Шпионаж и ИТ-саботаж: сходства и различия

Несмотря на то, что саботаж и шпионаж на первый взгляд кажутся совершенно разными типами инсайдерских правонарушений, между ними много общего.

Психология шпиона и саботажника во многом совпадает.

Мы привыкли при слове "шпион" представлять себе агента 007, хладнокровного, спокойного, обаятельного.

В действительности же, согласно отчету центра безопасности персонала PERSEREC Министерства обороны США, среднестатистический шпион - конфликтный сотрудник с вредными привычками и психическими проблемами, плохо уживающийся в коллективе.

В отчете PERSEREC Espionage and Other Compromises of National Security. Case Summaries from 1975 to 2008 детально рассмотрены реальные случаи шпионажа в гос.структурах США с 1975 по 2008 (141 случай).

На базе этой статистики можно смело провести анализ поведения шпиона и получить портрет среднестатистического шпионящего инсайдера.

Что и было сделано специалистами PERSEREC и CERT при помощи профессиональных клинических психологов контрразведки в отчете CERT. Comparing Insider IT Sabotage and Espionage: A Model-Based Analysis.

В отчете было проведено отдельное системно-динамическое моделирование ИТ-саботажника и шпиона, причем для ИТ-саботажа использованы результаты предыдущего исследования CERT по ИТ-саботажу, обработанные совместно с психологами при анализе CERT Insider Threat Database.

Затем исследователи сравнили модель шпионажа и ИТ-саботажа и пришли к выводу, что в моделях есть схожие черты. Авторы отчета смогли сформулировать 6 ключевых наблюдений о сходствах и различиях между шпионом и саботажником, а также сформировать общую модель поведения, единую для этих двух типов инсайдеров.

На мой взгляд, можно найти сходства и между другими типами инсайдеров: мошенниками, инсайдерами, осуществляющими кражу интеллектуальной собственности, саботажниками и шпионами.
Скорее всего в корне отличаться будет только поведенческая модель немотивированного инсайдера.
Поэтому в итоге, я надеюсь, мои исследования (да и исследования CERT) придут к общей модели, единой для всех типов инсайда, которая позволит выработать меры защиты для комплексного противодействия инсайду.

Наблюдение 1. Большинство саботажников и шпионов имели персональные предпосылки, которые увеличили риск совершения правонарушения.

Персональные предпосылки - это, как правило, неадекватная реакция на стресс, финансовые и прочие персональные нужды, которая ведет к конфликтам и нарушению правил, хроническому недовольству, сильной реакции на организационные санкции, утаиванию фактов нарушения правил и склонности к обострению рабочих конфликтов.

Наблюдение 2. В большинстве случаев шпионажу и ИТ-саботажу способствовали стрессовые события, в том числе организационные санкции.

Причем самым стрессовым событием для инсайдера является увольнение или отстранение от выполнения своих обязанностей. Большинство инсайдеров из CERT Insider Threat Database и PERSEREC Database атаковали именно после таких событий.

Наблюдение 3. Чаще всего подозрительное поведения можно было обнаружить до или во время проведения саботажа и шпионажа.

К подозрительному поведению относится:
Опоздания, прогулы
Конфликты с коллегами
Плохая производительность труда
Нарушения ИБ
Подготовка к атаке.

Наблюдение 4. Технические индикаторы могли бы предупредить организацию о планируемом или производимом нарушении.

Это наблюдение авторы формулируют как "ловушка доверия".
Чем больше организация доверяет инсайдеру, тем меньше у нее желание производить аудит и мониторинг его активности. А это уменьшает шанс того, что подозрительная активность данного сотрудника вообще будет обнаружена. Тем самым, опять же, растет доверие к инсайдеру.

Наблюдение 5. Во многих случаях организация проигнорировала или проглядела нарушение правил.

В некоторых случаях организации замечали нарушения правил, но игнорировали этот факт. Это поведение неверно. Необходимо, чтобы инсайдер понимал, что организация в курсе его деятельности.
В крайнем случае можно не информировать сотрудника, но установить более детальный мониторинг его действий.

Наблюдение 6. Недостаток физического и электронного контроля доступа влияет как на ИТ-саботаж, так и на шпионаж.

Как правило, инсайдер имеет доступ к активам, которые не являются необходимыми для выполнения его производственных функций.

Ролевое разграничение доступа - отличное решение.



Необходимо отметить, что несмотря на сходства, между шпионом и саботажником много отличий.

Саботаж - явление единичное. 
Шпионаж - процесс длительный.

Поэтому, как правило, социальные и технические индикаторы шпионажа проявляются гораздо раньше, чем аналогичные индикаторы саботажа.

Да и сами индикаторы у них отличаются.

Также важно, что, как правило, шпионаж не является настолько технически сложным, как саботаж. Поэтому шпион - это не обязательно привилегированный технический персонал.
Шпион обычно действует в рамках предоставленных прав и полномочий.

 Общая модель

Модель ИТ-саботажа

Модель шпионажа

Хочется отметить, что с точки зрения моделирования CERT и PERSEREC продвинулись вперед: они уже определяют типы обратных связей в системно-динамической диаграмме и типы зависимостей между элементами схемы :)

Но, безусловно, неприятно, что исследования до сих пор стоят на уровне диаграммы. Компьютерное моделирование проводить с использованием полученных моделей пока не представляется возможным.



Еще на тему защиты от инсайдеров читайте:

Лучшие практики защиты от инсайдеров от CERT

Управление риском ИТ-саботажа от CERT

Архитектура борьбы с инсайдом от CERT