O risco interno começa com quem pode ler os dados

Risco interno

As equipes de segurança frequentemente veem o risco interno como um problema de atacante externo, mas isso não está totalmente correto. O risco interno é a exposição causada por pessoas que já têm acesso legítimo. Abrange funcionários, contratados e administradores que podem ver ou acessar dados sensíveis como parte do trabalho, independentemente de abusarem ou não. A maioria das conversas sobre risco interno ignora essa definição e vai direto ao cenário do funcionário mal-intencionado, aquele que rouba dados ao sair. Esse é um risco real, mas não o mais comum. A versão muito mais frequente é o acesso que ninguém questionou: uma permissão concedida para um propósito que silenciosamente abre a porta para algo totalmente diferente.

Os administradores podem ver dados sensíveis

As equipes de segurança gastam muito tempo modelando ameaças externas: phishing, preenchimento de credenciais e atores de ransomware que se movem lateralmente pela rede. O risco interno recebe outro tipo de atenção, geralmente focado em funcionários mal-intencionados ou descuidados que clicam no link errado. Ambos são importantes. Nenhum cobre a versão mais silenciosa do problema: pessoas que veem dados sensíveis apenas por causa das ferramentas que administram, sem que alguém tenha decidido que deveriam ter essa visão.

Uma plataforma de classificação de dados precisa escanear sistemas de arquivos, caixas de correio, sites do SharePoint e drives na nuvem para encontrar e marcar conteúdos sensíveis. Esse acesso de escaneamento deve ser amplo por design; a ferramenta não pode classificar o que não consegue alcançar. O problema começa quando os fornecedores combinam esse acesso amplo com a capacidade de abrir e ler o conteúdo desses arquivos, entregando isso a quem administra a plataforma.

Contas de administrador não são auditadas

Pergunte à maioria das equipes de segurança quem pode ver dados de clientes regulados, e elas apontarão para suas regras de DLP, revisões de acesso e permissões baseadas em função no servidor de arquivos. Pergunte quem pode abrir esses dados pela ferramenta de classificação que os escaneia, e a resposta fica vaga rapidamente.

Funções de superusuário e administrador geralmente ficam fora das revisões de acesso feitas para funcionários comuns. Elas são tratadas como confiáveis por padrão, o que é justamente o motivo para examiná-las. Um administrador de classificação não precisa ler o conteúdo de um prontuário médico para confirmar que a regra de taxonomia HIPAA foi acionada corretamente; ele precisa apenas da confirmação de que a regra foi disparada. São duas permissões diferentes, mas a maioria das ferramentas oferece apenas uma.

Este é o mesmo princípio do menor privilégio usado em toda a segurança, aplicado a um lugar onde raramente é aplicado: a ferramenta que controla seus dados mais sensíveis.

Filtro de segurança

O filtro de segurança, que limita o que um usuário pode encontrar numa pesquisa com base nas suas permissões, resolve metade do problema. Ele impede que um funcionário comum encontre um arquivo que não deveria ver por meio de um resultado de busca. Nunca foi criado para governar o console de administração, onde alguém com acesso à plataforma pode abrir a aba Texto em qualquer documento indexado, independentemente do que o filtro de segurança permite que os outros vejam.

Essa distinção importa mais à medida que as regulamentações especificam o acesso ao conteúdo, além do acesso a metadados. Os auditores querem cada vez mais saber quem pode ler o conteúdo real dos arquivos regulados, além de confirmar que o arquivo existe e como está etiquetado. "Nossos administradores têm amplo acesso porque precisam administrar a ferramenta" não satisfaz essa questão, e tratá-la assim gera achados de auditoria.

O acesso ao conteúdo precisa de permissão própria

O Netwrix Data Classification separa a visualização do conteúdo dos documentos das funções de classificação e administração que antes a incluíam por padrão. Super usuários não veem o conteúdo dos arquivos automaticamente; os administradores devem conceder acesso deliberadamente.

Isso funciona junto com o controle de segurança existente, sem substituí-lo, portanto ambas as camadas se aplicam: o que um usuário comum pode encontrar numa busca e, separadamente, quais administradores podem abrir o que encontram.

Na prática, um administrador de classificação pode executar varreduras, revisar como as regras de taxonomia foram aplicadas e gerenciar o fluxo de trabalho dos arquivos sinalizados sem abrir o arquivo. As equipes reservam o acesso ao conteúdo para revisores ou investigadores específicos cujo trabalho exige ler o conteúdo.