Кражба на интелектуална собственост, саботаж, изтичане на данни и дори физическо насилие могат да започнат с поведение, което организацията е пренебрегнала

Вътрешната заплаха отдавна не се изчерпва със сценария за недоволен служител, който умишлено атакува работодателя си. Новото ръководство на американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) поставя проблема в по-широка рамка – insider threat е управленски и организационен риск, който може да доведе до кражба на интелектуална собственост, финансови загуби, саботаж, компрометиране на данни и физическа вреда.

Един служител може да струва милиард

CISA посочва показателен случай от енергийния сектор. Ръководител на инженерния екип по автоматизация тайно е изтеглил собственически изходен код и го е предал на чуждестранен конкурент. По оценки около 20% от глобалния продукт на конкурента е работил със същия откраднат софтуер.

Последствията за американската компания са над 1 млрд. долара загубена акционерна стойност и близо 700 работни места. Присъдените по-късно 59 млн. долара за кражба на търговска тайна не компенсират реалния икономически удар.

Това е същността на insider risk: атакуващият вече има достъп, познава процесите и често знае точно коя информация има най-висока стойност.

Необходима е система, а не подозрение към служителите

CISA препоръчва формална програма, която обединява превенция, откриване, оценка, реакция и постоянно усъвършенстване. Тя трябва да се управлява от мултидисциплинарен екип и да използва ясни критерии за оценка на риска.

Особено внимание се отделя на механизмите за подаване на сигнали. Анонимни и онлайн канали, конфиденциално докладване, защита от репресии и възможност сигнали да подават и външни лица могат да превърнат служителите от потенциална уязвимост в първа линия за ранно предупреждение.

Киберсигурността е само част от картината

CISA подчертава, че програмата не трябва да бъде инструмент за постоянно наблюдение или наказание. Тя трябва да защитава активите, но едновременно с това да съхранява личното пространство, достойнството и правата на служителите.

Това е особено важно, защото вътрешната заплаха може да бъде злонамерена, небрежна или напълно непреднамерена. Един компрометиран акаунт, неправилно споделен файл или служител, попаднал под натиск, могат да се превърнат в отправна точка за сериозен инцидент.

Затова CISA настоява организациите да оценяват поведение и конкретни обстоятелства, а не демографски профили или стереотипи. Няма типичен „портрет“ на вътрешния нападател.

За бизнеса изводът е категоричен: най-сигурната организация не е тази, която подозира служителите си, а тази, която има процеси за навременно откриване и управление на риска. Това означава контрол на достъпа, обучение, ясни правила, технически мониторинг, канали за сигнализиране и подготвен план за реакция.

Инвестицията трябва да бъде направена преди инцидента. Защото когато служител вече е изнесъл критичен код, данни или търговска тайна, киберсигурността вече не е предотвратила риска – тя се опитва да ограничи щетите.