Przewodnik CISA 2026 dotyczący ograniczania zagrożeń wewnętrznych
Zagrożenia wewnętrzne istniały od zawsze. Jednak obecnie, w obliczu coraz bardziej widocznych działań sponsorowanych przez państwa, szpiegostwa przemysłowego, ataków przeprowadzanych za pośrednictwem dostawców oraz rosnącej rywalizacji o własność intelektualną, zagadnienie InsiderThreat zasługuje na znacznie większą uwagę.
Przewodnik CISA rozszerza wcześniejsze wytyczne o nowe studia przypadków oraz uwagi dotyczące pracy hybrydowej, sztucznej inteligencji, kontroli dostępu, weryfikacji gości oraz niekorzystnych rozstań z pracownikami.
Autor: magnific
Szczególnie podoba mi się szeroka definicja osoby z wewnątrz. Nie jest to wyłącznie pracownik. Może to być były pracownik, wykonawca, dostawca lub jakakolwiek inna osoba, która ma lub miała autoryzowany dostęp do zasobów organizacji lub posiada specjalistyczną wiedzę na ich temat.
Kontekst ma znaczenie.
W przypadku infrastruktury krytycznej, organizacji rządowych i branż strategicznych ryzyko związane z osobami z wewnątrz może obejmować szpiegostwo, sabotaż lub działania prowadzone w imieniu wrogich państw.
W przypadku firm technologicznych, badawczo-rozwojowych lub produkcyjnych priorytetem może być kradzież własności intelektualnej, kodu źródłowego, projektów, algorytmów lub know-how handlowego.
W przypadku dostawców usług pojawia się dodatkowy wymiar: pracownik może w ogóle nie atakować własnej firmy. Może wykorzystać zaufany dostęp, aby naruszyć bezpieczeństwo klienta. To sprawia, że ryzyko związane z osobami z wewnątrz stanowi ważny element ryzyka związanego z podmiotami zewnętrznymi oraz bezpieczeństwa łańcucha dostaw.
CISA wyraźnie obejmuje zarówno zagrożenia wynikające ze zmowy, w których osoby z wewnątrz współpracują z podmiotami zewnętrznymi, jak i zagrożenia ze strony osób trzecich, stwarzane przez wykonawców i dostawców mających dostęp do systemów, sieci lub obiektów.
W przewodniku przedstawiono również program działań ograniczających ryzyko:
➡️ identyfikację kluczowych zasobów oraz osób mających do nich dostęp,
➡️ weryfikację personelu przed zatrudnieniem oraz zapewnienie ciągłej odpowiedzialności,
➡️ utworzenie multidyscyplinarnego zespołu ds. zarządzania i reagowania na zagrożenia,
➡️ stworzenie poufnych kanałów zgłaszania incydentów,
➡️przygotowanie procedury reagowania na incydenty związane z osobami z wewnątrz organizacji,
➡️ monitorowanie odpowiednich zachowań i aktywności technicznej,
➡️ ciągłą ponowną ocenę ryzyka w miarę zmian zachodzących w organizacji.
Z technicznego punktu widzenia CISA omawia takie środki kontroli, jak:
➡️ technologie PAM i kontroli dostępu,
➡️ DLP,
➡️ UAM i UEBA,
➡️ SIEM,
➡️ EDR,
➡️ monitorowanie baz danych,
➡️ analiza przepływów sieciowych,
➡️ monitorowanie dostępu fizycznego.
Osobiście dodałbym jeszcze jedną praktyczną zasadę: w przypadku szczególnie wrażliwych stanowisk warto rozważyć stopniowe lub opóźnione przyznawanie rozszerzonych uprawnień zamiast udzielania pełnego dostępu z uprawnieniami już od pierwszego dnia. Dostęp powinien rosnąć wraz z wykazaną potrzebą, zakresem odpowiedzialności i akceptacją ryzyka.
Przewodnik uwzględnia również aspekt bezpieczeństwa sztucznej inteligencji: osoby z wewnątrz organizacji mogą zafałszować dane szkoleniowe, manipulować modelami lub ujawniać poufne informacje za pomocą nieautoryzowanych narzędzi AI, podczas gdy zewnętrzni atakujący mogą wykorzystywać generowane przez AI ataki phishingowe, deepfake’i lub syntetyczne tożsamości do manipulowania pracownikami.
Autor: Sebastian Burgemejster
Komentarze