Insider Threat Investigation
Che cosa e’? una minaccia interna estremamente pericolosa per la sicurezza aziendale L’Insider Threat è una minaccia che proviene dai dipendenti, consapevoli o inconsapevoli, con il fine di sottrarre dati sensibili riguardanti la sicurezza aziendale. Analizziamo insieme i dati, lo scenario attuale e come proteggere la propria azienda. L’insider threat si verifica quando qualcuno legato all’azienda, sfrutta i propri privilegi di accesso per compromettere sistemi e informazioni sensibili dell’azienda stessa : Esempio- dipendente- agente commerciale-; fornitori, collaboratori esterni, e partner aziendali possono costituire una minaccia interna.
Grazie alla nostra esperienza ultra trentennale, abbiamo smascherato centinai di casi e figure suddette. NON ULTIMO (PER LA PRIVACY NON FACCIAMNO NOMI) : un impiegato commerciale, con altro ex dipendente, aveva messo in piedi una società in Lussemburgo, intesta alla compagna e consorte, e con la collaborazione di un partner cinese, vendevano in concorrenza con lo sconto di 5% gli stessi prodotti dell’azienda datore di lavoro; contenzioso tutt’ora aperto presso il Tribunale di Milano per quantificare il risarcimento danni subiti ( svariati milioni di euro)
IDFOX Investigationi -divisone informatica – , in questo, grazie all’esperienza maturata nel tempo e il know-how acquisito nelle attività di indagine informatiche aziendali per la verifica degli obblighi di fedeltà del dipendente e mediante l’utilizzo si software innovativi di ultima generazione , permette di proteggere in modo efficace e tempestivo gli asset aziendali dei suoi clienti in modo da garantire loro un’adeguata capacità concorrenziale nel breve, medio e lungo termine.
In base alle intenzioni di chi ne è responsabile, l’insider threat può essere involontario, o doloso. L’impiegato che, per negligenza, cade vittima di un attacco phishing, è un esempio di minaccia interna involontaria. Chi invece sottrae o distrugge dati aziendali sensibili, o pratica attività di spionaggio, rientra ovviamente nell’insider threat doloso.
Le aziende moderne lavorano alacremente, ogni giorno, per proteggere il proprio business dalle minacce costituite da hacker, cybercriminali e ladri di qualsiasi altro genere. Oltre alle minacce provenienti dall’esterno, esiste un fenomeno molto più sottile e pericoloso: parliamo dell’insider threat. In cosa consiste questa minaccia? Scopriamo per quale motivo è bene predisporre una strategia difensiva in grado di proteggere l’azienda dagli attacchi interni.
Insider threats significato
L’insider threat rappresenta un fenomeno piuttosto singolare e complesso. Questa minaccia, infatti, proviene dai dipendenti stessi dell’azienda, che in modo consapevole o inconsapevole possono minare, in modo anche particolarmente dannoso, la sicurezza informatica dell’impresa.
Lo scenario attuale vede impegnate le imprese di tutto il mondo sia sul fronte delle minacce esterne, sia sul fronte dell’insider threats. Questo fenomeno si verifica nel momento in cui un dipendente dell’azienda, un collaboratore o un professionista in qualche modo legato al business, utilizza i propri privilegi di accesso per trafugare informazioni sensibili o per compromettere il sistema.
Molto spesso non si tratta di impiegati dell’azienda, ma di collaboratori esterni, partner, fornitori e professionisti. I responsabili dell’attacco interno possono agire in modo volontario e doloso, oppure in modo involontario. In questo secondo caso, per esempio, potrebbe essere un dipendente dell’azienda a rappresentare una minaccia interna, cadendo vittima di un attacco phishing.
Il responsabile è consapevole, invece, nel momento in cui ha coscienza di ciò che sta facendo: dalla pratica di spionaggio alla distruzione o sottrazione dei dati sensibili aziendali. Questo genere di eventualità rientra nell’insider threats di tipo doloso.
La principale causa dell’insider threats sono le persone, gli impiegati stessi, i professionisti con cui l’azienda collabora. Nonostante il punto debole della catena sia l’uomo, la maggior parte delle strategie di difesa e degli strumenti di sicurezza informatica prevedono le attività di monitoring e di analisi di reti, dati e computer. Questa potrebbe essere una falla letale nella strategia di difesa dall’insider threats: considerare le macchine responsabili dell’attacco, e non l’uomo.
La minaccia proviene da qualsiasi livello aziendale, poiché chiunque potrebbe accedere ai dati e manometterli, rubarli, rivenderli o danneggiare in qualsiasi altro modo il sistema informatico e, con esso, il business stesso. Si stima che circa il 25% degli incidenti di sicurezza informatica rientri nello scenario dell’insider threats.
Le aziende hanno dovuto adottare e rinnovare le proprie strategie di security per poter garantire protezione a dati e informazioni, di pari passo all’aggiornamento delle tecnologie messe a disposizione dei dipendenti.
Chiunque può accedere ai dati e al network aziendale rappresenta una minaccia interna: soprattutto in presenza di servizi in cloud, che consentono a tutti gli utenti di avere accesso a file e documenti da qualsiasi punto del globo, a qualsiasi ora, sempre. Il livello di digitalizzazione è ormai altissimo: questo livello determina migliori performance nell’ambito della produttività, ma contribuisce a costituire una seria minaccia dal punto di vista informatico.
Il patrimonio dell’azienda comprende una determinata mole di dati sensibili, che devono essere protetti adeguatamente sia dagli attacchi esterni, che dal fenomeno dell’insider threats. Questa minaccia può risultare particolarmente dannosa, in quanto l’utente in possesso di credenziali o informazioni privilegiate, potrà eludere i sistemi di sicurezza e creare un enorme danno alla credibilità dell’impresa e al business in generale.
Tipi di minacce interne
Quali sono i motivi che spingono gli impiegati, i soci e i collaboratori a mettere in atto un attacco informatico interno? Le cause principali dell’insider threats non sono sempre connesse a un fattore economico. A volte, l’insider è un dipendente scontento che desidera creare un danno all’azienda per vendicarsi di un torto subito.
In termini economici e reputazionali, un attacco interno potrebbe avere un impatto devastante per l’azienda. Anche quando si tratta di una minaccia non intenzionale.
Sono essenzialmente 4 le tipologie di minacce interne:
-frode. I dati vengono rubati o modificati volontariamente, con lo scopo di interrompere l’operatività dell’azienda;
-furto di proprietà intellettuale. Si verifica quando vengono trafugate le informazioni di proprietà dell’azienda. Tali informazioni hanno, in genere, una grande rilevanza per l’azienda stessa. Quando le informazioni vengono trafugate e diffuse, l’azienda potrà subire un danno incomparabile che si rifletterà sul business anche per numerosi anni a venire;
-sabotaggio. In questo caso, l’obiettivo di un attacco di insider threats è quello di danneggiare o distruggere i dati in possesso;
-spionaggio. File, informazioni e dati segreti potrebbero essere diffusi, qualora un insider riuscisse a impossessarsene. Potrebbe, infatti, rivenderli alla concorrenza.
A volte, il fenomeno dell’insider threats non rientra in queste quattro tipologie in quanto la minaccia non è volontaria. In questi casi vengono commessi errori umani ed errori di valutazione, oppure il dipendente può essere coinvolto:
-da un attacco phishing;
-da un attacco malware;
– dal furto delle credenziali;
dal favoreggiamento involontario.
Chi sono gli insider? Gli attori delle minacce di insider threats possono suddividersi in 4 categorie. Vediamole nel dettaglio.
Pawns: le pedine
Una pedina, generalmente, è il dipendente ingannato da cybercriminali, che lo costringono a condividere l’accesso ai dati. La pedina può essere manipolata mediante i sistemi dell’ingegneria sociale o del cosiddetto spear phishing, studiati per riuscire a raggiungere informazioni sensibili. Un utente pedina viene convinto a scaricare, in modo inconsapevole, un malware, oppure a fornire credenziali private mediante una comunicazione contraffatta.
Collaborators: i collaboratori
In questo caso, gli insider threats collaborano con criminali esterni o concorrenti. Questo genere di insider abusa dei propri privilegi, fornendo informazioni oppure gli accessi a criminali o concorrenti, generalmente per un mero ritorno economico.
Goofs: il personale non competente
Un insider di questo tipo effettua azioni dannose per l’azienda in modo volontario, per negligenza oppure per scelta. Oppure, un goofs è un dipendente che ritiene sé stesso superiore alle politiche di sicurezza, o che tenta di aggirare i controlli di sicurezza (archiviazione di dati in archivio cloud non approvato, disattivazione dei blocchi popup oppure sospensione dei programmi antivirus).
Lone wolves: i lupi solitari
I lupi solitari sono insider threats che lavorano indipendentemente dal resto del gruppo di lavoro, avvantaggiando sé stessi o perseguendo un obiettivo personale. I lupi solitari in genere conoscono approfonditamente l’azienda in cui lavorano e le applicazioni utilizzate, e sanno come sfruttare a proprio vantaggio i privilegi offerti loro dall’azienda.
Soluzioni per rilevare le minacce interne
Rilevare una minaccia di insider threats non è semplice: le aziende moderne possono utilizzare sofisticati sistemi di rilevamento, monitoraggio e intrusione che sfruttano un benchmark dell’attività di rete, uniti a pattern di comportamento. Questi strumenti permettono di individuare il potenziale attacco in corso.
Alcune aziende utilizzano l’intelligenza artificiale per monitorare il traffico di rete, allertando gli amministratori di sistema qualora vengano riscontrate delle anomalie.
Il comportamento più diffusi relativi agli insider threats possono essere:
-assenze frequenti per malattia;
-poco interesse mostrato verso i nuovi progetti o verso i nuovi incarichi;
-utilizzo non consono delle risorse economiche destinate a viaggi o spese aziendali;
-interesse immotivato verso progetti per i quali non si hanno le competenze adeguate;
-report sulle performance sempre molto scarsi;
-conflitti frequenti con altri dipendenti o con l’amministrazione;
-violazioni pregresse della protezione dei dati o delle regole di compliance.
Per poter nascondere le attività illecite legate al furto o condivisione di dati sensibili, un insider threats esegue operazioni anomale: l’individuazione di tali anomalie permette di rilevare le minacce interne.
Scopriamo, nella seguente tabella, quali sono gli indicatori utili per la rilevazione delle minacce interne.
Strumento
Comportamento
Hardware/software
Installazione di hardware o software utilizzati per avere accesso ai dati aziendali da remoto.
Password
Cambio della password da account non verificati o non autorizzati.
Malware
L’insider installa, volontariamente o meno, un malware che va a infettare l’intero sistema.
Software
L’insider installa software non autorizzati o non consentiti dalla policy aziendale.
Backdoor
L’insider installa backdoor per favorire l’accesso ai dati da un sistema remoto o da una risorsa interna.
Firewall/antivirus
L’insider disabilita gli antivirus o i firewall senza autorizzazione.
Server/dispositivi
Vengono riscontrati dei tentativi di accesso a server o dispositivi contenenti dati sensibili.
Strategie difensive per proteggersi
Difendersi dalla minaccia dell’insider threat non è semplice: occorre monitorare in continuo l’attività degli utenti all’interno del network aziendale. Quando si verifica un’anomalia, bisogna intervenire tempestivamente per ridurre i possibili rischi (installazione di malware, furto o danneggiamento dei dati, frodi finanziarie).
Un approccio multidisciplinare è indispensabile per gestire i rischi sia dal punto di vista informatico che umano. Anche un evento legato ai data breach potrebbe compromettere la reputazione dell’azienda, andando a ledere l’integrità e la riservatezza dei dati personali di utenti e clienti.
Le strategie di insider threat management possono essere così suddivise:
-rilevamento delle possibili minacce interne individuando i comportamenti anomali in modo da valutare quali possano essere gli utenti a rischio;
-prevenzione degli incidenti, riducendo i rischi attraverso un sistema di notifica delle attività sospette e relativo blocco dell’utente sospetto;
-valutazione degli incidenti, mediante un’attività tempestiva di analisi delle attività degli utenti sospetti;
-conformità alle normative, aderendo ai requisiti imposti dalla policy dedicata al tema dell’insider threat;
– protezione della privacy dell’utente. I dati degli utenti devono essere anonimi e conformi alle normative;
-utilizzo di strumenti integrati. Le soluzioni di rilevamento devono essere integrate ad altre applicazioni di sicurezza, a partire dai sistemi SIEM, per poter ottenere una visione accurata e globale delle attività degli utenti;
-microsegmentazione della rete. La divisione in aree circoscritte permette di proteggere al meglio il sistema, risolvendo le vulnerabilità dei diversi punti di accesso;
-la cyber security awareness. Favorire una cultura aziendale sulla sicurezza aziendale, rendendo partecipe tutto il personale e offrendo piani formativi ad hoc. Ciò permette ai dipendenti di comprendere i rischi di un attacco sia interno che esterno;
– l’utilizzo dell’intelligenza artificiale per monitorare tutte le attività inerenti all’organizzazione, osservando gli utenti, i dispositivi, i flussi di lavoro e i cloud container;
-l’autenticazione a due fattori (2FA) o a più fattori (MFA). In questo modo è possibile aggiungere un ulteriore livello di sicurezza all’accesso degli utenti;
-la sicurezza degli endpoint. Cellulari, stampanti, scanner, server: tutto quel che può connettersi alla rete aziendale è considerato un endpoint. Questi punti di ingresso e di uscita possono essere sfruttati dai criminali per sferrare attacchi informatici. Proteggere gli endpoint consente di ridurre al minimo la possibilità di accesso da parte di un aggressore;
-l’adozione di regole precise per la creazione di password efficaci, che possono essere compromesse con difficoltà.
Esempi di insider threats
Le minacce di insider threat sono tanto fini quanto pericolose: a volte, le aziende impiegano anni per rilevarle. Vediamo quali sono gli esempi più noti e lampanti di insider threats:
– Coca Cola. Un dipendente di questa multinazionale nota in ogni angolo del mondo ha copiato, su un drive esterno, i dati sensibili di circa 8.000 dipendenti. Il data breach, rilevato a seguito di un sofisticato processo di investigazione, è stato comunicato ai dipendenti che hanno potuto beneficiare del monitoraggio gratuito del credito per un anno;
-Facebook. Un ingegnere del reparto sicurezza utilizzava strumenti interni per molestare donne in tutto il mondo. L’anomalia è stata riscontrata nel 2018;
– Tesla. Un insider riuscì a sfruttare la sua posizione per modificare il codice del sistema operativo, utilizzato per le operazioni produttive. L’obiettivo era quello di esportare i dati sensibili della compagnia. Questa azione di sabotaggio durò diverso tempo;
-SunTrust Bank. Un ex dipendente della compagnia riuscì a trafugare 1 milione e mezzo di dati quali indirizzi, nomi, numeri di telefono e saldi bancari dei clienti.
COS’È L’INSIDER THREAT MANAGEMENT E COME TUTELA IL TUO BUSINESS
Home – Cos’è l’insider threat management e come tutela il tuo business
Si definisce Insider Threat o minaccia interna, una minaccia dannosa per un’organizzazione, proveniente da persone all’interno dell’azienda, come dipendenti, ex dipendenti, appaltatori o soci in affari, i quali dispongono di informazioni privilegiate relative alle pratiche di sicurezza, ai dati e ai sistemi informatici dell’organizzazione.
Le minacce interne non sono una novità e, anzi, stanno assumendo sempre maggiore rilevanza in termini di sicurezza informatica, soprattutto nell’attuale contesto di massiccio ricorso al lavoro ibrido.
Si stima che gli attacchi interni costano alle aziende circa 11,45 milioni di dollari all’anno e, sempre più aziende e organizzazioni si stanno progressivamente rendendo conto della minaccia rappresentata dagli insider.
Ora più che mai, le organizzazioni devono implementare robusti programmi di Insider Threat Management.
Quali sono le tipologie di insider threat
Le insider threat si presentano sotto molte forme, da chi cerca intenzionalmente di danneggiare l’organizzazione a chi agisce per errore. Analizziamo le 3 tipologie di threat più comuni.
1- Minacce involontarie
Le minacce più comuni sono dettate dalla negligenza e rappresentano quasi due terzi di tutti gli incidenti: si verificano quando un utente permette involontariamente a un malintenzionato di accedere dati e sistemi, cliccando su un link pericoloso, usando in modo improprio la password o esponendo accidentalmente dati sensibili.
2 – Minacce intenzionali
Anche se meno comuni, le minacce dolose sono spesso più dannose costando in media 755.760 dollari per incidente (rispetto ai 307.111 dollari dei casi di negligenza).
Queste minacce possono essere causate da dipendenti in cerca di vendetta, guadagno finanziario o da criminali informatici.
3 – Compromissione dell’account
Il terzo tipo di insider threat è rappresentato dai casi di compromissione degli account. Risultano la tipologia più costosa di minaccia insider (con un costo medio di 871.686 dollari per incidente) e si verificano nel momento in cui un ladro di credenziali prende di mira le credenziali di un utente per ottenere l’accesso non autorizzato ad applicazioni e sistemi.
Come difendersi: l’insider threat management
Un programma di Insider Threat Management (ITM) completo, focalizzato sulle persone, che combini controlli, processi e persone sembra essere oggi la soluzione più efficace per tante aziende. Un programma di gestione del rischio interno comincia con la definizione di un monitoraggio dedicato alle potenziali minacce interne con lo scopo di controllare e indagare sulle attività sospette.
Per maggiori informazioni su come rendere più sicuro il sistema informatico della tua azienda o organizzazione contattaci.
Fonte Internet
IDFOX Investigazioni -divisone informatica – , in questo, grazie all’esperienza maturata nel tempo e il know-how acquisito nelle attività di indagine informatiche aziendali per la verifica degli obblighi di fedeltà del dipendente e mediante l’utilizzo si software innovativi di ultima generazione , permette di proteggere in modo efficace e tempestivo gli asset aziendali dei suoi clienti in modo da garantire loro un’adeguata capacità concorrenziale nel breve, medio e lungo termine.
Chi Siamo
L’agenzia IDFOX è correntemente diretta dalla Dottoressa Margherita Maiellaro.
La direttrice ha maturato un’esperienza pluriennale nel campo investigativo ed ha conseguito una Laurea in Giurisprudenza, con specializzazione in diritto internazionale, presso l’Università Bocconi.
L’agenzia investigativa IDFOX Investigazioni è stata fondata da Max Maiellaro.
Il fondatore, con oltre 30 anni di esperienze investigative maturate nella Polizia di Stato, già diretto collaboratore del Conte Corrado AGUSTA, ex Presidente dell’omonimo Gruppo AGUSTA SpA, è stato inoltre responsabile dei servizi di sicurezza di una multinazionale, nonché presso vari gruppi operanti in svariati settori quale metalmeccanici, chimica, oreficeria, tessile, alta moda, elettronica e grande distribuzione, ha sempre risolto brillantemente ogni problematica investigativa connessa a: infedeltà aziendale, ai beni, marchi e brevetti, concorrenza sleale e alla difesa intellettuale dei progetti, violazione del patto di non concorrenza, protezione know-how e tutela delle persone e della famiglia, nonché referente abituale di imprenditori, manager, multinazionali e studi Legali su tutto il territorio Italiano ed anche Estero.
Il team dell’agenzia IDFOX è formato da ex appartenenti alle Forze di Polizia, i quali si avvalgono di mezzi e tecniche sempre all’avanguardia e al passo con le nuove tecnologie, vantando conoscenze approfondite e certificate nel campo dell’intelligence. L’agenzia investigativa IDFOX fornisce documentazioni valide per uso legale, tra le quali: perizie e relazioni tecniche; servizi di osservazione documentati con foto e video.
Vi invitiamo a contattarci per una consulenza a titolo gratuito.