ความเสี่ยงจากภายใน
ซอฟต์แวร์เฝ้าระวังภัยภายใน: คู่มือคัดกรองความเสี่ยง
ตรวจพฤติกรรมผิดปกติ ทดสอบคำอธิบายที่ชอบด้วยเหตุผล และระบุหลักฐานที่ต้องมีก่อนส่งต่อความกังวลเรื่องภัยภายใน
ซอฟต์แวร์เฝ้าระวังภัยภายในช่วยตรวจการใช้สิทธิ์ถูกต้องอย่างผิดวัตถุประสงค์ ทั้งตั้งใจและไม่ตั้งใจ การเข้า cloud ส่วนตัวเป็นเบาะแส ไม่ใช่หลักฐานว่าข้อมูลออกไปแล้ว เชื่อมกิจกรรม หน้าจอ และบันทึกตรวจสอบอิสระก่อนตัดสินใจเก็บหลักฐานหรือจำกัดสิทธิ์
ระบบที่มีประโยชน์ที่สุดทำมากกว่านับนาทีที่ใช้งานหรือให้คะแนนผลิตภาพที่คลุมเครือ ระบบแสดงว่าเกิดอะไรขึ้นบนคอมพิวเตอร์บริษัท เมื่อใด และเกี่ยวข้องกับผู้ใช้คนใด อีกทั้งช่วยให้ผู้ดูแลหยุดกิจกรรมเสี่ยงที่อุปกรณ์ได้ทันที แทนที่จะรอรายงานเหตุการณ์
01หลักฐานที่การเฝ้าระวังภัยภายในให้ได้
ภัยคุกคามจากภายในอาจเกิดโดยเจตนา ความประมาท หรือเพียงเพราะการควบคุมไม่ดี พนักงานอาจพยายามขโมยข้อมูล แต่ก็อาจนำรหัสผ่านที่อ่อนแอกลับมาใช้ ติดตั้งเครื่องมือที่ไม่ผ่านการอนุมัติ คัดลอกไฟล์ไปยังอุปกรณ์ USB หรือส่งข้อมูลละเอียดอ่อนผ่านบัญชีส่วนตัว ผลลัพธ์อาจเหมือนกัน ได้แก่ ข้อมูลสูญหาย การดำเนินงานหยุดชะงัก ความเสี่ยงด้านการปฏิบัติตามข้อกำหนด และการสอบสวนที่มีค่าใช้จ่ายสูง
ซอฟต์แวร์เฝ้าระวังที่มีประสิทธิภาพสร้างบันทึกกิจกรรมที่เชื่อถือได้ทั่วอุปกรณ์ของบริษัท สำหรับธุรกิจขนาดเล็กหรือกลาง บันทึกนี้ควรใช้งานได้จริงทุกวัน ไม่ใช่ซ่อนอยู่ในแดชบอร์ดความปลอดภัยที่ต้องให้ผู้เชี่ยวชาญตีความ
02เฝ้าดูพฤติกรรม ไม่ใช่เพียงเหตุการณ์เดียว
การเข้าเว็บไซต์ผิดปกติเพียงครั้งเดียวไม่ได้แปลว่าพนักงานเป็นภัยคุกคามโดยอัตโนมัติ โปรแกรมจัดการความเสี่ยงจากภายในที่มีประโยชน์มองหารูปแบบ ได้แก่ กิจกรรมที่ไม่สอดคล้องกับบทบาทผู้ใช้ ช่วงเวลา ปริมาณงานตามปกติ หรือนโยบายบริษัท
ตัวอย่างเช่น พนักงานบัญชีอาจมีเหตุผลที่ชอบด้วยหน้าที่ในการใช้พอร์ทัลธนาคาร แต่ไม่ใช่การติดตั้งเครื่องมือเข้าถึงระยะไกลหรือเข้าบริการแบ่งปันไฟล์ที่บริษัทไม่ได้อนุมัติซ้ำ ๆ พนักงานขายอาจต้องใช้ข้อมูลลูกค้า แต่การส่งไฟล์ขนาดใหญ่นอกเวลางานหรือคัดลอกรายชื่อผู้ติดต่อซ้ำก่อนออกจากงานควรได้รับการตรวจสอบ
ข้อมูลการเฝ้าระวังให้จุดเริ่มต้นที่อิงข้อเท็จจริงแก่ผู้จัดการ แทนที่จะเผชิญหน้ากับพนักงานเพราะความสงสัย ผู้จัดการสามารถตรวจสอบบันทึกกิจกรรม ยืนยันขอบเขตปัญหา และเลือกขั้นตอนถัดไปที่เหมาะสม ซึ่งอาจเป็นการพูดคุยให้คำแนะนำ การเปลี่ยนสิทธิ์ การสอบสวนอย่างเป็นทางการ หรือจำกัดการเข้าถึงทันที
สัญญาณสำคัญที่ต้องตรวจสอบ
การแจ้งเตือนและรายงานที่มีคุณค่าที่สุดมุ่งไปที่พฤติกรรมซึ่งสร้างความเสี่ยงทางธุรกิจที่วัดได้ ตัวอย่างที่พบบ่อย ได้แก่:
- เข้าถึงอีเมลส่วนตัว พื้นที่เก็บข้อมูลคลาวด์สำหรับบุคคล เครื่องมือส่งไฟล์แบบไม่ระบุตัวตน หรือบริการส่งข้อความที่ไม่ได้รับอนุมัติซ้ำ ๆ
- ติดตั้งหรือเรียกใช้ซอฟต์แวร์ที่ไม่ได้รับอนุญาต โดยเฉพาะเครื่องมือควบคุมระยะไกล พร็อกซี การเข้ารหัส หรือการแบ่งปันข้อมูล
- คัดลอก ย้าย ลบ หรือถ่ายโอนไฟล์ธุรกิจอย่างผิดปกติ
- พยายามเข้าเว็บไซต์ที่ถูกบล็อก เลี่ยงข้อจำกัดเว็บ หรือปิดซอฟต์แวร์ความปลอดภัยและการเฝ้าระวัง
- ไม่มีการใช้งานเป็นเวลานาน ใช้แอปที่ไม่เกี่ยวกับงานต่อเนื่อง หรือมีกิจกรรมไม่สอดคล้องกับหน้าที่ที่ได้รับมอบหมาย
- เข้าสู่ระบบและใช้งานเดสก์ท็อปในเวลาผิดปกติ โดยเฉพาะเมื่อเกิดร่วมกับการเข้าถึงไฟล์หรือระบบที่ละเอียดอ่อน
บริบทมีความสำคัญ นักพัฒนาอาจใช้เครื่องมือโดยชอบด้วยหน้าที่ ซึ่งจะดูผิดปกติบนคอมพิวเตอร์พนักงานต้อนรับ พนักงานระยะไกลที่ทำงานข้ามเขตเวลาอาจใช้งานนอกเวลาสำนักงานปกติ ตั้งค่ารายงานและกระบวนการตรวจสอบตามบทบาทงาน ซอฟต์แวร์ที่อนุมัติ และความต้องการดำเนินงานจริง
คัดกรองสัญญาณเตือนสามแบบด้วยผู้ตรวจ
นี่คือสถานการณ์ทบทวน ไม่ใช่คำกล่าวว่าตรวจจับอัตโนมัติได้ ระบุผู้ตรวจ แหล่งข้อมูล และเวลา แล้วตรวจเหตุผลที่ถูกต้องก่อน
- เข้าบริการคลาวด์ผิดจากปกติ: อาจเป็นการแลกเปลี่ยนกับลูกค้าที่อนุมัติ เจ้าของข้อมูลตรวจสิทธิ และฝ่ายความปลอดภัยตรวจบันทึกปลายทางหากอาจมีไฟล์สำคัญถูกส่ง
- โพรเซสเข้าถึงระยะไกลที่ไม่อนุมัติ: อาจเป็นงานช่วยเหลือ IT ให้ IT ตรวจไฟล์ ตั๋วงาน บัญชี และเซสชัน ส่งต่อการเชื่อมต่อที่ยังทำงานแต่ไม่มีคำอธิบายตามขั้นตอนเหตุการณ์
- กิจกรรมนอกเวลา: อาจเป็นเขตเวลาอื่นหรือการบำรุงรักษา ผู้จัดการยืนยันตารางและ IT ตรวจบัญชี/เซสชัน เวลาอย่างเดียวไม่พิสูจน์การขโมย
แยกการใช้ผิดโดยไม่ตั้งใจ โดยตั้งใจ และบัญชีถูกยึดเป็นคนละสมมติฐาน บันทึกสิ่งที่จะยืนยันหรือหักล้างแต่ละข้อ ปิดข้อกังวลเมื่อคำอธิบายมีหลักฐาน และคงความไม่แน่นอนไว้หากไม่มีบันทึก
03การเฝ้าระวังต้องนำไปสู่การลงมือทำ
การมองเห็นโดยไม่มีการควบคุมทำให้ผู้ดูแลต้องตอบสนองหลังเกิดปัญหา ซอฟต์แวร์เฝ้าระวังภัยคุกคามจากภายในที่มีความสามารถสูงรวมการรวบรวมหลักฐานเข้ากับเครื่องมือบริหารอุปกรณ์ปลายทาง เพื่อให้ไอทีลงมือได้ทันที
ควบคุมเหตุการณ์ตามแผน ใช้การควบคุมเว็บไซต์ด้วยรายการ URL หรือคำหลักที่อนุมัติ หรือจำกัดแอปที่ไม่ได้รับอนุญาต ประสานเรื่องบัญชีกับผู้ดูแลระบบยืนยันตัวตน หากทำได้ ให้รักษาหลักฐานก่อนเปลี่ยนสิ่งที่กระทบงานและจดผู้อนุมัติ อย่าสมมติว่าระบบจัดหมวดเว็บหรือแยกเครื่องออกจากเครือข่ายให้อัตโนมัติ
การกระทำเหล่านี้ลดเวลาระหว่างการตรวจพบและการควบคุมเหตุ ซึ่งสำคัญเมื่อข้อมูลคัดลอกได้ในไม่กี่นาที อีกทั้งลดงานบริหารประจำ แทนที่จะเดินไปที่โต๊ะหรือขอให้พนักงานระยะไกลแก้ปัญหา ไอทีสามารถจัดการอุปกรณ์ได้โดยตรง
Net Monitor for Employees Pro รองรับรูปแบบการทำงานนี้โดยรวมการดูหน้าจอสด การบันทึกเดสก์ท็อปและเสียง บันทึกกิจกรรม รายงาน การจำกัดเว็บไซต์และแอป และการควบคุมคอมพิวเตอร์ระยะไกลไว้ในระบบเดียวที่เน้นผู้ดูแล สำหรับทีมที่กระจายอยู่หลายแห่ง ระดับการกำกับดูแลเดียวกันจึงขยายจากเครือข่ายสำนักงานไปยังอุปกรณ์ระยะไกลที่บริหารจัดการได้
04ตรวจสอบสัญญาณก่อนส่งต่อ
ตัวอย่างทะเบียนหลักฐาน ใช้บันทึกคดี มาตรการป้องกันข้อมูลรั่วไหล ปกป้องช่องทางโอน และ นโยบายติดตาม กำหนดขอบเขต บทความนี้เน้นเลือกการตรวจที่ตรงกับแต่ละสัญญาณ
สร้างลำดับตามผู้ใช้ เครื่อง และเวลา บันทึกเว็บยืนยันการเข้าใช้ ส่วนวิดีโออาจแสดงไฟล์ที่เลือกหรือหน้าต่างอัปโหลด ยืนยันความสำเร็จและขอบเขตจาก audit ของ cloud หรือการตรวจไฟล์ที่ตั้งแยก แยกข้อเท็จจริงที่ยืนยัน หลักฐานที่ขาด และสมมติฐานออกจากกัน
ปกป้องตัวบันทึกเองด้วย จำกัดสิทธิ์ผู้ดูแล ใช้ การเข้ารหัสที่เหมาะสม เมื่อมีให้ใช้ กำหนดระยะเวลาเก็บรักษา และลบบันทึกที่ไม่ตอบวัตถุประสงค์ทางธุรกิจที่ชอบธรรมอีกต่อไป ข้อมูลการเฝ้าระวังช่วยปกป้องบริษัทได้ แต่ก็ต้องจัดการอย่างมีวินัย
05กำหนดกติกาชัดเจนก่อนเริ่มเฝ้าระวัง
การติดตามพนักงานได้ผลดีที่สุดเมื่อเป็นส่วนหนึ่งของกระบวนการจัดการที่มีเอกสาร พนักงานควรเข้าใจว่าคอมพิวเตอร์และบัญชีของบริษัทมีไว้ใช้ทำงาน กิจกรรมอาจถูกติดตาม และกิจกรรมต้องห้ามมีผลตามมา ข้อกำหนดแตกต่างตามรัฐ อุตสาหกรรม ข้อตกลงเจรจาต่อรองร่วม และสถานที่ทำงานของพนักงาน ธุรกิจจึงควรให้ที่ปรึกษากฎหมายตรวจนโยบายก่อนนำไปใช้
หลีกเลี่ยงการมองพนักงานทุกคนเป็นเป้าหมายสอบสวน ใช้การเฝ้าระวังอย่างได้สัดส่วน ให้ผู้จัดการเข้าถึงรายงานที่จำเป็นสำหรับทีม จำกัดบันทึกละเอียดอ่อนไว้สำหรับบุคลากรที่ได้รับอนุญาต และสอบสวนกรณีผิดปกติจากหลักฐาน การเก็บมากเกินไปเพิ่มภาระบริหารและอาจเบี่ยงเบนความสนใจจากความเสี่ยงจริง
06เริ่มจากคอมพิวเตอร์ที่สำคัญที่สุด
การติดตั้งให้ครอบคลุมไม่จำเป็นต้องเริ่มทุกอุปกรณ์พร้อมกัน เริ่มจากอุปกรณ์ที่จัดการข้อมูลลูกค้า ข้อมูลการเงิน ทรัพย์สินทางปัญญา ข้อมูลรับรองผู้ดูแล หรือระบบปฏิบัติงานที่มีมูลค่าสูง กำหนดแอปและเว็บไซต์ที่อนุมัติ ตั้งค่ารายงานที่ผู้จัดการจะตรวจจริง และทดสอบกระบวนการตอบสนองเมื่อเกิดการละเมิดนโยบาย
จากนั้นขยายไปยัง พนักงานระยะไกลและไฮบริด ซึ่งมักมีการมองเห็นโดยตรงน้อยที่สุด การทดลองจริงเป็นวิธีเร็วที่สุดในการพิจารณาว่าการดูหน้าจอ บันทึก รายงาน และการควบคุมระยะไกลเหมาะกับวิธีทำงานของผู้จัดการและไอทีหรือไม่ ดาวน์โหลดรุ่นทดลองใช้ฟรี ทดสอบกับขั้นตอนงานจริง และตรวจว่าหลักฐานชัดเจนพอจะสนับสนุนการตัดสินใจในเวลาสำคัญ
เป้าหมายไม่ใช่เฝ้าดูทุกวินาทีของทุกวัน แต่คือทำให้การใช้คอมพิวเตอร์บริษัทตรวจสอบความรับผิดชอบได้ ให้ข้อเท็จจริงแทนการคาดเดาแก่ผู้จัดการ และมั่นใจว่าสามารถหยุดกิจกรรมเสี่ยงก่อนกลายเป็นปัญหาธุรกิจที่มีค่าใช้จ่ายสูง