Vidinė rizika: sumažinkite galimybes ir pagerinkite reagavimą

Vidinė rizika apima tyčinį piktnaudžiavimą, klaidas ir veiklą per sukompromituotą teisėtą paskyrą. Gali būti susiję darbuotojai, rangovai, tiekėjai ir buvę darbuotojai, išlaikę likutinę prieigą. Naudingas atspirties taškas yra ne tariamai rizikingų žmonių sąrašas, o prieiga ir veiksmai, galintys padaryti žalos.

Technologijų vadovo užduotis – sumažinti piktnaudžiavimo galimybes išsaugant teisėtą darbą, o tada užtikrinti, kad įtartiną veiklą būtų galima ištirti. Tam reikia tapatybių kontrolės priemonių, duomenų tvarkymo taisyklių, naudingos telemetrijos ir reagavimo proceso, kuris atskiria nelaimingą atsitikimą nuo paskyros kompromitavimo ar tyčinių veiksmų. Galimos pasekmės apima sukčiavimą, intelektinės nuosavybės praradimą, asmens duomenų atskleidimą ir veiklos sutrikdymą. Nė vienai jų nereikia, kad užpuolikas išnaudotų programinės įrangos pažeidžiamumą, jei esamos teisės jau leidžia atlikti veiksmą.

Nustatykite didelio poveikio kelius

Pradėkite nuo vieno svarbaus verslo proceso ir sudarykite žemėlapį, kaip kas nors galėtų padaryti reikšmingos žalos naudodamasis teisėta prieiga. Įtraukite programas, administravimo sąsajas, API, galinius įrenginius ir išorės paslaugų teikėjus. Į prieigą orientuotas grėsmių modeliavimas gali padėti nustatyti kelius, kertančius kelias sistemas.

Klauskite, ką asmuo gali skaityti, keisti, eksportuoti, ištrinti ar patvirtinti, o ne vien tai, ar jis turi paskyrą.

Kiekvienam keliui užfiksuokite turto savininką, įgaliotus vaidmenis, numatomą paskirtį, prevencinę kontrolės priemonę, aptikimo šaltinį ir reaguojantį asmenį. Prioritetus nustatykite pagal galimą poveikį, įvykdymo paprastumą ir galimybę atsikurti. Ypatingo dėmesio nusipelno jautrus veiksmas, kurį vienas asmuo gali atlikti be nepriklausomų patikrų.

Rezultatas yra trumpas prieigos kelių registras. Jame turėtų būti tiksliai nurodyta, kuriam veiksmui reikia pareigų atskyrimo, papildomo patvirtinimo ar atidesnės stebėsenos.

Prieš didindami stebėjimą, pašalinkite nereikalingus įgaliojimus

Mažiausių privilegijų principas reiškia teisių suderinimą su dabartiniu darbu. Pradėkite nuo faktinių teisių, įskaitant įdėtines grupes, konkrečių programų vaidmenis, deleguotą prieigą, paslaugų paskyras, API prieigos raktus ir bendrus prisijungimo duomenis. Tvarkingas katalogo vaidmenų sąrašas gali paslėpti perteklines teises atskirose programose.

Paprašykite verslo savininkų pagrįsti, kodėl reikia kiekvienos jautrios teisės. Kai įmanoma, atskirkite kasdienes paskyras nuo administravimo tapatybių ir nuolatinę administravimo prieigą pakeiskite patvirtintu, laike apribotu teisių išplėtimu. Naudokite daugiaveiksnį autentifikavimą, kai palaikoma – pageidautina atsparų sukčiavimui, kad sumažintumėte prisijungimo duomenų kompromitavimo riziką. Autentifikavimas nesutrukdo įgaliotam asmeniui piktnaudžiauti teisėmis.

Pareigų atskyrimas turi egzistuoti sistemoje, ne tik politikoje. Asmuo, keičiantis tiekėjo mokėjimo duomenis, neturėtų tvirtinti ir dėl to atliekamo mokėjimo. Avariniams apėjimams reikia užfiksuotos priežasties, apibrėžtos galiojimo pabaigos ir vėlesnės peržiūros, kurią atlieka nuo veiksmo nepriklausomas asmuo.

Prieigos pakeitimus įtraukite į personalo ir tiekėjų darbo eigas:

• Atėjimas: suteikite apibrėžtą vaidmenį, o ne nukopijuokite kolegos sukauptas teises.
• Perkėlimas: ne tik pridėkite naujas atsakomybes, bet ir pašalinkite nebereikalingą prieigą.
• Išėjimas: koordinuokite paskyros išjungimą, sesijų nutraukimą, prieigos raktų atšaukimą, įrenginių tvarkymą ir tiekėjų prieigos panaikinimą.
• Laikinas darbas: išplėstai ar konkrečiam projektui skirtai prieigai priskirkite atsakingą asmenį ir galiojimo pabaigą.

Paslaugų paskyras peržiūrėkite atskirai. Dokumentuokite jų paskirtį, priklausomybes, prisijungimo duomenų saugojimą ir atsakingą asmenį. Venkite interaktyvaus naudojimo, kai jis nereikalingas. Jei bendrų prisijungimo duomenų dar negalima pašalinti, užfiksuokite išimtį ir kompensacines kontrolės priemones; nemanykite, kad žurnalai patikimai identifikuos konkretų naudotoją.

Apsaugokite duomenis ir jų išvežimo kelius

Duomenų apsauga prasideda nuo žinojimo, kuri informacija svarbi ir kur ji juda. Klasifikuokite jautrius duomenų rinkinius, nustatykite patvirtintas paskirties vietas ir apibrėžkite, kada eksportas ar išorinis bendrinimas yra teisėtas. Suteikite naudotojams veikiantį patvirtintą kelią, kitaip kontrolės priemonės gali nustumti veiklą į nevaldomus kanalus.

Duomenų nutekėjimo prevencija gali įspėti, blokuoti arba reikalauti pagrindimo pasirinktiems perdavimams. Prieš taikydami politiką plačiai, išbandykite ją su reprezentatyviomis darbo eigomis. Kai tai aktualu rizikai, išbandykite debesijos bendrinimo nuorodas, įkėlimą per naršyklę, sinchronizavimo klientus, išimamąsias laikmenas ir spausdinimą. Aprėptis skiriasi pagal platformą ir kanalą; sėkmingas galinio įrenginio bandymas neįrodo programos API apsaugos.

Saugomų ir perduodamų duomenų šifravimas apsaugo tam tikrus rizikos kelius, tačiau įgaliotas naudotojas vis tiek gali gauti atvirąjį tekstą. Šifravimą derinkite su prieigos ribomis, eksporto apribojimais ir kontroliuojamu bendrinimu. Apsaugokite ir atsargines kopijas bei atkūrimo administravimą: po destruktyvaus piktnaudžiavimo atsikurti sunkiau, kai ta pati tapatybė gali keisti gamybinę aplinką ir ištrinti jos atsargines kopijas.

Aptikimą padarykite proporcingą ir paaiškinamą

Rinkite signalus, susijusius su didelio poveikio keliais, o ne viską, ką asmuo daro. Naudingi įvykiai gali būti neįprastai dideli eksportai, naujas išorinis bendrinimas, teisių pakeitimai, išjungtas registravimas žurnaluose, pasikartojantys prieigos atmetimai ar prieiga prie jautrių saugyklų, nukrypstanti nuo įprastų darbo modelių.

Programų audito žurnalus naudokite kartu su tapatybių, galinių įrenginių ir debesijos įvykiais. Saugumo informacijos ir įvykių valdymo sistema gali susieti šiuos šaltinius; naudotojų ir subjektų elgsenos analizė gali padėti nustatyti nukrypimus nuo bazinio lygio. Nė viena jų nenustato ketinimo. Neįprastą veiklą gali paaiškinti perkėlimas, patvirtintas reagavimas į incidentą ar pasikeitęs darbo vaidmuo.

Kiekvienai aptikimo taisyklei nurodykite:

• Rizikingą veiksmą ir apimamas sistemas.
• Reikalingus žurnalo laukus, pavyzdžiui, veikėją, laiko žymą, objektą, veiksmą, rezultatą ir paskirties vietą.
• Tikėtinas teisėtas išimtis ir kaip reaguojantys asmenys jas tikrina.
• Už reagavimą atsakingą asmenį, eskalavimo kelią ir skubaus suvaldymo sąlygas.
• Kaip komanda išbandys taisyklę ir išmatuos jos naudingumą.

Apsaugokite žurnalus nuo neleistino pakeitimo, sinchronizuokite laiko žymas ir patikrinkite, ar duomenų gavimo trikdžiai yra matomi. Įspėjimus išbandykite su patvirtinta veikla saugioje aplinkoje. Trūkstamą telemetriją ir klaidingai teigiamus rezultatus sekite kaip inžinerinius defektus, o ne vien kaip analitikų darbo krūvį.

Pirmiausia nustatykite stebėsenos apsaugos priemones

Prieš rinkdami darbuotojų veiklos duomenis, nustatykite teisinį pagrindą, tikslą, privatumo apsaugos priemones, prieigos kontrolę ir saugojimą. Įtraukite atitinkamus privatumo, teisės, personalo ir darbuotojų atstovus; konsultavimosi prievolės priklauso nuo jurisdikcijos ir konteksto.

Kai taikomas BDAR, jo 5, 6, 13–14 ir 32 straipsniai reglamentuoja principus, teisėtą tvarkymą, skaidrumą ir saugumą. 35 straipsnis reikalauja atlikti poveikio duomenų apsaugai vertinimą, kai tikėtina, kad duomenų tvarkymas sukels didelį pavojų. Saugumo tikslai šių reikalavimų nepanaikina.

Praktiškai rekomenduojama pirmenybę teikti siaurai apibrėžtiems įvykių metaduomenims, o ne invaziniam turinio rinkimui, kai jie atsako į tyrimo klausimą. Apribokite prieigą prie bylų, dokumentuokite sprendimus dėl saugojimo ir nelaikykite asmeninių aplinkybių ar nesutarimų darbe netinkamo elgesio įrodymu. Automatiniams balams reikia žmogaus patvirtinimo.

Padėkite žmonėms anksti pranešti apie klaidas

Numatykite akivaizdų pranešimo kelią apie atsitiktinį bendrinimą, pamestus įrenginius, įtartinus prašymus ir netikėtą paskyros veiklą. Paaiškinkite, ką pranešti: sistemą, apytikslį laiką, susijusią informaciją, gavėjus ir jau atliktus veiksmus. Darbuotojams neturėtų tekti klasifikuoti incidento prieš prašant pagalbos.

Mokymus pritaikykite darbui. Finansų komandoms reikia mokėjimo duomenų pakeitimo patikrinimo scenarijų; kūrėjams reikia saugyklų ir slaptų duomenų tvarkymo pavyzdžių; pagalbos darbuotojams reikia gairių dėl klientų duomenų eksporto ir apsimetinėjimo bandymų. Įtraukite rangovus ir privilegijuotus administratorius.

Į savalaikius pranešimus reaguokite konstruktyviai. Pasakykite pranešusiam asmeniui, ar nustoti naudoti įrenginį, išsaugoti pranešimą, ar nesusisiekti su gavėju, kol reagavimo komanda nepatars. Aiškūs nurodymai neleidžia geranoriškam tvarkymui sunaikinti įrodymų ar padidinti atskleidimo masto.

Reaguokite į faktus, o ne į etiketes

Įspėjimas yra tyrimo užuomina, o ne netinkamo elgesio įrodymas. Nustatykite kontekstą ir apsaugokite visų susijusių asmenų konfidencialumą. Iš pažiūros teisėtas paskyros veiksmas gali būti klaida, automatizavimas, pavogta sesija ar tyčinis piktnaudžiavimas; suvaldymo poreikiai gali sutapti, o pasekmės darbo santykiams skirtis.

Praktiškai taikomas reagavimo vadovas turėtų apimti penkis sprendimus:

1. Rūšiavimas: patvirtinkite įvykį, paveiktą turtą, jautrumą, įgaliojimą ir tai, ar žala tęsiasi. Patikrinkite patvirtintus pakeitimus ir patikimu kanalu susisiekite su proceso savininku.
2. Išsaugojimas: kai tikslinga, išsaugokite susijusius žurnalus, tapatybių įvykius, bendrinimo įrašus ir originalius failus. Užfiksuokite surinkimo laiką, šaltinį, tyrėją ir tvarkymą. Apribokite prieigą prie bylos medžiagos.
3. Suvaldymas: pasirinkite proporcingas priemones, pavyzdžiui, sesijų atšaukimą, eksporto apribojimą, bendrinimo išjungimą ar išplėstų teisių panaikinimą. Prieš išjungdami paskyrą įvertinkite paslaugų priklausomybes, nevilkindami skubios apsaugos.
4. Koordinavimas: pagal faktus įtraukite saugumo komandą, sistemos savininką, privatumo, teisės ir personalo specialistus. Darbo santykių veiksmams ir kreipimuisi į teisėsaugą reikia atitinkamų įgaliojimų, o ne automatinio įspėjimo slenksčio.
5. Atkūrimas: atkurkite patvirtintą prieigą ir konfigūracijas, pakeiskite paveiktus prisijungimo duomenis, patikrinkite duomenų vientisumą ir stebėkite, ar situacija nepasikartoja.

Apibrėžkite, kas gali įgalioti skubų suvaldymą, ir alternatyvų kontaktą, jei įtariamas privilegijuotas administratorius ar įprastas sprendimus priimantis asmuo.

Pranešimo pareigas vertinkite atskirai. Pagal BDAR 33 ir 34 straipsnius duomenų valdytojai nepagrįstai nedelsdami ir, jei įmanoma, per 72 valandas nuo sužinojimo įvertina, ar reikia pranešti priežiūros institucijai, nebent pažeidimas greičiausiai nesukels pavojaus asmenų teisėms ir laisvėms. Duomenų tvarkytojai nepagrįstai nedelsdami praneša duomenų valdytojams. Esant dideliam pavojui, gali tekti informuoti paveiktus asmenis, taikant 34 straipsnio išimtis. Užfiksuokite nepranešimo motyvus ir patikrinkite kitas taikomas sutartines ar teisės aktų pareigas.

Pavyzdys: neįprastas klientų duomenų eksportas

Iliustracinės prielaidos: pagalbos programoje yra klientų kontaktiniai duomenys; vadovai gali eksportuoti ribotą įrašų skaičių patvirtintiems atvejams; atskira integracijos tapatybė atlieka suplanuotą ataskaitų rengimą.

Įspėjimas praneša, kad vadovas eksportavo gerokai daugiau įrašų nei įprastai jo darbo krūviui. Analitikas patikrina eksporto apimtį, paskirties vietą, tapatybių įvykius ir patvirtinto atvejo nuorodą. Naujas prisijungimo kontekstas padidina susirūpinimą, tačiau nenustato, kas veikė.

Reagavimo komanda išsaugo programos ir tapatybių žurnalus, atšaukia įtartiną sesiją ir laikinai panaikina naudotojo eksporto teisę. Prieš keisdama platesnę prieigą, ji patikrina, ar suplanuota integracija nepaveikta. Per patikimą kontaktą vadovas patvirtina, kad eksporto neinicijavo.

Darbinė hipotezė tampa paskyros kompromitavimas. Tyrėjai išnagrinėja prisijungimo duomenų ir sesijos atskleidimą, kai įmanoma, nustato gavėjus ar paskirties vietas ir įvertina pareigas pranešti apie pažeidimą. Atkūrimas apima paskyros apsaugą ir teisių patikrinimą.

Kontrolės priemonių peržiūra parodo, kad įprastam pagalbos darbui plačių eksporto teisių nereikėjo. Taisomasis veiksmas – siauresnis vaidmuo, didesnių eksportų patvirtinimas ir išbandytas įspėjimas. Įrodymai apima konfigūracijos įrašus, kontroliuojamą bandymą ir peržiūrėtojo patvirtinimą, o ne teiginį, kad bus užkirstas kelias kiekvienam būsimam eksportui.

Saugokite įrodymus, rodančius, kad kontrolės priemonės veikia

Po atvejo ar pratybų užfiksuokite faktus, reagavimą, poveikį ir patobulinimus. Išnagrinėkite, ar prie to prisidėjo perteklinės teisės, trūkstami patvirtinimai, neaiškūs nurodymai ar neišsami telemetrija. Kiekvienam taisomajam veiksmui priskirkite atsakingą asmenį, terminą ir patikrinimo metodą.

Naudingi užtikrinimo įrodymai apima teisių peržiūras su panaikinimo įrašais, teisių išplėtimo istoriją, išėjimo procesų bandymus, aptikimo taisyklių bandymus, žurnalų aprėpties patikras ir pratybas, parodančias eskalavimo kelią. Matuokite kontrolės priemonių rezultatus, pavyzdžiui, panaikintą pasibaigusią prieigą ir įspėjimus su pakankamu kontekstu, o ne vien skaičiuokite užbaigtus mokymus.

Secani susieja rizikas, kontrolės priemonių įgyvendinimą ir įrodymus valdomame kontekste. Vienam prieigos keliui komandos gali sumodeliuoti susijusias sistemas, pridėti peržiūrų eksportus ir bandymų įrašus, paskirti spragų šalinimo užduotis ir išsaugoti žmonių peržiūros sprendimus. Teisių ir API prieigos dokumentacijoje aprašytas tik patvirtinimui skirtas OSCAL API vaidmuo – konkretus pavyzdys, kaip prisijungimo duomenims suteikti numatytai užduočiai apribotas galimybes. Prieigos peržiūrų eksportus, stebėsenos išvadas ir patvirtintus reagavimo sprendimus perkelkite į šį susietą kontrolės priemonių įrašą.

Pradėkite išbandydami vieną didelio poveikio prieigos kelią ir eskalavimo kelią piktnaudžiavimo atveju. Patvirtinkite, kad nereikalingi įgaliojimai pašalinti, reikšmingas įvykis matomas, o įgaliotas reaguojantis asmuo gali veikti turėdamas pakankamai įrodymų ir konteksto.