Инсайдер: кто это такой и как от него защититься

Компании преимущественно фокусируются на защите от сетевых атак, инициированных внешними злоумышленниками, забывая об опасности, которая исходит изнутри — от инсайдеров, то есть сотрудников, партнеров и подрядчиков. Имея доступ к информационным системам (ИС) и чувствительным данным организации, перечисленные лица могут украсть информацию, создать условия для утечек или совершить другие несанкционированные операции. Разберемся, что чаще всего становится мотивацией для нарушителей, какие последствия наступают в результате действий инсайдеров, как выстроить защиту от внутренних угроз.

Кто такой инсайдер

Инсайдерами называют нарушителей (или потенциальных нарушителей), которые считаются доверенными лицами компании, то есть имеют полномочия для работы с внутренними ИС и ресурсами, оборудованием, конфиденциальными сведениями. Если они будут злоупотреблять своими правами, то могут поставить под удар финансовую состоятельность и репутацию организации.

Кто может быть инсайдером:

• Менеджеры, которые работают непосредственно с клиентами, имеют прямой доступ к клиентской базе, финансовым данным и другой информации, подпадающей под категорию коммерческой тайны. Таким сотрудникам проще всего воспользоваться украденными конфиденциальными сведениями, например, применить их на новой должности в другой компании или продать конкурентам.
• Сотрудники финансового отдела, которые распоряжаются денежными средствами организации и владеют доступом к финансовой информации. Теоретически они могут не только украсть важные данные, но и осуществлять мошеннические схемы с деньгами.
• Руководители подразделений и филиалов. Такие сотрудники глубоко погружены в нюансы деятельности и направления развития предприятия, имеют привилегированный доступ к ИС, базам данным. Мошенничество с их стороны с большой вероятностью приведет организацию к утрате конкурентных преимуществ и серьезному финансовому ущербу вплоть до разорения.
• Подрядчики, обслуживающие оборудование и ИС, используемые предприятием. Такие специалисты могут слить конфиденциальные сведения, открыть доступ для внешних злоумышленников, инициировать сбои во внутренних системах.

Инсайдерами бывают и «рядовые» сотрудники. Не обязательно по злому умыслу — часто из-за некомпетентности, банальной невнимательности при выполнении служебных обязанностей. Причем в некоторых сотрудниках можно еще до инцидентов заподозрить потенциальных инсайдеров, например, с помощью приемов профайлинга — методики анализа поведенческих факторов и составления психологического портрета человека.

Типы инсайдеров

Внутренних нарушителей можно классифицировать в зависимости от мотивации. Какие типы инсайдеров чаще всего встречаются:

1. Халатные сотрудники, совершающие нарушения в результате небрежного выполнения своих обязанностей. Например, они могут случайно слить важные сведения, становясь жертвами фишинговых атак, ошибаясь с адресатами писем и сообщений, пренебрегая правилами утилизации внутренней документации и т. д.
2. Нелояльные сотрудники, которых иначе называют недовольными. Мотивацией для них становится месть руководству или коллегам, например, за ненадлежащие условия труда, невысокую зарплату, отсутствие продвижения по карьерной лестнице. Такие инсайдеры могут намеренно удалить или изменить чувствительные данные, слить конфиденциальную информацию конкурентам, использовать имя компании в мошеннических схемах с целью уронить ее репутацию.
3. Сотрудники, совершающие нарушения из личной выгоды. Например, они могут за вознаграждение сливать конкурентам финансовую информацию или персональные данные сотрудников, клиентов.
4. Шпионы — специально обученные лица, которые внедряются в штат компании-жертвы и занимаются разведкой. Причем шпионами не обязательно являются новые сотрудники — ими могут стать и проверенные, годами работающие в организации специалисты. Как правило, их вербуют конкуренты, желающие получать достоверную информацию изнутри.

У инсайдеров, которые не являются сотрудниками компании, чаще всего корыстные мотивы. Такие нарушители особенно опасны, если получают для работы привилегированный доступ к информационным системам.

Сценарии инсайдерских атак

Разберем возможные сценарии внутренних атак, которые осуществляются инсайдерами, желающими намеренно причинить компании вред по корыстным или личным мотивам:

1. Промышленный шпионаж — сбор конфиденциальной информации, которая интересна конкурентам организации-жертвы. Например, инсайдеры могут организовать утечку персональных и финансовых данных, коммерческой тайны.
2. Саботаж — намеренное невыполнение своих обязанностей, вывод из строя оборудования, средств защиты или информационных систем, разглашение ложной информации и другие действия с целью нарушить привычные рабочие процессы внутри компании.
3. Мошенничество — несанкционированные манипуляции с конфиденциальными данными и финансовыми ресурсами организации. Например, инсайдер может переводить деньги на подставные счета, намеренно предоставлять руководству или клиентам неверную документацию.

Также сотрудники могут попытаться забрать результаты своей работы при увольнении из компании. Например, скачать базу данных или документацию по проектам.

Методы инсайдерских атак

Под методами подразумеваются схемы и инструменты, которыми пользуются недобросовестные сотрудники. Разберем несколько примеров:

• Атаки с использованием привилегированного доступа, которые инициируются инсайдерами, наделенными расширенными правами для работы во внутренних системах компании. Злоумышленники могут не только похищать критически важные данные, но и менять настройки механизмов защиты, конфигурацию оборудования.
• Обход средств защиты данных с целью получить доступ к сведениям, для работы с которыми нет легитимных полномочий, создать точки входа для киберпреступников.
• Создание технических проблем с целью нарушить привычный ход рабочих процессов. К такому методу инсайдеры часто прибегают с целью сокрытия совершенных нарушений.
• Социальная инженерия — применение психологических приемов манипуляции с целью заставить людей совершить какое-либо действие или выдать конфиденциальные сведения.

Ответственность за инсайдерскую деятельность

Ответственность за противоправные действия, совершаемые инсайдерами, определяется рядом нормативно-правовых актов, среди которых:

• ФЗ № 224, содержащий меры противодействия несанкционированному использованию инсайдерских данных.
• ФЗ № 98, посвященный коммерческой тайне и ее защите.
• ФЗ № 149 о конфиденциальных данных и их защите.
• ФЗ № 152, содержащий положения, касающиеся правил работы с персональной информацией, защиты таких данных.

Это только малая часть документов, на которые можно опираться при расследовании инцидентов с участием инсайдеров. Помимо общих нормативно-правовых актов, в каждой отрасли действуют и свои нормы, учитывающие узкую специфику.

За нарушение законов наступает гражданско-правовая ответственность, подразумевающая возмещение морального ущерба пострадавшим лицам, и административная ответственность, которая выражается в штрафах различного размера.

Способы защиты от инсайдерских угроз

Начнем с организационных мер борьбы с инсайдерами. Каждая компания обязана донести до персонала правила информационной безопасности и регламенты работы с внутренними ресурсами, чувствительными данными. Это поможет снизить риски инцидентов ИБ, происходящих из-за ошибок и невнимательности. Также следует создать для сотрудников комфортные условия работы, мотивировать их с целью повышения лояльности.

Помимо обучения сотрудников, следует предпринять следующие меры организационного характера:

• Классифицировать все данные, которые есть в распоряжении компании и организовать их безопасное хранение.
• Разработать и внедрить политики доступа и управления полномочиями. Это удобно делать с помощью систем Identity Management (IdM), например Solar inRights. Использование такой платформы даст понимание, у кого есть доступ к информационным системам, конкретным ресурсам и данным, является ли этот доступ легитимным.
• Ввести внутри компании режим коммерческой тайны, четко обозначив список сведений, которые будут подпадать под эту категорию. Включить в трудовые договоры и внутренние регламенты требование о неразглашении коммерческой тайны и указать меры ответственности за нарушения.

Еще одно важное направление защиты от угроз инсайдеров — мониторинг действий сотрудников и движения чувствительных данных. Его можно непрерывно осуществлять с помощью продуктов Data Leak Prevention (DLP). Например, в нашем решении Solar Dozor реализованы следующие механизмы мониторинга:

Для предотвращения утечек информации используются DLP-системы (Data Leak Prevention), которые позволяют отслеживать действия сотрудников, анализировать перемещение данных и выявлять подозрительную активность. Примером такой системы является Solar Dozor, включающая модули для мониторинга рабочих станций, электронной почты и анализа поведения пользователей. Вот ее основные функции:

• Мониторинг всех каналов передачи данных: корпоративная и веб-почта, мессенджеры, облачные и локальные хранилища, печать, съемные носители, интернет-активность.
• Контроль рабочих станций (Windows, Linux, macOS): отслеживание копирования, печати, передачи файлов, подключения устройств, работы с буфером обмена, а также запись экрана и звука.
• Выявление аномалий и подозрительных паттернов, например признаков подготовки к увольнению, саботажа или корпоративного мошенничества, с помощью модуля поведенческого анализа — UBA.
• Автоматизация расследований: модуль Dozor Detective позволяет быстро собирать доказательства, анализировать связи между участниками инцидента, формировать отчеты и вести расследования даже по событиям вне цифрового периметра.
• Расширенная аналитика персон: формирование досье на сотрудников с таймлайном событий, анализом коммуникаций, рабочих контактов и активности.

Использование современных DLP-систем, таких как Solar Dozor, позволяет компаниям не только своевременно выявлять и предотвращать попытки утечки информации, но и комплексно контролировать все каналы передачи данных, анализировать поведение сотрудников и автоматизировать расследования инцидентов. Такой подход значительно снижает риски внутренних угроз, повышает уровень информационной безопасности и помогает защитить бизнес от финансовых и репутационных потерь. Внедрение DLP-решений становится неотъемлемой частью эффективной стратегии защиты корпоративных данных на фоне растущего числа информационных угроз.

Обнаружение и предотвращение инсайдерских угроз

Распознать инсайдера не всегда легко, особенно если он пока ничего не нарушал и на первый взгляд как обычно выполняет рабочие обязанности. Однако существуют цифровые и поведенческие индикаторы риска, позволяющие предположить возможную угрозу. Они представлены в таблице.

Эти индикаторы не обязательно свидетельствуют о том, что сотрудник является инсайдером и хочет навредить, поскольку дело может быть в некомпетентности или профессиональном выгорании. Ситуацию помогут прояснить постоянный мониторинг действий и анализ поведенческих факторов с помощью DLP-платформы Solar Dozor.