot teremthet.

A modell középpontjában egy multidiszciplináris csapat áll

Az útmutató egyik legfontosabb következtetése, hogy egyetlen szervezeti egység sem rendelkezik minden olyan információval és felhatalmazással, amely a bennfentes kockázatok kezeléséhez szükséges.

A kiberbiztonsági csapat észlelheti a szokatlan letöltéseket anélkül, hogy tudná: az érintett alkalmazott már felmondott. A HR-osztály ismerhet egy munkahelyi konfliktust, de lehet, hogy nincs tudomása az alkalmazott éles rendszerekhez biztosított privilegizált hozzáféréséről. A fizikai biztonsági csapat rögzítheti egy korlátozott területre történő belépési kísérletet, miközben nem látja az ehhez kapcsolódó vállalati hálózati tevékenységet.

A jogi és adatvédelmi csapatoknak eközben azt kell meghatározniuk, milyen megfigyelési és információmegosztási gyakorlatok megengedettek. Az üzleti vezetők ismerik az adott személy megszokott feladatait, az adattulajdonosok pedig meg tudják magyarázni az elért információ érzékenységét.

Egy hatékony bennfentesfenyegetés-kezelési program formális irányítási struktúra segítségével kapcsolja össze ezeket a szakterületeket. A programban többek között a következő területek képviselői vehetnek részt:

• kiberbiztonság;
• információtechnológia;
• fizikai biztonság;
• humánerőforrás-gazdálkodás;
• jogi tanácsadás;
• adatvédelem;
• megfelelőség;
• munkavállalói segítségnyújtás;
• kémelhárítás;
• kommunikáció;
• felső vezetés.

A csapatnak egyértelműen meghatározott felhatalmazásra, dokumentált eszkalációs eljárásokra és a programért felelős kijelölt vezetőre van szüksége. A tagoknak pontosan érteniük kell, milyen adatokat gyűjthetnek, kik kaphatják meg azokat, mennyi ideig őrizhetők meg, és milyen körülmények indokolnak beavatkozást.

Ez szorosan illeszkedik a NIST bennfentesfenyegetés-kezelési programra vonatkozó meghatározásához, amely szerint egy ilyen rendszer az engedély nélküli információközlés megelőzésére, felderítésére és mérséklésére használt szervezeti képességek összehangolt együttese. A NIST Special Publication 800-53 PM-12 kontrollja szintén a technikai és nem technikai információk központosított elemzését hangsúlyozza az egyes szervezeti egységek által elszigetelten végzett vizsgálatok helyett.

Az amerikai Defense Counterintelligence and Security Agency, vagyis a DCSA hasonló modellt alkalmaz az Egyesült Államok védelmi ipari bázisán. A DCSA a programirányítást, a munkavállalók képzését, a releváns információkhoz való hozzáférést, a felhasználói tevékenységek megfigyelését, valamint az integrált elemzést és reagálást nevezi meg egy működőképes bennfentesfenyegetés-kezelési képesség alapvető összetevőiként.

A megelőzésnek már a hozzáférés megadása előtt meg kell kezdődnie

A CISA útmutatója szerint a bennfentes kockázatokat a foglalkoztatás teljes életciklusán keresztül kezelni kell. A folyamatnak már a személy szervezethez történő csatlakozása előtt el kell kezdődnie, majd a munkakörváltásokon, hosszabb távolléten, felmondáson és elbocsátáson keresztül is folytatódnia kell.

A foglalkoztatás előtti ellenőrzésnek igazodnia kell a munkakör érzékenységéhez, és meg kell felelnie az alkalmazandó jogszabályoknak. Az ellenőrzés önmagában azonban nem képes előre jelezni minden későbbi cselekményt. A körülmények, a hozzáférési igények és a személyes nyomás idővel változhatnak, ezért folyamatos kockázatkezelésre van szükség.

A szervezeteknek a legkisebb jogosultság elvét kell alkalmazniuk, hogy az alkalmazottak, alvállalkozók és szolgáltatásfiókok kizárólag a feladataikhoz szükséges hozzáférést kapják meg. A különösen érzékeny műveletekhez szükség lehet a feladatok szétválasztására vagy egy második jogosult személy jóváhagyására. A privilegizált fiókokat egyes személyekhez kell rendelni, szorosan figyelni és rendszeresen felülvizsgálni, nem pedig megosztani az adminisztrátorok között.

A hozzáférések felülvizsgálata különösen fontos, amikor egy munkavállaló másik pozícióba kerül. A szervezetek gyakran újabb engedélyeket adnak az egymást követő munkakörökben, de nem távolítják el a korábbi feladatokból örökölt hozzáféréseket. A „jogosultság-felhalmozódás” következtében a munkavállalók a jelenlegi feladatkörükhöz szükségesnél jóval szélesebb körű hozzáférést tarthatnak meg.

Az ideiglenes projektek, vészhelyzeti hozzáférések és beszállítói támogatási megállapodások is hasonló problémát okozhatnak, ha az engedélyek nem járnak le automatikusan. A felhőplatformok tovább növelik az összetettséget, mert a felhasználó helyi fiókokon, API-kulcsokon, hozzáférési tokeneken, megosztott kódtárakon vagy külső identitásszolgáltatókon keresztül akkor is hozzáférést tarthat meg, ha elsődleges vállalati fiókját már letiltották.

A munkaviszony megszüntetésekor végrehajtott offboardingnak ezért túl kell mutatnia a felhasználó központi címtárból történő eltávolításán. A biztonsági és HR-csapatoknak összehangolt ellenőrzőlistát kell fenntartaniuk, amely legalább a következő területeket foglalja magában:

• e-mail;
• felhőalkalmazások;
• forráskódtárak;
• távoli hozzáférési szolgáltatások;
• fizikai belépőkártyák;
• kriptográfiai hitelesítő adatok;
• együttműködési eszközök;
• mobileszközök;
• harmadik felek rendszerei.

A folyamatnak a személyes eszközökön vagy nem engedélyezett szolgáltatásokban tárolt szervezeti adatokat is azonosítania kell, a munkaszerződésekkel, adatvédelmi szabályokkal és alkalmazandó jogszabályokkal összhangban.

A technikai megfigyelésnek a kockázatra, nem pedig a korlátlan megfigyelésre kell összpontosítania

Az útmutató elismeri a technikai megfigyelés jelentőségét, de a bennfentes fenyegetések kezelését nem szűkíti le egy viselkedéselemző termék beszerzésére.

A potenciálisan hasznos ellenőrzések közé tartoznak:

• a központosított naplózás;
• az adatvesztés-megelőzés;
• az identitás- és hozzáférés-kezelés;
• a végpontészlelés;
• a hálózatfelügyelet;
• a privilegizált hozzáférések kezelése;
• a fizikai belépési nyilvántartások;
• a felhasználói és entitásviselkedés-elemzés.

E rendszerek gondos integrációja olyan mintákat is azonosíthat, amelyek egyik adatforrásból külön-külön nem lennének láthatók.

Figyelmeztető jel lehet például:

• a felhasználó megszokott feladatain kívül eső rendszerek elérésének kísérlete;
• szokatlanul nagy adatátvitel;
• ismételt hozzáférés-vezérlési hiba;
• fájlok tömeges átnevezése vagy törlése;
• nem engedélyezett tárhelyszolgáltatások használata;
• megmagyarázhatatlan jogosultságmódosítás;
• váratlan eszközről vagy földrajzi helyről érkező tevékenység.

A kontextus továbbra is nélkülözhetetlen. Egy adatbázis-adminisztrátor jogosan továbbíthat több adatot, mint egy átlagos alkalmazott. Egy pénzügyi csapat beszámolási időszakban késő estig dolgozhat. Egy fejlesztő új megbízás után letölthet egy teljes kódtárat. A riasztási rendszereknek ezért figyelembe kell venniük a munkaköröket, üzleti ciklusokat, jóváhagyott projekteket és más működési tényezőket.

A megfigyelést írásos szabályzat alapján, jogi, adatvédelmi és felügyeleti ellenőrzések mellett kell végezni. A szervezeteknek meg kell határozniuk az adatgyűjtés jogszerű célját, korlátozniuk kell a megfigyelési adatokhoz való hozzáférést, és csak a szükséges ideig szabad megőrizniük az információkat.

Ez a különbségtétel azért fontos, mert egy önkényesnek vagy túlzottan tolakodónak tűnő bennfentesfenyegetés-kezelési program alááshatja azt a munkahelyi együttműködést, amelyre az észlelés támaszkodik. Az alkalmazottak kevésbé hajlandók problémákat jelenteni, ha úgy gondolják, hogy a program elsődlegesen a megbüntetésükre vagy titkos megfigyelésükre szolgál.

A cél a fontos erőforrásokkal kapcsolatos érdemi eltérések azonosítása, nem pedig a lehető legtöbb információ begyűjtése minden egyes alkalmazottról.

Az emberi viselkedést körültekintően kell értékelni

A bennfentes incidensek ritkán illeszkednek egyetlen, megbízható profilhoz. A CISA óva int attól, hogy a szervezetek demográfiai jellemzőkre vagy elszigetelt személyiségjegyekre támaszkodva próbálják azonosítani a lehetséges elkövetőket.

Az értékeléseknek ehelyett a megfigyelhető viselkedést, a technikai tevékenységet, a szervezeti körülményeket és az érintett személy károsítható erőforrásokhoz való hozzáférését kell figyelembe venniük. Releváns aggály lehet például:

• a biztonsági ellenőrzések kijátszására irányuló ismételt kísérlet;
• a kiosztott feladatokon kívül eső információk indokolatlan elérése;
• fenyegetések megfogalmazása;
• súlyos szabályzatsértés;
• tiltott tevékenység szándékos elrejtése.

Ezek az indikátorok azonban önmagukban nem bizonyítják az ártó szándékot. A pénzügyi nehézségek, személyes konfliktusok, gyenge munkateljesítmény vagy elégedetlenség releváns lehet egy átfogóbb értékelésben, de egyik sem bizonyítja önmagában, hogy valaki fenyegetést jelent.

Egy felelősen működő programnak különbséget kell tennie a segítségre szoruló személy, a jóhiszemű hibát elkövető alkalmazott, a korrigálható szabályszegés és a sürgős biztonsági beavatkozást igénylő tevékenység között.

Ez az egyik oka annak, hogy a CISA megközelítése a munkavállalói segítségnyújtást és a munkahelyi támogatást is magában foglalja. A korai, nem büntető jellegű beavatkozás bizonyos esetekben még azelőtt kezelheti a problémát okozó stressztényezőket, hogy a helyzet csalássá, szabotázzsá, erőszakká vagy más káros magatartássá fejlődne.

A vezetők központi szerepet játszanak, mivel gyakran ők észlelik elsőként a teljesítményben vagy viselkedésben bekövetkező lényeges változásokat. Meg kell tanítani őket arra, hogy konkrét magatartást dokumentáljanak és jelentsenek ahelyett, hogy saját maguk próbálnák megállapítani az indítékokat vagy nyomozást folytatnának.

A nem szándékosan kárt okozó bennfentesek jelentik a kockázat fontos részét

A bennfentes fenyegetésekről szóló hagyományos egyeztetések gyakran a kémkedésre, adatlopásra és szabotázsra összpontosítanak. A CISA tágabb keretrendszere azonban a véletlen és gondatlan magatartást is magában foglalja.

Egy alkalmazott például:

• rossz címzettnek küldhet érzékeny információt;
• nyilvánosan elérhetővé tehet egy felhős tárolóbucketet;
• több helyen is felhasználhatja ugyanazt a jelszót;
• elveszíthet egy nem felügyelt eszközt;
• jóváhagyhat egy meggyőző, de csalárd kérést.

A munkavállalók akár azért is áthelyezhetnek adatokat személyes fiókokba, mert a jóváhagyott eszközök használatát kényelmetlennek tartják, nem pedig azért, mert el akarják lopni az információkat.

A külső támadók ezeket a hibákat bennfentes hozzáféréssel támogatott kompromittálássá alakíthatják. A social engineering, a hitelesítő adatok megszerzésére irányuló adathalászat, a munkamenetlopás, a többtényezős hitelesítési fárasztás és az információlopó kártevők lehetővé teszik a bűnözőknek, hogy legitimnek tűnő fiókokon keresztül tevékenykedjenek.

A 2025 Verizon Data Breach Investigations Report több mint 22 000 incidenst és 12 195 megerősített adatszivárgást vizsgált. A Verizon szerint a hitelesítő adatokkal történő visszaélés továbbra is a leggyakoribb kezdeti hozzáférési módszerek egyike, miközben a harmadik felek részvétele az incidensekben megduplázódott, és elérte a 30 százalékot.

A jelentés eredményei jól mutatják, miért kell a bennfentes kockázatok kezelésének a szándékos visszaélések mellett a kompromittált felhasználókra és az ellátási láncon keresztüli hozzáférésre is kiterjednie. A Verizon jelentésének összefoglalója továbbra is jelentős átfedést talált az emberi közreműködés, a social engineering és a hitelesítő adatokkal történő visszaélés között.

Ez a különbségtétel a válaszlépést is befolyásolja. Egy támadó által manipulált alkalmazott fontos tanú és aktív résztvevő lehet a helyreállításban, nem pedig az incidens elkövetője. A hibáztatásra épülő szervezeti kultúra elriaszthatja a munkavállalókat a gyors bejelentéstől, így több időt biztosíthat a támadónak a kompromittált hozzáférés kihasználására.

A szervezeteknek egyszerűvé kell tenniük a gyanús üzenetek, elveszett eszközök, véletlen adatközlések és szokatlan hitelesítési kérelmek jelentését. A hibát azonnal beismerő alkalmazott lehetővé teheti, hogy a biztonsági csapat még az incidens kiterjedése előtt visszavonja a tokeneket, visszaállítsa a hitelesítő adatokat vagy korlátozza a hozzáférhetővé vált információkat.

Az adatosztályozás és a hozzáférés-irányítás alapvető fontosságú

Egy bennfentesfenyegetés-kezelési program nem tudja megvédeni a kritikus erőforrásokat, ha a szervezet nem ismeri azokat.

A CISA azt javasolja, hogy a szervezetek azonosítsák és rangsorolják azokat az információkat, rendszereket, létesítményeket és funkciókat, amelyek elvesztése vagy megzavarása a legnagyobb hatással járna. Ez lehetővé teszi, hogy a biztonsági ellenőrzéseket azokra a területekre összpontosítsák, ahol a károkozás következménye a legsúlyosabb lenne.

Az adatosztályozást kikényszeríthető adatkezelési szabályokhoz kell kötni. Önmagukban a címkék kevés értéket teremtenek, ha az érzékeny dokumentumokat továbbra is személyes tárhelyre lehet másolni, nem felügyelt alkalmazásokon keresztül lehet megosztani, vagy korábbi projekttagok korlátlan ideig hozzáférhetnek azokhoz.

A szervezeteknek fel kell térképezniük a fontos erőforrásokhoz vezető privilegizált hozzáférési útvonalakat, beleértve:

• a szolgáltatásfiókokat;
• az automatizált munkafolyamatokat;
• az adminisztrációs interfészeket;
• a harmadik felek integrációit.

A gépi identitások különös figyelmet érdemelnek, mivel széles körű jogosultságokkal rendelkezhetnek, miközben kevésbé szigorúan felügyelik őket, mint az emberi felhasználókat.

Ezek a tevékenységek természetesen illeszkednek a NIST Cybersecurity Framework 2.0 keretrendszerébe, amely a kiberbiztonsági célokat az irányítás, az azonosítás, a védelem, az észlelés, a reagálás és a helyreállítás köré szervezi. A bennfentes kockázatokat mindegyik funkcióba be kell építeni ahelyett, hogy különálló megfelelőségi projektként kezelnék őket.

• Az irányítás meghatározza a felelősségi köröket és az elfogadható kockázattal kapcsolatos döntéseket.
• Az azonosítás feltárja, mely erőforrások és hozzáférési kapcsolatok fontosak.
• A védelmi intézkedések korlátozzák a visszaélés lehetőségét.
• Az észlelés felfedi a gyanús vagy nem biztonságos tevékenységet.
• A reagálás összehangolja az incidens körülhatárolását és kivizsgálását.
• A helyreállítás visszaállítja a szolgáltatásokat, és kezeli az incidens bekövetkezését lehetővé tevő körülményeket.

A külső feleket is be kell vonni a programba

Az alvállalkozók, tanácsadók, beszállítók, menedzselt szolgáltatók és üzleti partnerek az alkalmazottakéhoz hasonló hozzáférést kaphatnak, miközben eltérő átvilágítási, képzési és megfigyelési gyakorlatok vonatkozhatnak rájuk.

Egy szervezet csak korlátozottan láthatja át azt is, hogyan kezeli egy beszállító a privilegizált fiókokat, vagy hogyan vonja vissza saját távozó munkavállalóinak hozzáférését. Ha a szerződéses megállapodások nem szabályozzák ezeket a kérdéseket, egy harmadik fél a projekt befejezése után még hosszú ideig megőrizheti hozzáférését.

A CISA vállalati szintű modellje ezért azt követeli meg, hogy a szervezetek a beszerzési, szerződéskötési és beszállítókezelési folyamatokba is beépítsék a bennfentes kockázatok kezelését. A megállapodásoknak meg kell határozniuk:

• a biztonsági felelősségeket;
• a hozzáférési korlátozásokat;
• az incidensjelentési követelményeket;
• a naplózási elvárásokat;
• a kapcsolat végén az információk visszaadására vagy megsemmisítésére vonatkozó eljárásokat.

A külső felek fiókjait, ahol lehetséges, azonosítható személyekhez kell rendelni. A beszállítók által közösen használt hitelesítő adatok megnehezítik annak megállapítását, ki hajtott végre egy adott műveletet, és gyengítik az elszámoltathatóságot a vizsgálatok során.

A távoli beszállítói hozzáférésnek időben korlátozottnak, jóváhagyottnak, erősen hitelesítettnek és megfigyeltnek kell lennie. A szervezeteknek azt is ellenőrizniük kell, hogy a szerződések lejártakor vagy a kijelölt személyzet cseréjekor valóban visszavonták-e a hozzáférést.

Az incidenskezelési terveknek a bizonyítékokat és az üzletmenetet is védeniük kell

Ha egy szervezet hiteles bennfentes fenyegetést azonosít, a rögtönzött válaszlépés tovább ronthatja a helyzetet. Az érintett személy idő előtti szembesítése bizonyítékok megsemmisítéséhez, adatok kiszivárogtatásához vagy működési zavarokhoz vezethet. A hozzáférés üzleti felelősökkel történő egyeztetés nélküli letiltása szintén megszakíthat kritikus szolgáltatásokat, vagy figyelmeztetheti a fiókot használó külső támadót.

A CISA a multidiszciplináris csapattal összehangolt, előre meghatározott reagálási eljárásokat javasol. A terveknek meg kell határozniuk, ki jogosult:

• a megfigyelési beállítások módosítására;
• a nyilvántartások megőrzésére;
• a fizikai vagy logikai hozzáférés korlátozására;
• a bűnüldöző szervek bevonására;
• az érintett személyzettel folytatott kommunikációra.

A digitális bizonyítékokat olyan módon kell összegyűjteni, amely megőrzi azok sértetlenségét, és támogatja az esetleges jogi vagy fegyelmi eljárásokat. A releváns nyilvántartások közé tartozhatnak:

• a végpontokon található artefaktumok;
• hitelesítési naplók;
• felhőalapú auditnaplók;
• fájlhozzáférési előzmények;
• e-mailek;
• beléptetőrendszerek nyilvántartásai;
• biztonsági kamerák felvételei.

A szervezeteknek az üzletmenet folytonosságára is fel kell készülniük. Ha egy privilegizált adminisztrátort eltávolítanak egy érzékeny környezetből, másik szakképzett személynek kell rendelkezésre állnia az érintett rendszerek fenntartásához. Előfordulhat, hogy a hitelesítő adatokat, titkosítási kulcsokat és nem dokumentált működési ismereteket úgy kell helyreállítani, hogy közben nem támaszkodhatnak a vizsgálat alanyára.

Az incidens után a szervezetnek nemcsak azt kell megvizsgálnia, mit tett az érintett személy, hanem azt is, hogy a meglévő ellenőrzések miért nem akadályozták meg vagy észlelték korábban a tevékenységet. A tanulságok túlzott jogosultságokra, a feladatok nem megfelelő szétválasztására, gyenge felügyeletre, hiányos naplózásra vagy olyan jelentési kultúrára mutathatnak rá, amely elriasztotta az alkalmazottakat az aggályok bejelentésétől.

A képzésnek túl kell mutatnia az éves megfelelőségi gyakorlatokon

A CISA nagy hangsúlyt helyez a munkavállalói tudatosságra. Az alkalmazottaknak érteniük kell, mit jelent a bennfentes fenyegetés, milyen megfigyelhető viselkedést vagy biztonsági eseményt kell jelenteniük, és hogyan jelezhetik aggályaikat.

A képzésnek egyértelművé kell tennie, hogy a bejelentés nem jelent vádat vagy a bűnösség megállapítását. Csupán lehetőséget biztosít arra, hogy a megfelelően képzett személyzet az adott körülményekkel együtt értékelje az információkat.

A különböző szerepkörök eltérő oktatást igényelnek:

• Az általános munkavállalóknak világos jelentési csatornákra és gyakorlati példákra van szükségük.
• A vezetőknek tudniuk kell, hogyan dokumentálják az aggályos magatartást, és miként működjenek együtt a HR-rel.
• Az adminisztrátoroknak és biztonsági elemzőknek ismerniük kell a technikai indikátorokat, a bizonyítékmegőrzési eljárásokat és az eszkalációs folyamatot.
• A bennfentesfenyegetés-kezelési csapat tagjainak speciális képzésre van szükségük az adatvédelemről, a polgári szabadságjogokról, az elfogultságról, a jogi felhatalmazásokról és a viselkedésértékelésről.

A Carnegie Mellon University Software Engineering Institute hasonló következtetésekre jutott a Common Sense Guide to Mitigating Insider Threats című kiadványában. A hatodik kiadás több mint 1500 bennfentesfenyegetési eset elemzésére támaszkodva 21 gyakorlatot határozott meg a humánerőforrás-gazdálkodás, a jogi tanácsadás, a fizikai biztonság, az adattulajdonosi felelősség, az informatika és a szoftverfejlesztés területén.

A kutatás megerősíti a CISA központi üzenetét: a bennfentes fenyegetések kezelése nem egyszerűen azt jelenti, hogy egy biztonsági műveleti központ figyeli az alkalmazottak naplóit. Olyan összehangolt szervezeti képességről van szó, amely szabályzatokra, technológiára, vezetői támogatásra, emberi ítélőképességre és az aggályok biztonságos bejelentését támogató kultúrára épül.

A programot mérni és folyamatosan fejleszteni kell

Egy bennfentesfenyegetés-kezelési csapat létrehozása önmagában nem bizonyítja, hogy a szervezet hatékonyan kezeli a kockázatot.

A szervezeteknek mérhető célokat kell meghatározniuk, tesztelniük kell eljárásaikat, és rendszeresen értékelniük kell, hogy a program hasznos eredményeket hoz-e. A mérőszámok például a következőket vizsgálhatják:

• milyen gyorsan vonják vissza a magas kockázatú hozzáférést egy alkalmazott távozása után;
• rendszeresen felülvizsgálják-e a privilegizált fiókokat;
• milyen gyorsan jutnak el a jelentett incidensek a megfelelő csapathoz;
• a vizsgálatok eredményeznek-e végrehajtható tanulságokat.

A mérőszámokat körültekintően kell kiválasztani. A munkavállalói bejelentések növekvő száma nem feltétlenül jelenti a fenyegetési környezet romlását; arra is utalhat, hogy javul a tudatosság és a bizalom. Ezzel szemben a nagyon kevés riasztás a kockázatok hiánya helyett gyenge észlelést vagy a jelentéstől való vonakodást is jelezhet.

A forgatókönyv-alapú gyakorlatok olyan hiányosságokat is feltárhatnak, amelyek a szabályzatok áttekintése során rejtve maradnak. A szervezet például a következő helyzetekre adott válaszát tesztelheti:

• egy távozó mérnök forráskódot másol;
• egy alvállalkozói fiókot váratlan országból használnak;
• egy pénzügyi alkalmazottat rávesznek a beszállító fizetési adatainak módosítására;
• egy adminisztrátor megpróbálja letiltani a naplózást.

Az eredményeket a felhatalmazások, az eszkalációs küszöbértékek, a kommunikációs tervek és a technikai ellenőrzések finomítására kell felhasználni.

A vezetés és a szervezeti kultúra határozza meg, működnek-e az ellenőrzések

Végső soron a felső vezetők határozzák meg, hogy a bennfentesfenyegetés-kezelési program hasznos kockázatkezelési képességgé vagy elszigetelt biztonsági kezdeményezéssé válik-e.

A vezetésnek biztosítania kell a felhatalmazást, a finanszírozást és a megfelelő szakértelemhez való hozzáférést, miközben garantálja, hogy a program jogi és etikai kereteken belül működjön. A vezetőknek saját maguknak is be kell tartaniuk a hozzáférés-vezérlési és megfigyelési szabályzatokat ahelyett, hogy kényelmi okokból kivételeket kérnének.

A világos és következetesen érvényesített szabályok csökkentik a bizonytalanságot. Az alkalmazottaknak tudniuk kell:

• mely rendszereket és információkat érhetik el;
• hogyan kell kezelniük az adatokat;
• milyen megfigyelés zajlik;
• milyen következményei vannak a szándékos szabálysértéseknek.

A szervezeteknek ugyanakkor olyan kultúrára van szükségük, amely arra ösztönzi a munkavállalókat, hogy segítséget kérjenek és bejelentsék a hibákat. A túlzottan büntető jellegű reagálás rejtve tarthatja a problémákat. A hatékony programok az elszámoltathatóságot arányos beavatkozással kombinálják, és felismerik, hogy a rosszindulatú magatartás, a gondatlanság, a kompromittált hitelesítő adatok és a személyes válsághelyzetek eltérő válaszokat igényelnek.

A CISA útmutatója végső soron a biztonság és a bizalom közötti egyensúlyként értelmezi újra a bennfentes fenyegetések mérséklését. A szervezetek nem tudják teljesen megszüntetni az engedélyezett hozzáférésből eredő kockázatot, mivel a munkavégzéshez szükség van erre a hozzáférésre. Csökkenthetik azonban a visszaélés lehetőségét, korábban észlelhetik az aggályos tevékenységet, és biztosíthatják, hogy a szervezet különböző területein észlelt figyelmeztető jeleket együtt értékeljék.

A kritikus infrastruktúrák üzemeltetői és más, nagy értékű erőforrásokat kezelő szervezetek számára a legfontosabb tanulság az, hogy a bennfentes kockázatok kezelése nem bízható kizárólag a kiberbiztonsági csapatokra.

Ehhez összehangolt irányításra, fegyelmezett hozzáférés-kezelésre, jogszerű és arányos megfigyelésre, előre kidolgozott reagálási eljárásokra, munkavállalói támogatásra és tartós felsővezetői felügyeletre van szükség.