Detectarea amenințărilor interne în companiile mici

Ce înseamnă o amenințare internă

O amenințare internă este riscul ca cineva cu acces legitim să îl folosească — deliberat sau nu — pentru a dăuna organizației. US Cybersecurity and Infrastructure Security Agency definește o persoană din interior ca orice persoană care are sau a avut acces autorizat la resursele unei organizații sau cunoștințe despre acestea, inclusiv personal, facilități, informații, echipamente, rețele și sisteme. Cuvântul care face treaba aici este autorizat. Nimeni nu trebuie să pătrundă prin efracție.

Distincția centrală făcută de CISA este între prejudiciul neintenționat și cel intenționat, iar separat semnalează două situații care le traversează pe amândouă. Asta vă oferă patru etichete pe care le veți întâlni în practică — merită cunoscute, pentru că sintagma „cele trei tipuri de amenințări interne” este repetată peste tot și nu corespunde sursei:

Acum partea pe care majoritatea articolelor despre acest subiect o omit. Incidentele interne nu sunt cel mai frecvent mod în care o companie mică suferă o breșă de securitate, și ar trebui să fiți suspicios față de oricine vă spune altceva. Data Breach Investigations Report al Verizon din 2026 — construit pe baza a peste 31,000 de incidente reale — a identificat actori interni în 12% din breșe, o scădere față de 18% anul trecut. Panelul său pentru companii mici, care acoperă organizații cu mai puțin de 1,000 de angajați, atribuie practic toate breșele unor actori externi cu motivație financiară.

Atunci de ce să petreceți o după-amiază pe asta? Pentru că profilul de cost este inversat. Studiul Cost of Insider Risks al Ponemon Institute și DTEX din 2026 a constatat că incidentele interne durează în medie 67 de zile pentru a fi ținute sub control, cu aproximativ $747,000 per incident din neglijență, $742,000 per incident malițios și $842,000 acolo unde un actor extern folosea acreditări furate. Evenimentele interne sunt mai rare decât phishing-ul, dar durează mai mult până când cineva le observă, iar ceea ce iese pe ușă este de obicei chiar materialul pe care este construită afacerea.

De ce plecările sunt punctul de presiune

Pentru că riscul se concentrează într-o fereastră de timp îngustă și previzibilă. Software Engineering Institute de la Carnegie Mellon — divizia CERT care a studiat cazurile de amenințări interne timp de două decenii — a spus-o direct în analiza sa asupra cazurilor de furt de proprietate intelectuală: majoritatea persoanelor din interior fură proprietate intelectuală în cele 30 de zile de la plecarea dintr-o organizație. Această constatare datează din 2011, și merită semnalată vechimea ei; cu toate acestea, s-a menținut ca principiu organizator al practicii privind riscul intern de atunci încoace, iar fiecare raport de telemetrie al furnizorilor publicat de atunci grupează activitatea în jurul aceleiași ferestre de plecare.

Această singură propoziție este mai utilă din punct de vedere operațional decât orice flux de threat-intelligence pe care l-ar putea cumpăra o companie mică. Înseamnă că nu aveți nevoie de supraveghere continuă a tuturor. Aveți nevoie să știți când pleacă cineva și să urmăriți setul potrivit de semnale pentru săptămânile de o parte și de alta a acelei date.

Verificați statisticile înainte să vă planificați în jurul lor

Trei cifre domină fiecare articol despre furtul de date de către angajați, iar fiecare este citată într-o formă care o exagerează. Acest lucru contează practic: dacă credeți că jumătate din personalul dumneavoastră fură date, veți cumpăra lucrul greșit și veți trata oamenii prost făcând asta.

• „45% dintre angajați iau date atunci când pleacă.” Reală, dar este subsetul din SUA al unui sondaj Tessian din mai 2020. Cifra globală din același studiu a fost 34%, iar cifra pentru Regatul Unit a fost 23%. Calificativul este eliminat aproape de fiecare dată când este citată.
• „72% dintre angajați iau date ale companiei.” Aceasta este o interpretare greșită. Cei 72% din raportul Code42 din 2019 reprezintă procentul de lideri de securitate a informațiilor care au fost de acord cu afirmația de atitudine nu sunt doar date corporative, este munca mea — și ideile mele. Este o constatare despre cum simt oamenii legat de proprietate, nu despre câți dintre ei copiază fișiere.
• „63% au adus date de la un angajator anterior.” Aceasta are o sursă reală, care poate fi găsită — Global Data Exposure Report al Code42 din 2019, publicat în octombrie 2019. Dar atenție la populația studiată, care este exact aceeași eroare pe care se bazează și cifra de 72%: respondenții au fost 1,028 de lideri de securitate și 615 factori de decizie din afaceri, nu un eșantion reprezentativ de personal. Și descrie persoane care sosesc cu date, ceea ce este un risc diferit de cel pe care încercați să îl detectați la plecare.

Cea mai defendabilă cifră provine de la Cyberhaven Labs în 2022, și este defendabilă tocmai pentru că este telemetrie observată, nu auto-raportare: din aproximativ 1.4 milioane de angajați care gestionau date sensibile, 9.4% au exfiltrat date într-o fereastră de șase luni. Articolul de blog care conținea această cifră a fost între timp retras — raportul de bază supraviețuiește ca descărcare condiționată de înregistrare — deci cel mai ușor poate fi verificată astăzi prin acoperirea de presă din acea perioadă. Tratați-o oricum ca fiind depășită. Raportul de investigații al DTEX din 2023 plasează procentul angajaților care pleacă și iau proprietate intelectuală sensibilă la 12%.

Îndrumările CISA merită asimilate și aici: evaluarea amenințărilor ar trebui să fie bazată pe comportamente, nu pe profiluri, iar aceste acțiuni sunt rareori spontane — ele urmează o decizie deliberată. Nu există niciun tipar demografic după care să fiți atent, iar căutarea unuia vă va face în același timp greșit și nedrept.

Cum ies datele, de fapt

Datele ies dintr-o rețea Windows mică printr-o listă scurtă și plictisitoare de canale. Ceea ce contează din punct de vedere operațional nu este canalul în sine, ci dacă acesta lasă în urmă un artefact pe care îl puteți găsi ulterior — iar pentru mai multe dintre ele, răspunsul onest este că nu lasă.

În termenii MITRE ATT&CK, acestea corespund cu T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — descrierea proprie a MITRE numește Dropbox și Google Docs) și T1114.003 (Email Forwarding Rule). Analitica de detecție a MITRE pentru cazul USB este inserarea unui dispozitiv USB urmată de acces la fișiere în volum mare sau sensibile și de staging — ceea ce este exact Event 6416 corelat cu 4663, și exact ceea ce configurează secțiunile următoare.

Înainte să monitorizați orice

Înainte să activați o singură politică de audit, redactați notificarea. Aceasta nu este o notă de subsol de conformitate pe care o rezolvați mai târziu — în trei state din SUA este o obligație statutară care se atașează înainte de începerea monitorizării, și niciunul dintre aceste statute nu exceptează angajatorii mici. O companie cu zece persoane din New York este acoperită exact la fel ca una cu zece mii de persoane.

Baza federală, și capcana

Electronic Communications Privacy Act este pragul federal minim. Două excepții fac cea mai mare parte a muncii pentru angajatori. Excepția pentru furnizori de la 18 U.S.C. § 2511(2)(a)(i) acoperă interceptarea pe propriile facilități acolo unde este un incident necesar pentru serviciu sau pentru protecția drepturilor sau proprietății furnizorului acelui serviciu. Separat, § 2511(2)(d) face din legea federală una a consimțământului unei singure părți: legal acolo unde una dintre părțile comunicării și-a dat consimțământul prealabil.

Pârghia practică — și este reală, chiar dacă nu este povestea curată, cu un singur document, pe care o veți auzi uneori — este că o confirmare semnată de monitorizare face dublă treabă. Legea federală nu impune consimțământul acolo unde excepția pentru furnizori se aplică deja, dar consimțământul este a doua cale, independentă, conform § 2511(2)(d), iar a avea ambele este o poziție mai solidă decât a te baza pe oricare dintre ele singură. Aceeași semnătură satisface simultan confirmarea cerută de New York și Delaware.

Totuși, nu acoperă totul, și merită numite trei lacune. O semnătură singură nu îndeplinește obligația de afișare — New York cere atât notificarea pe perete, cât și confirmarea, iar în Connecticut afișarea este notificarea cerută. Domeniul de aplicare al excepției pentru furnizori este dezvoltat pe cale judiciară, nu o linie clară, deci „deținem laptopul” este o poziție de plecare solidă, nu o apărare tranșată. Și dacă înregistrați apeluri, verificați separat legea statului dumneavoastră privind interceptarea comunicațiilor: mai multe state cer consimțământul tuturor părților, ceea ce este mai strict decât pragul federal.

Dacă aveți personal în UE, răspunsul se inversează

Conform GDPR, temeiul legal aplicabil în practică pentru monitorizarea la locul de muncă este interesul legitim conform Article 6(1)(f) — nu consimțământul. Article 29 Working Party a stabilit în Opinion 2/2017 că angajații aproape niciodată nu sunt în poziția de a-și da, refuza sau revoca liber consimțământul și că este extrem de puțin probabil ca acesta să fie un temei legal pentru prelucrarea datelor la locul de muncă. Aceasta este exact opusul poziției din SUA, unde o semnătură este cea mai puternică apărare a dumneavoastră.

Interesul legitim necesită un test documentat în trei părți — un scop specific, o necesitate reală fără o alternativă mai puțin intruzivă și un exercițiu de echilibrare față de drepturile angajaților — iar Article 21 oferă fiecărui angajat dreptul de a se opune. O evaluare a impactului asupra protecției datelor este necesară acolo unde monitorizarea este sistematică și susceptibilă să prezinte risc ridicat, ceea ce autoritățile naționale de reglementare consideră în mod constant că este cazul monitorizării continue a angajaților. Article 88 le permite, de asemenea, statelor membre să impună reguli naționale mai stricte, astfel încât Germania, Franța și Țările de Jos în special merg mai departe decât nivelul de bază al GDPR.

Configurația de detectare cu cost zero

Pentru a detecta cele mai comune canale de exfiltrare, puteți începe cu setări de Group Policy care vin incluse cu Windows și nu costă nimic. Iată ordinea care oferă cea mai mare acoperire pentru cel mai puțin efort.

1. Audit Removable Storage — setarea cu cea mai mare valoare

Aceasta este cea pe care trebuie să o activați prima, iar motivul este un detaliu pe care Microsoft îl precizează în propria documentație și pe care aproape nimeni nu îl repetă: Este generat un eveniment de audit de securitate pentru toate obiectele și toate tipurile de acces solicitate, fără nicio dependență de SACL-ul obiectului.

Citiți asta din nou dacă ați încercat vreodată să configurați auditarea fișierelor. Auditarea obișnuită a sistemului de fișiere este inertă până când configurați liste de control al accesului la sistem pe fiecare folder care vă interesează — Microsoft precizează explicit că nu sunt generate evenimente de audit pentru SACL-urile implicite ale sistemului de fișiere. Audit Removable Storage ocolește toate acestea. Activați-o, și obțineți un eveniment 4663 pentru fiecare fișier citit de pe sau scris pe un dispozitiv USB, pe fiecare calculator, fără nicio inginerie per folder. Îndrumările Microsoft o evaluează la Success și Failure atât pe stații de lucru, cât și pe servere membre și controlere de domeniu, în timp ce Audit File System este evaluat doar ca „dacă este necesar”.

2. Audit PNP Activity — știți când a apărut un dispozitiv

Aceasta se află sub Detailed Tracking, nu sub Object Access — un detaliu mărunt care costă oamenii zece minute de căutare prin arborele politicilor. Produce Event ID 6416, „A new external device was recognized by the System”, pe Windows 10 și Server 2016 sau ulterior. Payload-ul conține calea instanței dispozitivului, ID-urile producătorului și un ClassName — filtrați după DiskDrive pentru a separa stocarea de tastaturi și mouse-uri. Microsoft evaluează volumul ca fiind de obicei scăzut și adaugă un sfat util de ajustare: raportați-l ori de câte ori Subject Security ID nu este SYSTEM. Rețineți limita — 6416 înregistrează inserarea și activarea, nu îndepărtarea, deci nu vă va spune cât timp a stat conectat un stick.

3. Audit Logon — surprindeți tiparul din afara programului

Event ID 4624 înregistrează logon-urile reușite împreună cu un Logon Type: 2 pentru interactiv la tastatură, 3 pentru rețea, 10 pentru RDP, 7 pentru deblocare. Microsoft susține explicit acest caz de utilizare: este posibil să aveți nevoie să monitorizați folosirea unui cont în afara orelor de lucru. Un logon de tip 10, sâmbătă seara, de pe un cont care nu a lucrat niciodată în weekend, este cea mai ieftină alertă cu semnal puternic pe care o veți construi vreodată.

4. SACL-uri, dar numai acolo unde merită

Pentru cele două sau trei partajări care conțin cu adevărat bijuteriile coroanei, adăugați un SACL și activați Audit File System. O avertizare care merită cunoscută: lista recomandată de Microsoft a tipurilor de acces de monitorizat acoperă scrierile, ștergerile și modificările de permisiuni — dar nu și ReadData. Citirea este ceea ce arată ca un furt, deci adăugați-o deliberat. Microsoft avertizează, de asemenea, împotriva activării generalizate, și are dreptate: aplicați SACL pe un întreg server de fișiere și vă veți îneca, apoi veți renunța să mai priviți, ceea ce este mai rău decât să nu jurnalizați deloc.

5. Măriți dimensiunea jurnalului, apoi chiar programați revizuirea

Jurnalul Security implicit se suprascrie rapid de îndată ce încep să curgă evenimentele 4663 — un jurnal care a suprascris deja probele nu este un control. Măriți mai întâi dimensiunea. Apoi introduceți în calendar o programare lunară recurentă — evenimente USB, logon-uri din afara programului, orice reguli noi de redirecționare a căsuței poștale. Detectarea este un obicei, nu o bifă; o jurnalizare pe care nimeni nu o citește nu a prins niciodată pe nimeni.

O completare gratuită care merită instalată: Sysmon, din suita Sysinternals a Microsoft, umple mai multe dintre lacunele de mai sus. Event 3 jurnalizează conexiunile de rețea asociate unui proces — este dezactivat dacă nu îl configurați — iar Event 22 jurnalizează interogările DNS, astfel încât o căutare pentru un domeniu de partajare de fișiere pentru consumatori devine vizibilă. Event 9 surprinde citirile brute de disc, pe care Microsoft notează că sunt folosite pentru a evita instrumentele de auditare a accesului la fișiere. Acestea trei sunt cele care merită rulate în mod curent.

Sysmon poate, de asemenea, să jurnalizeze modificările clipboard-ului (Event 24), și ar trebui să vă gândiți serios înainte de a activa asta. Clipboard-urile conțin parole, mesaje personale și date ale altor persoane, iar capturarea lor este un lucru categoric mai intruziv decât jurnalizarea faptului că un fișier s-a mutat. Dacă totuși o activați, menționați acest lucru explicit în notificarea de monitorizare, în loc să îl includeți sub o descriere generală — dezvăluirea trebuie să corespundă cu ceea ce colectați efectiv, altfel notificarea nu își face treaba.

Ce nu poate vedea Windows

Windows nu poate vedea în interiorul traficului criptat, iar această singură limitare definește granița configurației gratuite. A fi direct în privința asta contează mai mult decât încă o listă de funcții, pentru că un control despre care credeți greșit că îl aveți este mai rău decât unul despre care știți că vă lipsește.

• Payload-urile HTTPS. Fiecare încărcare pe webmail, sincronizare cloud pentru consumatori și aplicație de mesagerie este opacă. Este posibil să vedeți că a avut loc o conexiune; nu veți vedea ce a trecut prin ea.
• Traficul de ieșire în rețea cu atribuire. Jurnalizarea Windows Firewall este dezactivată implicit, iar chiar și activată, înregistrează tuple de conexiune — nu ce proces sau ce utilizator.
• Care fișier a mers unde. Windows jurnalizează citirile de fișiere și trimiterile de rețea independent și nu le corelează niciodată. Îmbinarea acestor două jumătăți este exact scopul produselor de prevenire a pierderii de date (data loss prevention).
• O cameră de telefon îndreptată spre ecran. Niciun artefact, niciun control, niciun produs. Este cel mai vechi canal de exfiltrare și încă nerezolvat.

Două lucruri pe care internetul le înțelege greșit

În primul rând, durata sesiunii. Multe îndrumări sugerează asocierea evenimentului de logon 4624 cu evenimentul de logoff 4634 pentru a măsura cât timp a lucrat cineva. Microsoft documentează acest caz de utilizare, dar atașează un avertisment pe care majoritatea articolelor îl omit: Evenimentele de logoff nu sunt fiabile 100 la sută. De exemplu, calculatorul poate fi oprit fără un logoff și o oprire corespunzătoare; în acest caz, nu este generat niciun eveniment de logoff. Durata sesiunii este un trend rezonabil de urmărit; construiți o alertă strictă pe baza ei și aceasta se va declanșa pentru persoane care pur și simplu și-au închis laptopul.

În al doilea rând, jurnalizarea imprimării. Activarea jurnalului operațional PrintService este de obicei prezentată ca oferind o înregistrare a ceea ce a fost imprimat. Vă oferă Event 307 cu operațiunea — dar numele documentului este obfuscat la șirul literal „Print Document” până când schimbați o setare separată. Activați jurnalul, imprimați o pagină de test și verificați numele înainte să vă bazați pe el.

Mai există și două afirmații de expertiză criminalistică USB larg răspândite — un set de ID-uri de evenimente DriverFrameworks pentru conectare și deconectare, și un eveniment de diagnostic Partition care conține numerele de serie ale dispozitivelor — care apar în zeci de articole de blog, dar nu sunt documentate de Microsoft nicăieri, iar jurnalul relevant este dezactivat implicit. Este posibil să funcționeze foarte bine. Nu construiți un control bazat pe ele fără să testați mai întâi pe propriul hardware.

Când merită să folosiți instrumente dedicate

Instrumentele dedicate merită investiția în punctul în care configurația gratuită nu mai răspunde la întrebările pe care le puneți de fapt — de obicei atunci când aveți nevoie de vizibilitate asupra încărcărilor criptate, sau când revizuirea manuală a jurnalelor brute de evenimente încetează să mai fie realistă. Iată o comparație onestă la scara de 10 până la 50 de PC-uri.

Decalajul care împinge majoritatea companiilor mici dincolo de nivelul gratuit nu este capacitatea de detectare, ci lizibilitatea. Windows va înregistra fără probleme mii de evenimente 4663; transformarea lor în „iată ce a făcut această persoană în ultimele două săptămâni” este o muncă manuală pe care nimeni nu o susține pe termen lung. Aceasta este treaba pe care o face monitorizarea declarată a activității pe calculatoarele companiei — și funcționează, din punct de vedere legal și cultural, numai pe baza dezvăluirii stabilite mai devreme.

Indiferent ce alegeți, aplicați-l tuturor la același nivel, în loc să vizați persoana pe care o suspectați. Monitorizarea țintită și secretă a unui singur angajat este locul unde se află expunerea legală, și este, de asemenea, modul în care distrugeți încrederea celor nouă colegi care află despre asta mai târziu.

Lista de verificare pentru plecare și prima oră

Având în vedere că majoritatea furturilor de proprietate intelectuală se întâmplă în cele 30 de zile de la plecare, lista de verificare de mai jos valorează mai mult decât orice instrument din lista anterioară. Toată lumea spune „revocați accesul imediat”; aproape nimeni nu scrie ce înseamnă asta în practică.

• Dezactivați contul, nu îl ștergeți. Ștergerea distruge traseul de audit și orice căsuță poștală de care ați putea avea nevoie mai târziu.
• Revocați sesiunile active și token-urile, nu doar parola. O sesiune conectată pe un telefon personal supraviețuiește unei schimbări de parolă.
• Verificați regulile de redirecționare a căsuței poștale — atât redirecționarea la nivel de căsuță poștală, cât și regulile de inbox. Regulile pot fi create astfel încât să nu se afișeze în Outlook, deci verificați pe partea de server.
• Extrageți jurnalul de audit acum, nu mai târziu. Microsoft 365 Audit (Standard) păstrează înregistrările timp de 180 de zile în mod implicit — dar căutarea veche din auditul de administrare, acum depreciată, ajunge înapoi doar la 90, iar perioada de retenție diferă în funcție de licență. Exportați ce aveți nevoie, în loc să vă bazați pe faptul că va mai fi acolo trimestrul viitor.
• Deconectați clienții de sincronizare cloud personali de pe calculator și verificați ce foldere erau sincronizate.
• Rotiți acreditările partajate — cheia Wi-Fi, contul admin partajat, conturile pentru care nimeni nu a apucat să configureze autentificări individuale. Într-o companie mică, aceasta este de obicei cea mai lungă parte a listei.
• Recuperați hardware-ul, inclusiv orice unități sau dongle-uri deținute personal, și înregistrați ce s-a returnat.
• Păstrați dispozitivul persoanei care pleacă neatins timp de două săptămâni înainte de a-l reconstrui, dacă plecarea a fost cât de cât tensionată.
• Desfășurați interviul de plecare cu acordul de proprietate intelectuală în mână. Divizia CERT de la Carnegie Mellon recomandă de multă vreme folosirea interviului de plecare pentru a parcurge împreună cu persoana care pleacă acordul pe care l-a semnat și pentru a-i cere să îl reconfirme. Costă zece minute și este singurul element din această listă care abordează intenția, nu oportunitatea.

Dacă credeți că se întâmplă chiar acum

Păstrați mai întâi, investigați în al doilea rând, acționați în al treilea rând — în această ordine, pentru că instinctul natural le inversează pe toate trei.

1. Nu opriți calculatorul. Oprirea pierde tot ce este reținut în memorie și poate declanșa o curățare la oprire. Izolați-l în schimb de rețea și lăsați-l pornit.
2. Nu răsfoiți prin el. Fiecare folder pe care îl deschideți rescrie marcajele temporale de acces — aceleași metadate pe care v-ați baza mai târziu. Dacă situația ar putea ajunge în fața cuiva, obțineți mai întâi o imagine criminalistică a dispozitivului.
3. Capturați jurnalele înainte să fie suprascrise. Exportați imediat jurnalul Security de pe endpoint și căutarea relevantă din auditul Microsoft 365.
4. Nu deschideți niciodată conturile lor personale. Acreditările salvate într-un browser al companiei nu vă oferă autorizare, iar folosirea lor este exact punctul în care se prăbușește poziția solidă a unui angajator.
5. Apelați la un consilier juridic înainte de a confrunta pe cineva. O discuție purtată pe baza unor probe incomplete alertează exact persoana care mai poate încă șterge lucruri — iar dacă vă înșelați, ați acuzat un angajat de o infracțiune.

Nimic din toate acestea nu necesită o echipă de securitate. Necesită să decideți, înainte să se întâmple ceva, că veți face varianta plictisitoare, dar corect: notificarea semnată din prima zi, trei politici de audit activate, o listă de verificare care rulează de fiecare dată când pleacă cineva și o oră pe lună petrecută efectiv uitându-vă. Așa arată detectarea amenințărilor interne la această dimensiune, și este perfect la îndemână.

Întrebări frecvente