Omkostningerne ved insider-trusler eksploderer: Her er, hvordan du håndterer dem

Der er et voksende problem i hjertet af virksomhedens cybersikkerhedsposition. Det er ikke skyggefulde cyberkriminelle eller statsstøttede hacktivister. Det er ikke den ufattelige kompleksitet i det moderne it-miljø. Det er den ressource, ingen organisation kan undvære: dens folk.

Ifølge en undersøgelse, brud forårsaget af insidere koster i gennemsnit $16.2 mio. i dag – en stigning på 40 % i forhold til tallet for fire år siden. Alligevel bruger de samme organisationer kun 3.2 millioner dollars årligt på at løse problemet. Noget skal ændres.

Hvor alvorlig er insider-truslen?

Insiderrisiko kan antage mange former. Denne DTEX-undersøgelse placerer dem i tre kategorier:

• Ondsindede insidere, såsom utilfredse medarbejdere, der ønsker at skade den virksomhed, de arbejder for. For større eller strategisk vigtige virksomheder kan dette endda omfatte virksomhedsspioner eller statslige aktører
• Personer, der er overlistet af phishing-svindel eller andre taktikker, der gør det muligt for hackere at kapre deres konti og mere
• Uagtsomme insidere, der ignorerer sikkerhedsadvarsler og kan fejlkonfigurere systemer

Det er den tredje risikotype, der sandsynligvis vil koste organisationer mest, ifølge rapporten. Men generelt er insidertrusler ofte sværere at få øje på end dem, der begås uden for organisationen – især hvis ondsindede hensigter er involveret. Og det kan betyde ekstra tid, kræfter og omkostninger til at afhjælpe dem. Ifølge IBM, ondsindede insiderbrud tog i gennemsnit 308 dage at identificere og begrænse sidste år. Og de koster i gennemsnit 4.9 millioner dollars – 9.6 % højere end de globale omkostninger ved alle brud.

Tilfælde synes at dukke op i nyhederne med stigende hyppighed. I februar det opstået at en tidligere rådsmedarbejder i Storbritannien stjal 79,000 beboeres e-mailadresser med det formål at promovere en ny virksomhed. På den anden side af Atlanten, Tele Danmark Mobil blev tvunget til at underrette berørte personer, efter at en insider "upassende håndterede" en fil med oplysninger om over 63,000 ansatte. Og det har regeringen sigtet en tidligere Google-medarbejder med tyveri af forretningshemmeligheder.

Er insidertrusler mere sandsynlige?

Der er et par grunde til, at CISO'er bør være bekymrede. Den første er hjemmearbejde. Siden pandemien er det blevet en fast del af mange organisationer. Nogle siger Storbritannien er nu Europas hovedstad for arbejde hjemmefra. Alligevel kan det at være væk fra kontoret også øge risikoen for forsætlig forseelse eller uagtsomhed. På den ene side kan det give muligheder for at gøre af med følsomme data. På den anden side siger hjemmearbejdere nogle gange, at de er mere sandsynligvis tage risici eller modsige sikkerhedspolitikken, end hvis de var på kontoret.

Den anden risikofaktor er leveomkostningskrisen. Da det økonomiske pres bygger på medarbejderne, kan de være mere villige til at tage risici for personlig profit. En meningsmåling fra februar fra non-profit for forebyggelse af bedrageri Cifas afslører at 54 % af britiske virksomheder er bekymrede over, at personalet bliver målrettet af cyberkriminelle: for eksempel at afsløre følsomme oplysninger i bytte for kontanter. Over to femtedele (42%) kalder specifikt insidertruslen.

Lignende forskning fra Bridewell Consulting sidste år afslører at over en tredjedel (35%) af sikkerhedsledere for kritisk national infrastruktur (CNI) mener, at den økonomiske nedtur tvinger medarbejdere til datatyveri og sabotage. Den hævder, at antallet af medarbejdersabotagehændelser hos CNI-virksomheder steg med 62 % år-til-år.

Trusselsgrupper som Lapsus$ har åbenlyst indrømmet de søger at omgå sikkerhedsforsvar med hjælp fra insidere i målrettede organisationer.

Håndtering af Insider-truslen

Jamie Akhtar, administrerende direktør for CyberSmart, siger til ISMS.online, at uanset om de afbøder ondsindet eller uagtsom insiderrisiko, bør organisationer tage en lignende tilgang – blande praktiske trin og HR-fokuserede strategier.

"Du skal kontrollere adgangen i din organisation. Det, vi mener med dette, er, at man skal være streng på, hvilke brugerkonti, der har admin-rettigheder og adgang til følsomme data,” forklarer han.

”Anvend tommelfingerreglen om, at ingen skal have adgang til noget, de ikke behøver for at udføre deres arbejde. Dette betyder også at have en klar proces til at forlade personalet og fjerne adgangen fra afgående personale. Alt for ofte skyldes overtrædelser, at personale, der ikke burde have adgang til følsomme oplysninger, har det."

Dette bør komme sammen med forbedret cybersikkerhedstræning for at hjælpe personalet med at opdage og undgå almindelige trusler, tilføjer han.

"Alt dette er dog for intet, hvis medarbejderne føler sig undervurderede nok til at ville skride til handling eller blot er sneet ned. Når alt kommer til alt, skal der kun én utilfreds eller overanstrengt medarbejder til at træffe en beslutning, der kan bringe hele virksomheden i fare,« argumenterer Akhtar.

"Virksomheder har brug for at indføre praktiske sikkerhedsforanstaltninger, men de skal også vise empati og støtte til medarbejderne."

Tracey Carpenter, insider-trusselsmanager hos Cifas, beskriver fem trin til forebyggelse af insiderrisiko, gældende på tværs af cybersikkerheds- og svindelscenarier. For det første skal du have en robust screeningspolitik før ansættelse på plads. Gennemgå og luk derefter eventuelle huller i kontrollerne.

"Hvis en medarbejder har motivationen til at begå svigagtig adfærd eller kan rationalisere deres uærlige adfærd, kan de målrette og udnytte disse huller i kontroller," siger hun til ISMS.online

Organisationer skal også huske at være proaktive, ikke reaktive, siger hun. Det betyder, at man ikke stoler på, at personalet eller kunderne markerer tilfælde af potentiel uærlig adfærd fra medarbejdernes side. Husk også at udføre kontrol gennem hele medarbejdernes livscyklus, hvor en medarbejders risikoprofil kan ændre sig. Og endelig, arbejd sammen ved at dele trusselsintelligens, hvor det er muligt, siger hun.

Hvordan ISO 27001 kan hjælpe

Best practice-standarder som ISO 27001 kan også hjælpe. ISO 27001 pålægger cybersikkerhedstræningsprogrammer for personalet, som vil bidrage til at øge bevidstheden om behovet for en kultur, der kommer først på sikkerhed. Det kræver også regelmæssige revisioner af politik og procedure.

"ISO27001 inkluderer et krav om løbende vurdering for at sikre, at risiciene (herunder insidertrusler) mod en organisation løbende overvåges, og at afbødende kontroller implementeres og trinvist forbedres," forklarer CyberSmarts Akhtar.

"Dette hjælper med at håndtere insidertrusler, fordi det hjælper virksomheder med at etablere processer og praktiske skridt til at imødegå dem. Hvad mere er, opmuntrer det organisationer til at tænke over de trusler, som insidere udgør, og hvordan de løbende kan forbedre deres sikkerhedsforanstaltninger."

Men cybersikkerhedsstandarder og -ordninger som Cyber ​​Essentials kan kun få organisationer indtil videre. De skal også overveje de underliggende årsager til insiderrisiko. Det kan kræve en grundlæggende revurdering af virksomhedens arbejdskultur.

"Svindel er alles sag," slutter Cifas' tømrer. En organisation, der omfavner træning i forebyggelse af svindel og forpligter sig til at opbygge og udvikle en anti-svigkultur, er bedre rustet til ikke kun at tackle den voksende insidertrussel, men også beskytte sine medarbejdere, kunder og bredere interessenter."