Ridurre gli effetti di insider malintenzionati non tecnologici

Questo è un mondo guidato dai computer. La tecnologia migliora di giorno in giorno. Oggi ogni organizzazione utilizza computer di qualche tipo per funzionare. I computer e Internet sono i migliori amici dell'uomo. Tuttavia, se utilizzati in modo non etico, non tarderanno a trasformarsi in nemici molto cattivi. Qualsiasi organizzazione può trovarsi ad affrontare una minaccia alla sicurezza dei dati. Questa minaccia può provenire dall'interno o dall'esterno. Per affrontare questi fattori sono necessari diversi metodi. Le minacce interne sono più pericolose di quelle esterne. Continuando a leggere capirete perché.

Come suggerisce il nome, la minaccia insider proviene dall'interno dell'organizzazione. Qualsiasi persona che lavora nell'organizzazione può diventare una minaccia in qualsiasi momento. Dipende dalle circostanze. Si ritiene che gli insider siano fedeli alle organizzazioni in cui lavorano. Questo è vero nella maggior parte dei casi. Tuttavia, ci sono delle eccezioni. Queste persone sviluppano intenzioni malevole. Ciò significa che questi insider sviluppano una sorta di cattiva intenzione nei confronti dell'organizzazione e si adoperano per tracciarne la rovina. È una cosa molto pericolosa da notare.

Esiste anche la possibilità che ci siano intenzioni non malevole. Gli errori causati da intenzioni non malevole danneggiano anche l'organizzazione. Tali errori possono verificarsi a causa della pressione e dello stress. Di solito questi errori si verificano il venerdì o il lunedì. L'essere umano non è un animale perfetto. Può commettere errori, ma se non c'è un'intenzione malevola dietro gli errori, sono sempre perdonabili. Gli insider malintenzionati sono quelli a cui bisogna prestare attenzione. Hanno il potenziale per danneggiare l'organizzazione in molti modi.

Storicamente, gli insider malintenzionati sono di solito tra i migliori dipendenti in un determinato momento. Sono quelli che hanno una conoscenza adeguata dei sistemi e sanno come affrontare i problemi. In effetti, in molti casi agiscono come risolutori di problemi. Hanno accesso autorizzato ai sistemi interni e sono in grado di causare danni. È molto difficile scoprire cosa funziona nella mente di una persona. Nessun computer al mondo è in grado di scoprire questo segreto. Di solito, un'organizzazione controlla le credenziali di una persona prima di affidarle una particolare responsabilità. Tuttavia, a volte anche la persona con il quoziente di integrità più forte diventa debole.

Ciò può comportare l'impegno di alcune attività che possono andare contro gli interessi dell'organizzazione. Questo è il motivo per cui le organizzazioni optano per la procedura di controlli e contrappesi in ogni fase di qualsiasi processo. Tali controlli e contrappesi possono filtrare le persone con intenti malevoli. La ricerca su questa attività e i suoi risultati: L'attività di insider malintenzionati è un argomento ben studiato. I risultati sono sotto gli occhi di tutti. Molte organizzazioni hanno condotto ricerche approfondite sull'argomento. Il Carnegie Mellon Institute è una di queste organizzazioni che ha svolto ricerche pionieristiche in questo campo. I dati storici sono alla base di queste scoperte.

Tuttavia, la ricerca ha stabilito chiaramente le tendenze e i risultati sono i seguenti. Un antico adagio recita: "Un ladro è un ladro solo se viene preso". Un ladro è un ladro solo se viene scoperto. Molti casi non vengono scoperti. I casi individuati costituiscono la base di questi risultati. Questi sono i risultati statistici.

• Un terzo dei dipendenti cercherà di rubare solo se pensa di poterla fare franca.

• Un terzo ruba anche in caso contrario.

• Il restante terzo non avrà mai la tentazione di rubare.

Dall'analisi di cui sopra, si evince che in qualsiasi organizzazione è possibile trovare due terzi dei dipendenti totali che possono essere classificati come aventi un'integrità offuscata. Un altro dato che è emerso è che sul totale delle azioni dannose rilevate, gli insider rappresentano circa i due terzi dei casi.

Metodi di lotta adottati dalle organizzazioni: Ogni organizzazione ha i propri metodi per controllare questi comportamenti. Le indagini stesse in questa fase iniziale rilevano di solito più di tre quarti delle attività con intento malevolo. In questi casi, l'individuazione dell'attività dannosa avviene prima di qualsiasi danno all'organizzazione. Spesso queste misure sono inadeguate. È in queste circostanze che la perdita diventa tangibile.

È molto difficile da individuare. Le persone con intenti malevoli si comportano nel modo più normale possibile. Tuttavia, esistono alcuni meccanismi esibiti da queste persone che richiedono un monitoraggio a intervalli frequenti. Di solito si comportano nello stesso modo in cui si comportano le persone con intenzioni non malevole. Per questo motivo, la gestione del problema deve essere fatta caso per caso. In questo modo si rischia di perseguitare una persona innocente senza motivo o ragione. Questa persona può in seguito nutrire intenzioni malevole nei confronti dell'organizzazione.

Un segnale che permette di individuare un'intenzione malevola è lo stile di spesa sfarzoso di alcuni dipendenti. Se si scopre che un dipendente spende molto al di là delle sue possibilità abituali, questo è un motivo di allarme. Significa che dovete stare in guardia. Alcuni dipendenti sviluppano un'intenzione malevola quando hanno voglia di lasciare l'organizzazione. Le attività di questi dipendenti devono essere monitorate con attenzione. Queste persone riducono i canali di comunicazione con gli altri per quanto riguarda il lavoro. Queste caratteristiche richiedono un attento monitoraggio. È un dato di fatto che le persone con intenzioni malevole non vanno in vacanza. Per questo motivo, le organizzazioni devono limitare queste attività e obbligare i dipendenti ad andare in ferie almeno per due settimane all'anno. In questo modo è possibile tenere sotto controllo le persone che non hanno usufruito delle ferie per molto tempo.

Quali azioni deve intraprendere il management contro gli insider malintenzionati? Ora ipotizziamo il seguente scenario. Supponiamo che siate l'amministratore delegato di un'entità aziendale, diciamo X. L'azienda ha centinaia di dipendenti nei suoi registri. Tra questi ci sono persone di alto livello. Il personale di lavoro comprende anche funzionari e venditori di livello inferiore e altro personale subordinato. Nei quattro trimestri dell'anno si sono verificati i seguenti casi di illecito. Trimestre 1: un'indagine ha evidenziato otto casi di abuso di password. Le indagini hanno evidenziato l'accesso a dati interni da sistemi esterni. All'interrogatorio, i membri del personale interessati hanno finto di non sapere nulla.

L'indovinare la password e il furto sono le ragioni addotte per questi eventi. Il mantenimento della segretezza delle password in qualsiasi circostanza era l'idea centrale della loro formazione. L'azienda non ha preso alcun provvedimento nei confronti dei dipendenti inadempienti. Domanda: Voi avreste fatto lo stesso? Trimestre 2: il team investigativo ha rilevato quattro casi di archiviazione di dati interni su dispositivi di archiviazione esterni, come un server cloud pubblico. I membri hanno chiarito che lo avevano fatto per avere accesso da casa. Il lavoro doveva essere terminato in tempo. Il reparto IT ha chiarito categoricamente che ciò era contrario alle regole. L'azienda ha rimproverato i membri del personale con l'avvertimento che in futuro il livello di tolleranza per questi casi sarà "zero".

Avevano la possibilità di chiedere al reparto IT di concedere loro l'accesso e il consiglio di amministrazione dell'azienda avrebbe preso una decisione. Domanda: Qual è la vostra reazione a questo fatto? 3° trimestre: le indagini hanno rivelato che alcuni membri del personale erano coinvolti in questioni personali. Questi incidenti sono emersi nel corso di un'altra indagine non correlata. La direzione ha deciso che tali questioni non erano di competenza delle squadre investigative. Tuttavia, queste vicende erano a conoscenza dell'Ufficio Risorse Umane. Senza approfondire la questione, il Dipartimento Risorse Umane ha chiarito che l'azienda non tollererà casi del genere. Domanda: Quali sono le vostre reazioni a questo caso? Quarto trimestre: Questo caso riguarda un dirigente di alto livello. Egli aveva lasciato l'organizzazione nel corso del terzo trimestre dopo la sua relazione con una dirigente delle vendite. Anche lei ha lasciato l'organizzazione. Entrambi hanno fondato una nuova società. Questa società è un concorrente diretto della vostra. Scoprite che più del 20% del vostro business esistente si è spostato verso la nuova società in un breve lasso di tempo.

Un altro 20% sta per uscire. Si tratta di un chiaro caso di attività illecita di un insider. Domanda: Quale sarebbe il vostro piano d'azione in uno scenario del genere? Tutti e quattro i casi sopra citati offrono la possibilità di un furto di dati. Ad ulteriori indagini, possono emergere anche altri punti. Emergono alcuni punti in comune. In tal caso, queste attività richiedono un'indagine più approfondita. In caso contrario, ecco come affrontare la questione. Trimestre 1: il mantenimento della segretezza delle password è un aspetto molto importante nello scenario odierno. Non si deve scendere a compromessi su questo aspetto. Dovete consigliare ai membri di fare più attenzione in futuro. Tenendo sotto controllo questi dipendenti, si possono evitare altri reati. Trimestre 2: i membri del personale potrebbero aver avuto buone intenzioni di completare il lavoro a casa. Questo dimostra la loro dedizione al lavoro. Tuttavia, un'azienda ha stabilito delle regole e dei regolamenti. È necessario seguire queste regole ad ogni costo.

Dovete consigliare ai membri del personale di astenersi dal ripetere tali azioni e incoraggiarli a completare il lavoro entro i tempi previsti. Trimestre 3: Le questioni personali durante l'orario di lavoro devono essere scoraggiate. I collaboratori sono liberi di intrattenere i propri affari al di fuori dell'area di lavoro. Finché le relazioni non si svolgono in ufficio e il lavoro d'ufficio non ne risente, è necessario rispettare la loro privacy. Tuttavia, le regole dell'azienda prevedono che, una volta sposati, i coniugi vengano distaccati in uffici separati. Quarto trimestre: si tratta di un chiaro caso di attività illecita da parte di un insider, che va affrontato con fermezza. L'azienda può pensare di intraprendere un'azione legale contro le persone interessate. Ci sono alcuni casi in cui è possibile giudicare l'intento malevolo già all'inizio. Citiamo un paio di esempi.

Imparate a riconoscere i primi segnali. Un'azienda che contesta le penali per i ritardi di pagamento in un contratto è probabile che sia regolarmente inadempiente nei pagamenti. Imparate a cercare i segnali più sottili: Se scoprite che alcuni membri cercano di evitare le telefonate e i messaggi di posta elettronica, è un chiaro segno che non vogliono far parte del vostro progetto. Prima li allontanate, meglio è per l'organizzazione.

Non tutte le intenzioni devono essere necessariamente di natura dolosa. Solo le intenzioni che possono causare un danno intenzionale all'organizzazione dovrebbero essere definite dolose. Dovete anche sapere che le perdite o i danni all'organizzazione possono essere dovuti a intenzioni circostanziali o dolose. Il nostro obiettivo deve essere quello di arginare solo le intenzioni dolose. È necessario stroncare le intenzioni malevole sul nascere. L'intenzione malevola è la causa principale di tutte le frodi che si verificano oggi sul posto di lavoro.