Внутренняя угроза — это предполагаемая угроза для организации, исходящая от людей внутри организации, таких как сотрудники, бывшие сотрудники, подрядчики или деловые партнеры, которые обладают внутренней информацией, касающейся методов обеспечения безопасности организации, данных и компьютерных систем. Угроза может включать мошенничество, кражу конфиденциальной или коммерчески ценной информации, кражу интеллектуальной собственности или саботаж компьютерных систем.
У инсайдеров могут быть учетные записи, дающие им законный доступ к компьютерным системам, причем этот доступ изначально был предоставлен им для выполнения своих обязанностей; эти разрешения могут быть использованы во вред организации. Инсайдеры часто знакомы с данными и интеллектуальной собственностью организации, а также с методами, которые используются для их защиты. Это облегчает инсайдеру обход любых известных ему средств контроля безопасности. Физическая близость к данным означает, что инсайдеру не нужно взламывать организационную сеть через внешний периметр, преодолевая брандмауэры; скорее, они уже находятся в здании, часто имея прямой доступ к внутренней сети организации. От внутренних угроз сложнее защититься, чем от атак со стороны посторонних, поскольку инсайдер уже имеет законный доступ к информации и активам организации. [1]
Инсайдер может попытаться украсть имущество или информацию для личной выгоды или для выгоды другой организации или страны. [1] Угроза для организации может также исходить от вредоносного программного обеспечения, оставленного на ее компьютерных системах бывшими сотрудниками, так называемой логической бомбы .
Инсайдерская угроза является активной областью исследований в академических кругах и правительстве.
Координационный центр CERT в Университете Карнеги-Меллона поддерживает Центр внутренних угроз CERT, который включает базу данных о более чем 850 случаях внутренних угроз, включая случаи мошенничества, кражи и саботажа; база данных используется для исследований и анализа. [2] Команда CERT по внутренним угрозам также ведет информационный блог, чтобы помочь организациям и предприятиям защитить себя от внутренних преступлений. [3]
Лаборатория угроз и Центр исследований кадров и безопасности Министерства обороны (DOD PERSEREC) также недавно стали национальными ресурсами в Соединенных Штатах Америки. Лаборатория угроз проводит ежегодную конференцию SBS Summit. [4] Они также поддерживают веб-сайт, содержащий ресурсы с этой конференции. В дополнение к этим усилиям был создан сопутствующий подкаст Voices from the SBS Summit. [5] В 2022 году Лаборатория угроз создала междисциплинарный журнал Counter Insider Threat Research and Practice (CITRAP), в котором публикуются исследования по обнаружению инсайдерских угроз. [ требуется ссылка ]
В отчете о расследовании утечек данных за 2022 год (DBIR) компания Verizon обнаружила, что 82% утечек связаны с человеческим фактором, отметив, что сотрудники продолжают играть ведущую роль в инцидентах и нарушениях кибербезопасности. [6]
По данным Управления комиссаров по информации Великобритании, 90% всех нарушений, о которых им сообщили в 2019 году, были результатом ошибок конечных пользователей. Это больше, чем 61% и 87% за предыдущие два года. [7]
В документе за 2018 год [8] сообщается, что 53% опрошенных компаний подтвердили факты внутренних атак на их организации за последние 12 месяцев, а 27% заявили, что внутренние атаки стали более частыми. [9]
В опубликованном в июле 2012 года отчете об инсайдерской угрозе в финансовом секторе США [10] приводится некоторая статистика по инцидентам с инсайдерской угрозой: 80% злонамеренных действий были совершены на работе в рабочее время; 81% преступников планировали свои действия заранее; 33% преступников были описаны как «трудные», а 17% как «недовольные». Инсайдер был идентифицирован в 74% случаев. Финансовая выгода была мотивом в 81% случаев, месть в 23% случаев, и 27% людей, совершавших злонамеренные действия, в то время испытывали финансовые трудности.
Исследовательский центр по безопасности персонала Министерства обороны США опубликовал отчет [11] , в котором описаны подходы к обнаружению внутренних угроз. Ранее он опубликовал десять тематических исследований внутренних атак, проведенных специалистами по информационным технологиям . [12]
Эксперты по кибербезопасности полагают, что 38% нерадивых инсайдеров становятся жертвами фишинговой атаки, когда они получают электронное письмо, которое выглядит как письмо от законного источника, например, компании. Такие письма обычно содержат вредоносное ПО в виде гиперссылок . [13]
Для классификации внутренних угроз было предложено множество систем классификации и онтологий. [14]
Традиционные модели инсайдерской угрозы выделяют три основные категории:
Исследования инсайдерских угроз подверглись критике. [15]
Принимая социотехнические подходы, исследователи также утверждали о необходимости рассматривать внутреннюю угрозу с точки зрения социальных систем. Джордан Шенхерр [17] сказал, что «наблюдение требует понимания того, как формируются системы санкций, как сотрудники будут реагировать на наблюдение, какие нормы на рабочем месте считаются значимыми и что означает «отклонение», например, отклонение от обоснованной организационной нормы или несоблюдение организационной нормы, которая противоречит общим социальным ценностям». Рассматривая всех сотрудников как потенциальные внутренние угрозы, организации могут создавать условия, которые приводят к внутренним угрозам.