A plataforma de dados de clientes de um fornecedor de processamento de sinistros de saúde foi acessada por um engenheiro de dados sênior, funcionário com doze anos de empresa, acesso administrativo legítimo à plataforma e nenhum incidente de segurança anterior em seu histórico. O engenheiro havia sido preterido em uma promoção no Q1 e, segundo entrevistas posteriores ao incidente, decidira monetizar seu acesso antes de pedir demissão. Ao longo de três meses, usou seu acesso padrão à plataforma para executar uma série de consultas que extraíram registros de clientes em lotes de quinhentos a dois mil registros por sessão. Cada sessão transferia dados para uma conta pessoal do Dropbox usando a ferramenta interna de exportação de dados do fornecedor, um recurso legítimo usado para a entrega de dados a clientes. A extração total: dezessete mil registros de clientes, incluindo nomes, datas de nascimento, números de identificação de beneficiários e histórico de sinistros. A DLP do fornecedor não foi acionada porque cada exportação estava abaixo do limite de exportação em massa de cinco mil arquivos e o destino Dropbox não constava da lista de serviços bloqueados do fornecedor. O monitoramento do fornecedor não tinha nenhuma implantação de UEBA: não havia linha de base comportamental para detectar que os padrões de consulta do engenheiro haviam mudado de operações de manutenção para exportações regulares de pequenos lotes de registros de clientes. A detecção veio da prisão do engenheiro, tempos depois, por um assunto não relacionado, que levou os investigadores a examinar suas contas na nuvem.
O que são, de fato, as ameaças internas nos fornecedores?
As ameaças internas nos fornecedores são o risco de que funcionários, terceirizados ou usuários de confiança do fornecedor com acesso legítimo a sistemas que contêm dados do cliente façam mau uso desse acesso, de forma intencional, negligente ou sob coação, de maneiras que prejudiquem o cliente. Elas representam um risco fundamentalmente diferente dos ataques externos: enquanto os ataques externos precisam superar os controles de autenticação e autorização, as ameaças internas operam dentro desses controles. O atacante É o próprio usuário autorizado. A detecção depende inteiramente de identificar que um acesso legítimo está sendo usado de forma ilegítima.
O problema do acesso legítimo é o desafio central na detecção de ameaças internas. Os controles de segurança que impedem o acesso não autorizado (autenticação, autorização, controles de acesso) são, por definição, irrelevantes para as ameaças internas, porque as pessoas internas estão autorizadas. A detecção depende de análises comportamentais que identifiquem quando os padrões de acesso autorizado se desviam do comportamento normal estabelecido de maneira compatível com mau uso. As plataformas de análise de comportamento de usuários e entidades estabelecem linhas de base comportamentais para cada usuário e detectam desvios (mudanças em quais dados são acessados, quando, em que quantidade e para onde são transferidos) que podem indicar atividade de ameaça interna. Sem análise comportamental, a detecção de ameaças internas depende de DLP baseada em limites, em torno dos quais pessoas internas sofisticadas conseguem se calibrar.
A ampliação da relação de confiança é a dimensão da ameaça interna específica dos fornecedores. Os funcionários do fornecedor com acesso aos dados do cliente operam com base em uma relação de confiança que existe porque os serviços do fornecedor exigem esse acesso. O representante de vendas farmacêuticas cujo acesso ao CRM permite o roubo de registros de clientes, o engenheiro de dados de processamento de sinistros cujo acesso à plataforma permite a extração de registros e o administrador de sistemas cujo acesso privilegiado permite a exfiltração do banco de dados têm, todos, acessos legitimamente exigidos por suas funções. A confiança que permite ao fornecedor prestar seus serviços é a mesma que viabiliza a ameaça interna.
- Acesso legítimo usado de forma maliciosa: controles de acesso irrelevantes para a detecção de ameaças internas
- Sem UEBA: nenhuma linha de base comportamental estabelecida para detectar mudanças nos padrões de acesso
- Evasão dos limites de DLP: exportações em pequenos lotes abaixo do limite que escapam à detecção
- Destino não bloqueado: serviços legítimos de armazenamento em nuvem fora da lista de bloqueio da DLP
- Nenhum monitoramento dos padrões de acesso: mudanças na frequência e no volume de consultas não detectadas
Por que isso importa
As ameaças internas nos fornecedores importam para a TPRM porque o cliente não consegue monitorar diretamente o comportamento dos funcionários do fornecedor: o cliente não tem acesso à UEBA que detectaria a mudança no padrão de consultas do engenheiro de dados, nenhuma visibilidade sobre o monitoramento de destinos de exportação que sinalizaria a transferência para o Dropbox e nenhum mecanismo direto para detectar que um acesso legítimo está sendo mal utilizado. A proteção do cliente contra ameaças internas nos fornecedores depende inteiramente do programa de detecção de ameaças internas do próprio fornecedor, e a maioria das avaliações de segurança de fornecedores não avalia especificamente a capacidade de detecção de ameaças internas.
O problema da limitação de acesso é a mitigação mais direta do lado do cliente. Quanto mais dados os funcionários do fornecedor podem acessar, maior o impacto potencial de uma ameaça interna. Os fornecedores que implementaram o acesso mínimo necessário, limitando cada funcionário apenas aos dados de clientes exigidos por sua função específica, reduzem o raio de impacto de uma ameaça interna mesmo quando não conseguem impedi-la. O engenheiro de dados que só consegue acessar os sinistros dos últimos noventa dias referentes a sinistros ativos gera uma violação potencial menor do que um com acesso irrestrito a sete anos de histórico de sinistros.
Onde a maioria das equipes erra
A falha mais recorrente é avaliar os controles de acesso sem avaliar a capacidade de detecção de ameaças internas. Os controles de acesso limitam o que as pessoas internas podem fazer. A detecção comportamental identifica quando as pessoas internas estão fazendo mau uso do que podem fazer. Ambos são necessários. Nenhum substitui o outro.
- Controles de acesso avaliados sem detecção de ameaças internas
- Implantação de UEBA não questionada nas avaliações de fornecedores
- Limitação do acesso dos funcionários não avaliada: acesso mínimo necessário a dados de clientes
- Evasão dos limites da DLP por padrões internos não testada
- Verificação de antecedentes e triagem de funcionários não avaliadas
Como é uma boa prática
Programas maduros de ameaças internas combinam a limitação do acesso ao mínimo necessário, UEBA para a detecção de anomalias comportamentais, DLP configurada para padrões de ameaça interna e revisões regulares de acesso para identificar o acúmulo de permissões desnecessárias.
- UEBA com linhas de base comportamentais individuais por funcionário: detecção de mudanças nos padrões de acesso
- Acesso mínimo necessário: os funcionários acessam apenas os dados exigidos por sua função atual específica
- DLP configurada para padrões internos: detecção de exportações em pequenos lotes, monitoramento de armazenamento em nuvem
- Revisões regulares de acesso: revisão trimestral de quem tem acesso aos sistemas de dados de clientes
- Triagem e verificação de antecedentes de funcionários em funções com acesso a dados de clientes
Ferramentas
UEBA: Exabeam, Varonis, Microsoft Sentinel UEBA
As plataformas de UEBA estabelecem linhas de base comportamentais individuais por funcionário e detectam desvios compatíveis com atividade de ameaça interna, especificamente mudanças nos padrões de acesso a dados, no comportamento de exportação e nos horários de acesso. Para profissionais de TPRM, perguntar se o fornecedor implantou UEBA com linhas de base individuais por funcionário para o pessoal com acesso a dados de clientes é a pergunta específica sobre a capacidade de detecção de ameaças internas.
Governança do acesso a dados: Varonis, Securiti
As plataformas de governança do acesso a dados oferecem visibilidade sobre quem acessa quais dados, quando e com que frequência, permitindo tanto revisões da limitação de acesso quanto a detecção de anomalias em padrões incomuns de acesso a dados. Para profissionais de TPRM, perguntar se o fornecedor usa ferramentas de governança do acesso a dados para monitorar e revisar o acesso dos funcionários aos dados de clientes é uma pergunta específica sobre a supervisão de acessos.
Desafios de governança
O desafio de governança na detecção de ameaças internas nos fornecedores é a dimensão da privacidade dos funcionários. O monitoramento de UEBA do comportamento dos funcionários exige equilibrar interesses legítimos de segurança com os direitos de privacidade dos funcionários, uma tensão regulada juridicamente de formas diferentes em cada jurisdição. A solução de governança é monitorar no nível do acesso aos dados, e não no nível do comportamento individual, detectando padrões de acesso anômalos sem exigir um monitoramento invasivo dos funcionários.
- Perguntar se há UEBA implantada para o pessoal com acesso a dados de clientes
- Perguntar sobre a limitação do acesso a dados de clientes ao mínimo necessário
- Perguntar sobre a configuração de DLP para detectar exportações em pequenos lotes
- Perguntar sobre a triagem de funcionários para funções com acesso a dados de clientes
- Perguntar sobre a frequência das revisões de acesso aos sistemas de dados de clientes
Se você faz parte de uma equipe pequena
Para cada fornecedor de Nível 1 com acesso direto a dados sensíveis de clientes, faça duas perguntas. Primeira: há UEBA implantada para detectar padrões anômalos de acesso a dados dos funcionários que têm acesso aos nossos dados? Segunda: os funcionários estão limitados ao mínimo necessário de acesso, ou seja, um engenheiro de dados pode acessar todos os registros de clientes ou apenas os registros exigidos por sua função atual? Essas duas perguntas tratam das dimensões de detecção e de raio de impacto do risco de ameaças internas nos fornecedores.
- Perguntar se a UEBA abrange o pessoal com acesso a dados de clientes
- Perguntar se os funcionários estão limitados ao mínimo necessário de acesso a dados de clientes
- Perguntar sobre a configuração de DLP para padrões de exportação em pequenos lotes
- Perguntar sobre a triagem de funcionários para funções com acesso a dados de clientes
O que exigir
Pergunte diretamente:
"Para os funcionários com acesso aos nossos dados de clientes, os padrões de acesso são monitorados por UEBA para detectar comportamentos anômalos, e esse acesso está limitado ao mínimo necessário, em vez de acesso irrestrito a todos os registros de clientes?"
O que esperar como evidência
- Confirmação da implantação de UEBA para o pessoal com acesso a dados de clientes
- Documentação da limitação do acesso ao mínimo necessário
- Configuração de DLP para detectar exportações em pequenos lotes
- Frequência das revisões de acesso aos sistemas de dados de clientes
Um fornecedor que confirma ter controles de acesso deve ser questionado se o monitoramento comportamental abrange os funcionários específicos com acesso a dados de clientes. Os controles de acesso definem o que é permitido. A UEBA detecta quando o que é permitido está sendo mal utilizado.
Como comprovar
- Registros de implantação de UEBA para o pessoal com acesso a dados de clientes
- Documentação da limitação do acesso ao mínimo necessário
- Configuração da DLP para padrões internos
- Registros de triagem de funcionários para funções com acesso a dados
Principal conclusão
Acesso legítimo. Conta pessoal na nuvem. Dezessete mil registros. Três meses. Nenhuma detecção até uma prisão sem relação com o caso. Os controles de acesso deram ao engenheiro exatamente o acesso que sua função exigia. Esse acesso foi a violação. A UEBA teria detectado a mudança no padrão de consultas. O acesso mínimo necessário teria reduzido o escopo extraível. Uma DLP configurada para detectar exportações em pequenos lotes teria sinalizado as pequenas exportações repetidas. Nada disso estava implementado. A ameaça interna é o risco de que um acesso legítimo seja usado de forma ilegítima. A detecção depende de reconhecer que um acesso legítimo está produzindo um comportamento ilegítimo. Os controles de acesso protegem contra usuários não autorizados. A detecção comportamental protege contra usuários autorizados que se tornam ameaças.